Waarom verwerkingsactiviteiten registreren?

De Algemene Verordening Gegevensbescherming (AVG, beter bekend als General Data Protection Regulation of GDPR) vereist dat je alle verwerkingen van persoonsgegevens aan UGent en UZ Gent gedocumenteert en registreert in een ‘register van verwerkingsactiviteiten’, het AVG-Register.

Die interne registratie vervangt de vroegere ‘aangifteplicht’ bij de Privacycommissie, en is een essentieel hulpmiddel voor de onderzoeker om aan zijn verantwoordingsplicht te voldoen.

Wanneer verwerkingsactiviteiten registreren?

Nieuwe verwerkingsactiviteiten

De registratie moet gebeuren voor elke nieuwe verwerkingsactiviteit, dat wil zeggen: aan het begin van elk nieuw onderzoeksproject waarbij je persoonsgegevens verwerkt (of de fase in het project waarbij je persoonsgegevens verwerkt), en dat nog vóór de start van de eigenlijke verzameling/verwerking van de gegevens.

Bestaande verwerkingsactiviteiten

Ook bestaande verwerkingsactiviteiten moet je registreren. Het gaat daarbij dus om lopende onderzoeksprojecten, of ze nu gestart zijn voor of na 25 mei 2018 (dat is de datum waarop de AVG in werking is getreden).

Updates

Daarnaast is het belangrijk om de info met betrekking tot de geregistreerde verwerkingsactiviteiten up-to-date te houden gedurende de looptijd van het onderzoeksproject.

Waar en hoe verwerkingsactiviteiten registreren?

Voor onderzoek kunnen onderzoekers hun verwerkingsactiviteiten registreren terwijl ze een Data Management Plan (DMP) opstellen, aangezien je informatie in het AVG-Register kan invoeren via de DMPonline.be interface.

Gebruik de templates in de online tool DMPonline.be

Een DMP-verplichting kan bestaan, maar is niet van toepassing op alle projecten. Dat is momenteel wel het geval voor alle doctoraten die gestart zijn sinds academiejaar 2020-2021 en als de onderzoeksfinancier dat vereist (bv. FWO, Horizon 2020, Horizon Europe, BOF, enz.). Als het niet verplicht is, is het wel nog steeds goede praktijk om een plan op te stellen waarin staat hoe je de onderzoeksdata gaat beheren.

• Meer informatie over UGent beleid inzake Data Management Plannen.
• Meer informatie over de eisen door externe financiers inzake Data Management Plannen.

Daarnaast is er een registratieverplichting voor alle onderzoeksprojecten waarin persoonsgegevens verwerkt worden. Die registratie gebeurt ook via dmponline.be. Daarvoor vul je (enkel) het partim AVG Register/GDPR record in en eventueel GEB/DPIA, of je maakt een item aan van type 'GDPR record'/’AVG Register’ wat enkel die secties bevat.

Er zijn dus twee mogelijke routes om verwerkingsactiviteiten met betrekking tot persoonsgegevens te documenteren en registreren via DMPonline.be:

1. Als je voor een onderzoeksproject een DMP wil of moet opstellen, bijvoorbeeld voor een externe financier, kan je tegelijk ook je verwerkingsactiviteiten registreren.
2. Als je geen DMP schrijft of er al een afzonderlijk DMP bestaat, en je dus louter verwerkingsactiviteiten met betrekking tot persoonsgegevens moet registreren, kan je aan de slag met de UGent/UZ Gent template ‘GDPR Record (EN)' of 'AVG Record (NL)'.

Als je bestaande DMP nog geen GDPR record bevat, is het niet mogelijk die achteraf toe te voegen en kies je route 2 hierboven beschreven.

 

Hoe ga je te werk?

Inloggen

• Log in met je UGent of UZ Gent account op dmponline.be.

Nieuw plan aanmaken

• Maak een nieuwe entry aan door op ‘Create plan’ te klikken.
• Geef in de ‘Create a new plan’ pagina de correcte titel van het onderzoeksproject in waarvoor je het DMP wil schrijven/de verwerkingsactiviteiten wil registreren.
• Laat Ghent University (UGent) staan als 'primary research organisation'. Templates voor UZ Gent en UGent worden beide beheerd vanuit die 'research organisation'.
• Doorloop vervolgens de rest van het formulier om een geschikte template te kiezen (d.w.z. de UGent/UZ Gent ‘GDPR Record (EN)’ of ‘AVG Record (NL)’ template, of een AVG-compatibele DMP template). Selecteer een externe financier uit de lijst, of kies 'no funder associated with this plan or not listed' als je geen DMP schrijft voor een financier/je financier niet in de lijst staat.

 

 

Plan invullen

• Vul in het nieuw aangemaakte plan de ‘Plan details’ aan (d.i. basisinformatie m.b.t. het onderzoeksproject):
  • wie een plan aanmaakt, wordt in de ‘Plan details’ automatisch ingevoerd als ‘Creator’ van het onderzoeksproject. Indien nodig kan je de rollen van de medewerkers aan het project aanpassen via de 'Share' tab. Via dezelfde weg kan je bovendien nog een bijkomende contactpersoon voor het plan opgeven waar aangewezen. Als je zelf niet de hoofdpromotor van het project bent, voeg dan zeker je promotor toe als 'Principal Investigator' en verander je eigen rol naar 'Data Manager' of 'Project Administrator' voor het plan.
• Beantwoord de vragen in je plan. Je kan ze vinden door te navigeren naar de tabs naast ‘Plan details’:
  • om je verwerkingsactiviteiten met betrekking tot persoonsgegevens te registreren, moet je in ieder geval de verplichte AVG-vragen invullen onder de tab ‘GDPR Record’ of ‘AVG Register’.
  • als de verwerking van persoonsgegevens in je onderzoek een waarschijnlijk hoog risico inhoudt, zal je ook een Gegevensbeschermingseffectbeoordeling (GEB) of Data Protection Impact Assessment (DPIA) moeten uitvoeren door de vragen te beantwoorden onder de tab ‘GEB’ of ‘DPIA’.
  • als je naast het registeren van verwerkingsactiviteiten/uitvoeren van een GEB ook nog een DMP schrijft, vind je eveneens een ‘DMP’ tab met vragen die je helpen om je DMP op te stellen.
   

 

Toegang Data Protection Officer

• De Data Protection Officer van UGent (privacy@ugent.be) / UZ Gent (dpo@uzgent.be) heeft automatisch leesrechten op je plan in DMPonline.be als een van de admins van de applicatie.

Plan exporteren

• Je kan elke afzonderlijke component van je plan (AVG Register/GDPR Record, GEB/DPIA, DMP) uit de tool exporteren in verschillende bestandsformaten (.docx, .pdf, .txt), bijvoorbeeld wanneer je een mijlpaalversie wil opslaan, of wanneer je formeel een document wil indienen bij een financier, bij Onderzoekscoördinatie, bij je ethische commissie, enz.
• Voor het eigenlijke registreren van verwerkingsactiviteiten ter naleving van de AVG volstaat het in principe echter om de AVG-vragen in te vullen in de online tool - specifiek daarvoor hoef je dus zelf geen document te exporteren en in te dienen. 
• Let wel: als je voor je onderzoek een advies nodig hebt of wenst van een ethische commissie, vormt het indienen van je AVG Register/GDPR Record-document in elk geval een ontvankelijkheidsvereiste voor je aanvraag tot ethische goedkeuring. In dat geval moet je dus wel zelf een document exporteren uit de tool.

Plan up to date houden

• Hou je plan, en in het bijzonder de AVG-vragen, up-to-date in DMPonline.be in de loop van je onderzoeksproject. Via het ‘My Dashboard’ menu kan je een lijst van reeds aangemaakte plannen zien die je vervolgens verder kan bewerken.

 

Een uitgebreidere handleiding voor DMPonline.be is te vinden in onderzoekstip: DMPonline.be: how do I write a Data Management Plan?

Meer informatie

• Onderzoek en privacy