Waarom verwerkingsactiviteiten registreren?

De Algemene Verordening Gegevensbescherming (AVG, beter bekend als General Data Protection Regulation of GDPR) vereist dat alle verwerkingen van persoonsgegevens aan UGent en UZ Gent gedocumenteerd en geregistreerd worden in een ‘register van verwerkingsactiviteiten’, het AVG Register.

Deze interne registratie vervangt de vroegere ‘aangifteplicht’ bij de Privacycommissie, en is een essentieel hulpmiddel voor de onderzoeker om aan zijn verantwoordingsplicht te voldoen.

Wanneer verwerkingsactiviteiten registreren?

Nieuwe verwerkingsactiviteiten

De registratie moet gebeuren voor elke nieuwe verwerkingsactiviteit, d.w.z. aan het begin van elk nieuw onderzoeksproject waarbij persoonsgegevens worden verwerkt (of de fase in het project waarbij persoonsgegevens worden verwerkt), en dit nog vóór de start van de eigenlijke verzameling/verwerking van de gegevens.

Bestaande verwerkingsactiviteiten

Ook bestaande verwerkingsactiviteiten moeten geregistreerd worden. Het gaat hier dus om lopende onderzoeksprojecten, of ze nu gestart zijn voor of na 25/05/2018 (d.i. de datum waarop de AVG in werking is getreden).

Updates

Daarnaast is het belangrijk om de info m.b.t. de geregistreerde verwerkingsactiviteiten up to date te houden gedurende de looptijd van het onderzoeksproject.

Waar en hoe verwerkingsactiviteiten registreren?

Voor onderzoek kunnen onderzoekers hun verwerkingsactiviteiten registreren tegelijk met het opstellen van een Data Management Plan (DMP), aangezien informatie in het AVG Register ingevoerd kan worden via de DMPonline.be interface.

Gebruik de templates in de online tool DMPonline.be

Een DMP verplichting kan bestaan, maar is niet van toepassing op alle projecten. Dit is momenteel wel het geval voor alle doctoraten die gestart zijn sinds academiejaar 2020-2021 en indien de onderzoeksfinancier dit vereist (bv FWO, Horizon 2020, Horizon Europe, BOF, etc). Indien het niet verplicht is, is het wel nog steeds goede praktijk om een plan op te stellen over hoe je de onderzoeksdata gaat beheren...

• Meer informatie over UGent beleid inzake Data Management Plannen.
• Meer informatie over de eisen door externe financiers inzake Data Management Plannen.
  

Daarnaast is er een registratieverplichting voor alle onderzoeksprojecten waarin persoonsgegevens verwerkt worden. Deze registratie gebeurt ook via https://dmponline.be . Hiervoor vul je (enkel) het partim AVG Register/GDPR record en eventueel GEB/DPIA in, of je maakt een item aan van type 'GDPR record'/’AVG Register’ wat enkel deze secties bevat.

Er zijn dus twee mogelijke routes om verwerkingsactiviteiten m.b.t. persoonsgegevens te documenteren en registreren via DMPonline.be:

1. Indien je voor een onderzoeksproject een DMP wil of moet opstellen, bijvoorbeeld voor een externe financier, kan je tegelijk ook je verwerkingsactiviteiten registreren.
2. Indien je geen DMP schrijft of er reeds een afzonderlijk DMP bestaat, en je dus louter verwerkingsactiviteiten m.b.t. persoonsgegevens dient te registreren, kan je aan de slag met de UGent/UZ Gent template ‘GDPR Record (EN)' of 'AVG Record (NL)'.

Indien je bestaande DMP nog geen GDPR record bevat, is het niet mogelijk deze achteraf toe te voegen en kies je route 2 hierboven beschreven.

Hoe ga je te werk?

Inloggen

• Log in met je UGent of UZ Gent account op https://dmponline.be.

Nieuw plan aanmaken

• Maak een nieuwe entry aan door op ‘Create plan’ te klikken.
• Geef in de ‘Create a new plan’ pagina de correcte titel van het onderzoeksproject in waarvoor je het DMP wil schrijven/de verwerkingsactiviteiten wil registreren.
• Doorloop vervolgens de rest van het formulier om een geschikte template te kiezen (d.w.z. de UGent/UZ Gent ‘GDPR Record (EN)’ of ‘AVG Record (NL)’ template, of een AVG-compatibele DMP template). Selecteer een externe financier uit de lijst, of kies 'no funder associated with this plan or not listed' indien je geen DMP schrijft voor een financier/je financier niet in de lijst staat.

Plan invullen

• Vul in het nieuw aangemaakte plan de ‘Plan details’ (d.i. basisinformatie m.b.t. het onderzoeksproject) aan:
  • wie een plan aanmaakt, wordt in de ‘Plan details’ automatisch ingevoerd als ‘Creator’ van het onderzoeksproject. Je kan de rollen van de medewerkers aan het project aanpassen indien nodig via de 'Share' tab. Via dezelfde weg kan je bovendien nog een bijkomende contactpersoon voor het plan opgeven waar aangewezen. Indien je zelf niet de hoofdpromotor van het project bent, voeg dan zeker je promotor toe als 'Principal Investigator' en verander je eigen rol naar 'Data Manager' of 'Project Administrator' voor het plan.
• Beantwoord de vragen in je plan. Je kan ze vinden door te navigeren naar de tabs naast ‘Plan details’:
  • om je verwerkingsactiviteiten m.b.t. persoonsgegevens te registreren, moet je alleszins de verplichte AVG-vragen invullen onder de tab ‘GDPR Record’ of ‘AVG Register’.
  • indien de verwerking van persoonsgegevens in je onderzoek een waarschijnlijk hoog risico inhoudt, zal je ook een Gegevensbeschermingseffectbeoordeling (GEB) of Data Protection Impact Assessment (DPIA) moeten uitvoeren door de vragen te beantwoorden onder de tab ‘GEB’ of ‘DPIA’.
  • indien je naast het registeren van verwerkingsactiviteiten/uitvoeren van een GEB ook nog een DMP schrijft, vind je eveneens een ‘DMP’ tab met vragen om je te helpen met het opstellen van je DMP.

Toegang Data Protection Officer

• De Data Protection Officer van UGent (privacy@ugent.be) / UZ Gent (dpo@uzgent.be) heeft automatisch leesrechten op je plan in DMPonline.be als een van de admins van de applicatie.

Plan exporteren

• Je kan elke afzonderlijke component van je plan (AVG Register/GDPR Record, GEB/DPIA, DMP) uit de tool exporteren in verschillende bestandsformaten (.docx, .pdf, .txt), bv. wanneer je een mijlpaalversie wil opslaan, of wanneer je formeel een document wil indienen bij een financier, bij Onderzoekscoördinatie, bij je ethische commissie enz.
• Voor het eigenlijke registreren van verwerkingsactiviteiten ter naleving van de AVG volstaat in principe echter het invullen van de AVG-vragen in de online tool - specifiek daarvoor hoef je dus zelf geen document te exporteren en in te dienen. 
• Let wel: indien je voor je onderzoek een advies nodig hebt of wenst van een ethische commissie, vormt het indienen van je AVG Register/GDPR Record-document in elk geval een ontvankelijkheidsvereiste voor je aanvraag tot ethische goedkeuring. In dit geval moet je dus wel zelf een document exporteren uit de tool.

Plan up to date houden

• Hou je plan, en in het bijzonder de AVG-vragen, up to date in DMPonline.be in de loop van je onderzoeksproject. Via het ‘My Dashboard’ menu kan je een lijst van reeds aangemaakte plannen zien die je vervolgens verder kan bewerken).

 

Een uitgebreidere handleiding voor het gebruik van DMPonline.be is te vinden in onderzoekstip: DMPonline.be: how do I write a Data Management Plan?

Meer informatie

• Onderzoek en privacy