Waarom verwerkingsactiviteiten registreren?

De Algemene Verordening Gegevensbescherming (AVG, beter bekend als General Data Protection Regulation of GDPR) vereist dat alle verwerkingen van persoonsgegevens aan UGent en UZ Gent gedocumenteerd en geregistreerd worden in een ‘register van verwerkingsactiviteiten’, het AVG Register.

Deze interne registratie vervangt de vroegere ‘aangifteplicht’ bij de Privacycommissie, en is een essentieel hulpmiddel voor de onderzoeker om aan zijn verantwoordingsplicht te voldoen.

Wanneer verwerkingsactiviteiten registreren?

Nieuwe verwerkingsactiviteiten

De registratie moet gebeuren voor elke nieuwe verwerkingsactiviteit, d.w.z. aan het begin van elk nieuw onderzoeksproject waarbij persoonsgegevens worden verwerkt (of de fase in het project waarbij persoonsgegevens worden verwerkt), en dit nog vóór de start van de eigenlijke verzameling/verwerking van de gegevens.

Bestaande verwerkingsactiviteiten

Ook bestaande verwerkingsactiviteiten moeten geregistreerd worden. Het gaat hier dus om lopende onderzoeksprojecten, of ze nu gestart zijn voor of na 25/05/2018 (d.i. de datum waarop de AVG in werking is getreden).

Updates

Daarnaast is het belangrijk om de info m.b.t. de geregistreerde verwerkingsactiviteiten up to date te houden gedurende de looptijd van het onderzoeksproject.

Waar en hoe verwerkingsactiviteiten registreren?

Voor onderzoek kunnen onderzoekers hun verwerkingsactiviteiten registreren tegelijk met het opstellen van een Data Management Plan (DMP), aangezien informatie in het AVG Register ingevoerd kan worden via de DMPonline.be interface.

Gebruik de templates in de online tool DMPonline.be

Er zijn twee mogelijke routes om verwerkingsactiviteiten m.b.t. persoonsgegevens te documenteren en registreren via DMPonline.be:

• Wanneer je een nieuw plan/nieuwe entry wil aanmaken in de tool, moet je eerst aangeven of je persoonsgegevens zal verwerken. Zo ja, dan worden enkel templates aangeboden waarin een reeks verplicht in te vullen AVG-vragen is opgenomen.

1. Indien je voor een onderzoeksproject een DMP wil of moet opstellen, bijvoorbeeld voor een externe financier, kan je tegelijk ook je verwerkingsactiviteiten registreren door een AVG-compatibele DMP template te gebruiken.
2. Indien je geen DMP schrijft of er reeds een afzonderlijk DMP bestaat, en je dus louter verwerkingsactiviteiten m.b.t. persoonsgegevens dient te registreren, kan je aan de slag met de UGent/UZ Gent template ‘GDPR Record’ (in het Engels) of 'AVG Register' (in het Nederlands).

 

Hoe ga je te werk?

Inloggen

• Log in met je UGent of UZ Gent account op https://dmponline.be.

Nieuw plan aanmaken

• Maak een nieuwe entry aan door op ‘Create plan’ te klikken.
• Geef in de ‘Create a new plan’ wizard de correcte titel van het onderzoeksproject in (verplicht) waarvoor je het DMP wil schrijven/de verwerkingsactiviteiten wil registreren, en selecteer de optie ‘I will process personal data’ zodat je zeker een template mét AVG-vragen te zien krijgt.
• Doorloop vervolgens de rest van de wizard om een geschikte template te kiezen (d.w.z. de UGent/UZ Gent ‘GDPR Record’ of ‘AVG Register’ template, of een AVG-compatibele DMP template). Selecteer een externe financier uit de lijst, of kies 'not applicable/not listed' indien je geen DMP schrijft voor een financier/je financier niet in de lijst staat.

Plan invullen

• Vul in het nieuw aangemaakte plan de ‘Plan details’ (d.i. basisinformatie m.b.t. het onderzoeksproject) aan:
  • wie een plan aanmaakt, wordt in de ‘Plan details’ automatisch ingevoerd als ‘Principal Investigator/Researcher’ van het onderzoeksproject. Je kan dit aanpassen indien nodig via ‘Add/Remove collaborators’. Via dezelfde weg kan je bovendien nog een bijkomende contactpersoon voor het plan opgeven waar aangewezen. Indien je zelf niet de hoofdpromotor van het project bent, voeg dan zeker je promotor toe als 'Principal Investigator' en verander je eigen rol naar 'Data Contact' voor het plan.
• Beantwoord de vragen in je plan. Je kan ze vinden door te navigeren naar de tabs naast ‘Plan details’:
  • om je verwerkingsactiviteiten m.b.t. persoonsgegevens te registreren, moet je alleszins de verplichte AVG-vragen invullen onder de tab ‘GDPR Record’ of ‘AVG Register’.
  • indien de verwerking van persoonsgegevens in je onderzoek een waarschijnlijk hoog risico inhoudt, zal je ook een Gegevensbeschermingseffectbeoordeling (GEB) of Data Protection Impact Assessment (DPIA) moeten uitvoeren door de vragen te beantwoorden onder de tab ‘GEB’ of ‘DPIA’.
  • indien je naast het registeren van verwerkingsactiviteiten/uitvoeren van een GEB ook nog een DMP schrijft, vind je eveneens een ‘DMP’ tab met vragen om je te helpen met het opstellen van je DMP.

Toegang Data Protection Officer

• De Data Protection Officer van UGent (privacy@ugent.be) / UZ Gent (dpo@uzgent.be) heeft automatisch toegang tot je plan in DMPonline.be (via de ‘Share’ tab zie je wie welke toegangrechten heeft op je plan, en kan je bovendien nog andere personen toegang geven).

Plan exporteren

• Je kan elke afzonderlijke component van je plan (AVG Register/GDPR Record, GEB/DPIA, DMP) uit de tool exporteren in verschillende bestandsformaten (.docx, .pdf, .txt), bv. wanneer je een mijlpaalversie wil opslaan, of wanneer je formeel een document wil indienen bij een financier, bij Onderzoekscoördinatie, bij je ethische commissie enz.
• Voor het eigenlijke registreren van verwerkingsactiviteiten ter naleving van de AVG volstaat in principe echter het invullen van de AVG-vragen in de online tool - specifiek daarvoor hoef je dus zelf geen document te exporteren en in te dienen. 
• Let wel: indien je voor je onderzoek een advies nodig hebt of wenst van een ethische commissie, vormt het indienen van je AVG Register/GDPR Record-document in elk geval een ontvankelijkheidsvereiste voor je aanvraag tot ethische goedkeuring. In dit geval moet je dus wel zelf een document exporteren uit de tool.

Plan up to date houden

• Hou je plan, en in het bijzonder de AVG-vragen, up to date in DMPonline.be in de loop van je onderzoeksproject. Via het ‘View plans’ menu kan je een lijst van reeds aangemaakte plannen zien die je vervolgens verder kan bewerken).

 

Een uitgebreidere handleiding voor het gebruik van DMPonline.be is te vinden in onderzoekstip: DMPonline.be: how do I write a Data Management Plan?

Meer informatie

• Onderzoek en privacy