Een lokaal bestuur heeft het lastigste verwerkingsregister van allemaal. Niet omdat de regels anders zijn, maar omdat het aantal verwerkingen dat niet is. Burgerzaken, sociale dienst, gemeentebelastingen, subsidies, vergunningen, klachten, personeel, bibliotheek, sportdienst, camerabewaking, GAS-boetes, de gemeentelijke basisschool. Elke dienst heeft eigen gegevens, eigen wetgeving en een eigen antwoord op de vraag «waarom mogen we dit?».
Daar komt sinds 2026 een tweede register bij: dat van de AI-systemen. En voor besturen komt daar vanaf december 2027 nog de grondrechteneffectbeoordeling bovenop. Dit artikel zet op een rij wat een bestuur nodig heeft, in welke volgorde, en waar het in de praktijk vastloopt.
Waarom de rechtsgrond bij een bestuur anders werkt
Het grootste verschil met een onderneming zit in artikel 6. Een bestuur verwerkt zelden op basis van toestemming, en het mag zich ook niet zomaar op een gerechtvaardigd belang beroepen: artikel 6.1 sluit die grondslag uitdrukkelijk uit voor verwerkingen die overheidsinstanties in het kader van hun taken verrichten.
Wat overblijft is in de praktijk bijna altijd één van deze twee:
- Artikel 6.1.c — noodzakelijk om te voldoen aan een wettelijke verplichting.
- Artikel 6.1.e — noodzakelijk voor de vervulling van een taak van algemeen belang of van openbaar gezag.
Beide vragen een grondslag in het recht. Dat betekent: een vindplaats. Het Decreet Lokaal Bestuur, het Gemeentedecreet, de wet op de bevolkingsregisters, het Vlaams reglement, het gemeenteraadsbesluit. Een register waarin bij twintig verwerkingen «wettelijke verplichting» staat zonder één artikelnummer, is voor een toezichthouder geen register maar een vermoeden.
De praktische regel: bij elke lijn waar 6.1.c of 6.1.e staat, hoort een vindplaats in de kolom ernaast. Wie dat niet volhoudt, moet het achteraf reconstrueren, en dat is werk voor weken.
Waar besturen structureel op vastlopen
1. Het register is een verzameling losse bestanden per dienst
Elke dienst houdt zijn eigen Excel bij, de DPO plakt ze één keer per jaar samen. Dat werkt tot iemand een vraag stelt die twee diensten raakt — een datalek in het personeelssysteem dat ook de sociale dienst gebruikt, bijvoorbeeld. Dan blijkt dat «verwerking 14» in het ene bestand iets anders is dan in het andere.
2. Bijzondere categorieën staan er niet in als bijzonder
De sociale dienst verwerkt gezondheidsgegevens. Een dossier over een leefloon raakt bijna altijd artikel 9. Handhaving en GAS raken artikel 10, en dat is een ander regime: artikel 10 kent de uitzonderingsgronden van artikel 9.2 níet. Wie strafrechtelijke gegevens onder een artikel 9-grond hangt, heeft een fout in zijn register staan die inhoudelijk telt.
3. Kwetsbare betrokkenen worden niet als zodanig geteld
Minderjarigen in de buitenschoolse opvang, mensen in een afhankelijkheidsrelatie bij de sociale dienst, asielzoekers, ouderen in een woonzorgcentrum. De richtsnoeren van de EDPB tellen kwetsbaarheid mee als criterium voor de DPIA-verplichting. Wie dat niet aanvinkt bij het invullen, mist de triage — en ontdekt pas bij een controle dat er een DPIA had moeten zijn.
4. De doorgifte binnen de overheid wordt overgeslagen
Gegevens gaan naar het Rijksregister, de Kruispuntbank, een intergemeentelijk samenwerkingsverband, een zorgraad. Dat zijn ontvangers, en soms zelfs gezamenlijke verantwoordelijken. In veel registers ontbreken ze, omdat ze «geen derde partij» voelen. Ze zijn het wel.
De twee registers naast elkaar
Sinds de AI-verordening heeft een bestuur er een tweede inventaris bij. De vraag is niet of je die nodig hebt, maar hoe je ze koppelt aan wat er al staat.
| Verwerkingsregister (AVG art. 30) | AI-systeemregister (AI-verordening) | |
|---|---|---|
| Eenheid | De verwerking | Het AI-systeem, in een rol |
| Kernvraag | Waarom mogen we dit? | Welke risicoklasse, en welke plichten volgen daaruit? |
| Verplicht vanaf | 2018 | De facto nu: zonder inventaris kun je niet aantonen dát je geen hoogrisicosysteem hebt |
| Raakvlak | Blok geautomatiseerde besluitvorming (art. 22) | Verwijzing naar de verwerking waar het systeem in draait |
| Volgend document | DPIA (art. 35) | FRIA (art. 27), voor wie een publieke taak vervult |
Praktisch begin je bij de producten die al draaien: de notuleerhulp bij de gemeenteraad, Copilot op de dienst, een chatbot op de website, slimme camera’s, een tool die subsidieaanvragen voorsorteert. Meer daarover in AI-register opstellen. En vergeet artikel 50 niet: de transparantieplicht geldt sinds 2 augustus 2026 en raakt elke gemeentelijke chatbot en elk gegenereerd beeld in de gemeentelijke communicatie.
De FRIA: waarom besturen er niet onderuit komen
Artikel 27 van de AI-verordening legt een grondrechteneffectbeoordeling op aan wie een hoogrisicosysteem uit bijlage III inzet én tot een van twee groepen behoort: publiekrechtelijke instanties, of private entiteiten die openbare diensten verlenen. Dat tweede haakje wordt vaak over het hoofd gezien: een autonoom gemeentebedrijf, een zorgvoorziening met een publieke opdracht of een intercommunale valt er evengoed onder.
De verplichting schuift op naar 2 december 2027 voor bijlage III-systemen, samen met de rest van het hoogrisicoregime. Dat is geen reden om te wachten, om één simpele reden: artikel 27.4 zegt dat de FRIA een bestaande DPIA aanvult. Wie zijn DPIA’s op orde heeft, schrijft straks een FRIA in dagen. Wie ze niet heeft, begint van nul in een jaar waarin iedereen tegelijk begint. De volledige uitleg staat in FRIA: de grondrechteneffectbeoordeling van artikel 27.
Een werkbare volgorde
- Begin bij de diensten, niet bij de systemen. Loop het organogram af en vraag per dienst: welke dossiers houden jullie bij, en van wie? Dat levert sneller een volledig beeld op dan een inventaris van software.
- Zet de rechtsgrond met vindplaats erbij, meteen. Achteraf toevoegen kost drie keer zoveel tijd. Doe hetzelfde met de bewaartermijn en zijn startpunt: voor een bestuur komt daar vaak een archiefregime bij dat het verwerkingsdoel overneemt.
- Vink kwetsbare categorieën aan terwijl je invult. Dat voedt je DPIA-triage automatisch.
- Doe de DPIA’s die eruit komen, in volgorde van risico. Niet alles tegelijk, wel de zwaarste eerst.
- Inventariseer de AI-systemen en bepaal per systeem je rol en klasse.
- Zet hertoetsdata. Een register dat één keer per jaar in maart wordt aangeraakt, klopt elf maanden per jaar niet.
Waarom een clouddienst voor besturen extra ongemakkelijk is
In een gemeentelijk verwerkingsregister staat de volledige kaart van de organisatie: welke gegevens waar staan, wie erbij kan, hoe ze beveiligd zijn en waar de gaten zitten. In het datalekregister staat wat er al is misgegaan. Dat is, letterlijk, het meest gerichte inbraakplan dat van dat bestuur bestaat.
Zet je dat bij een leverancier, dan komen daar drie dingen bij: je hebt een verwerkersovereenkomst nodig met de leverancier van je GDPR-tool, je moet die doorgifte zelf verantwoorden, en je bent afhankelijk van hun continuïteit. De volledige afweging staat in GDPR-software vergelijken: cloud of lokaal.
Het DPO-dossier is daarom een lokale toepassing: alles staat versleuteld in één bestand op je eigen schijf, de tool doet geen enkel netwerkverzoek, en de broncode zit in de zip zodat je IT-dienst dat in vijf minuten kan nakijken. Voor besturen zit er een startpakket in dat in één klik de gangbare verwerkingen neerzet — burgerzaken, subsidies, vergunningen, klachten, sociale dienst en gemeentebelastingen — plus het volledige FRIA-regime van artikel 27, inclusief de cumulatieve trigger. Werk je in een tweetalige of Franstalige context, dan hoort de taal bij het dossier: ook de Word- en PDF-export komen er dan in het Frans uit.
Veelgestelde vragen
Moet elk lokaal bestuur een DPO hebben?
Ja. Artikel 37.1.a maakt een DPO verplicht voor elke overheidsinstantie en elk overheidsorgaan, ongeacht de omvang. Meerdere besturen mogen wel één DPO delen. Of je die intern of extern invult, is een aparte afweging — zie interne of externe DPO.
Moet ons verwerkingsregister openbaar zijn?
De AVG verplicht dat niet; artikel 30.4 zegt alleen dat je het op verzoek aan de toezichthouder ter beschikking stelt. Veel besturen publiceren toch een publieksversie, en dat is verdedigbaar — maar publiceer dan een versie zonder beveiligingsmaatregelen en zonder systeemnamen. Die twee kolommen zijn precies wat je niet online wilt hebben.
Geldt de FRIA nu al?
Nee. Door de Digital Omnibus, die op 27 juli 2026 in werking trad, verschuift het hoogrisicoregime van bijlage III naar 2 december 2027 en dat van bijlage I naar 2 augustus 2028. De transparantieverplichtingen van artikel 50 schoven níet mee: die gelden sinds 2 augustus 2026.
Kunnen we ons bestaande Excel-register overzetten?
Ja. Het DPO-dossier leest een xlsx of csv in, stelt per kolom een veld voor en toont wat de eerste rijen zouden worden. «Overeenkomst» wordt de officiële formulering van artikel 6.1.b, «Personeel» wordt «Personeelsleden». Wat niet in een keuzelijst past, wordt niet geraden maar in de opmerking gezet, met vermelding van de kolom. Alles gebeurt lokaal.
Werk je bij een lokaal bestuur en wil je het register, de DPIA’s, het AI-register en de FRIA in één dossier? Het DPO-dossier draait volledig offline op je eigen schijf. Dertig dagen gratis proberen, of doe eerst de gratis GDPR-scan.
