Verwerkingsregister en DPIA Jottem

Versie 0.1 - 18 augustus 2026 - concept door een niet-jurist, vóór gebruik laten controleren door een jurist!!!

Dit document bundelt drie AVG-verantwoordingsinstrumenten voor het Jottem platform:

• Deel 1: het verwerkingsregister van de Platformbeheerder als verwerkingsverantwoordelijke (artikel 30 lid 1 AVG);

• Deel 2: het register van de Platformbeheerder als verwerker voor de Organisaties (artikel 30 lid 2 AVG);

• Deel 3: een modelregister dat elke deelnemende Organisatie invult voor haar eigen organisatiejottem;

• Deel 4: een voorzet voor de DPIA (gegevensbeschermingseffectbeoordeling, artikel 35 AVG).

De rolverdeling en grondslagen sluiten aan op het Privacybeleid, de Samenwerkingsovereenkomst (artikel 5) en de belangenafweging in Risico’s en wet- en regelgeving (paragraaf 1.5).

Deel 1. Register als verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke: [naam rechtspersoon invullen], [adres], [e-mailadres]. Functionaris voor gegevensbescherming: [niet aangesteld / naam invullen].

Beveiligingsmaatregelen (art. 32 AVG): zie het Privacybeleid ("Hoe beveiligen we jouw gegevens?") en de dienstenbijlage (SLA). Doorgiften buiten de EER: alleen de optionele kopie bij het Internet Archive, zie het doorgifte-memo.

Deel 2. Register als verwerker

De Platformbeheerder verwerkt als verwerker, in opdracht van elke deelnemende Organisatie (verwerkersovereenkomst: SOK artikel 5):

Deel 3. Modelregister voor de Organisatie

Elke Organisatie is verwerkingsverantwoordelijke voor de bijdragen in haar organisatiejottem en houdt daarvoor een eigen register bij. Dit model kan de Organisatie overnemen en aanvullen:

Deel 4. DPIA-voorzet

Waarom een DPIA? Het platform publiceert stelselmatig persoonsgegevens van mensen die daar niet zelf voor kozen (personen op foto’s, genoemden in herinneringen), maakt die gegevens als open data breed beschikbaar en zet automatische detectie van herkenbare personen in (het Herkenbaar-signaal). Die combinatie maakt een DPIA verstandig en vermoedelijk verplicht (art. 35 AVG; AP-lijst van verplichte DPIA-categorieën: [toetsen door jurist]). Deze voorzet volgt de gebruikelijke opbouw; de projectgroep vult aan en de verantwoordelijken bekrachtigen.

1. Beschrijving van de verwerking. Zie Deel 1-3 en de systeembeschrijving in het ontwerpdocument. Kern: gebruikers zenden erfgoedmateriaal in; moderators beoordelen vóór publicatie op kwaliteit, privacy/portretrecht, auteursrecht en het onderscheid herinnering/feit; goedgekeurd materiaal wordt gepubliceerd, als open data aangeboden en duurzaam opgeslagen (primair binnen de EER).

2. Noodzaak en evenredigheid. De uitgeschreven belangenafweging in Risico’s en wet- en regelgeving 1.5 (belang, noodzaak, afweging) is hier onderdeel van deze DPIA. Kernpunten: zonder personen en namen verliest erfgoed zijn betekenis; beperking tot wat nodig is (geen contactgegevens, geen bijzondere categorieën, alleen materiaal binnen het projectthema); moderatie vóór publicatie als centrale waarborg.

3. Risico’s voor betrokkenen en maatregelen.

4. Conclusie en besluit. [In te vullen na bespreking: restrisico’s aanvaardbaar ja/nee; bij een hoog restrisico voorafgaande raadpleging van de Autoriteit Persoonsgegevens (art. 36 AVG). Ondertekening door Platformbeheerder en deelnemende Organisaties.]

5. Herijking. Jaarlijks, en altijd bij nieuwe functies die persoonsgegevens raken (nieuwe AI-functies, nieuwe datastromen, wijziging van de opslagketen).