Je verwerkingsregister invullen voor WhatsApp-berichten — stap voor stap (art. 30 AVG)

Elke KMO die persoonsgegevens verwerkt, moet onder artikel 30 AVG een verwerkingsregister bijhouden — een overzicht van welke verwerkingen er plaatsvinden, met welk doel, en welke waarborgen erbij horen. WhatsApp-verkeer via een API-provider zoals TextMeFlow is zo'n verwerking, en toch staat het in de praktijk vaak niet (correct) in het register, simpelweg omdat niemand goed weet welke velden erbij horen.

Dit artikel is een concrete invulhulp: geen juridisch advies (zie disclaimer onderaan), wel een praktische checklist met de velden die een toezichthouder verwacht, en voorbeeldtekst die je kan hergebruiken.

Waarom WhatsApp-berichten een eigen regel verdienen

Veel bedrijven proppen "klantcommunicatie" in één brede regel van hun verwerkingsregister, samen met e-mail, SMS en telefonie. Dat werkt tot er een klacht of datalek is — dan vraagt de toezichthouder specifiek naar het WhatsApp-kanaal, en een vage regel "communicatie met klanten" houdt geen stand. WhatsApp-berichten verlopen via een derde partij (je API-provider), ze bevatten vaak telefoonnummers plús inhoud (afspraakdetails, bestelstatus, documenten), en de bewaartermijn verschilt meestal van e-mail. Dat zijn drie redenen om er een eigen, specifieke regel aan te wijden.

De velden die art. 30 AVG vereist

Voor elke verwerking moet je register minstens deze velden bevatten:

1. Naam en contactgegevens van de verwerkingsverantwoordelijke — jouw bedrijf, met een contactpunt voor privacyvragen.
2. Doel van de verwerking — wees specifiek: "versturen van afspraakbevestigingen en -herinneringen via WhatsApp", niet "klantenservice".
3. Categorieën van betrokkenen — klanten, prospects, medewerkers (als je ook intern WhatsApp gebruikt voor planning).
4. Categorieën van persoonsgegevens — telefoonnummer (verplicht veld), naam, berichtinhoud, eventueel bijlagen (foto's, facturen, documenten) als je media verstuurt.
5. Categorieën van ontvangers — hier komt je API-provider in: naam van de verwerker, en of er sub-verwerkers zijn (bv. hostingpartij).
6. Doorgifte naar derde landen — binnen de EU (zie hieronder) of niet.
7. Bewaartermijn — concreet getal, met motivatie. Zie ook ons artikel over bewaartermijnen voor WhatsApp-berichten als je deze termijn nog moet vastleggen.
8. Beschrijving van de technische en organisatorische maatregelen — encryptie, toegangsbeperking, HMAC-signatures op webhooks, etc.

Voorbeeldregel om te hergebruiken

Een concrete regel in je register zou er zo kunnen uitzien:

Verwerking: WhatsApp-berichtenverkeer (transactioneel + herinneringen)
Doel: afspraakbevestigingen, status-updates en herinneringen naar klanten
Betrokkenen: klanten
Gegevenscategorieën: telefoonnummer, naam, berichtinhoud, bijlagen (optioneel)
Ontvangers/verwerkers: TextMeFlow (Fades Management EOOD, Bansko, Bulgarije) — EU-hosting (Parijs)
Doorgifte derde landen: geen, verwerking blijft binnen de EU
Bewaartermijn: [jouw gemotiveerde termijn]
Rechtsgrond: uitvoering overeenkomst (transactioneel) / toestemming (marketing)
Beveiligingsmaatregelen: TLS, HMAC-signed webhooks, toegangscontrole op API-key

Pas de rechtsgrond aan naargelang het type bericht: een bestelbevestiging steunt doorgaans op uitvoering van de overeenkomst, een marketingbericht vereist een geldige toestemming (opt-in). Meng die twee niet in dezelfde regel als je rechtsgrond per berichttype verschilt.

De verwerker zelf: wat moet je checken

Je register verwijst naar je API-provider als verwerker, maar dat volstaat niet zonder een onderliggende verwerkersovereenkomst (DPA). Als je die nog niet hebt afgesloten of gekoppeld aan je register, lees eerst ons artikel over de verwerkersovereenkomst voor een WhatsApp API — daar staat ook hoe je de DPA aan dezelfde registerregel koppelt. Vraag ook na waar de servers van je provider staan: data die binnen de EU blijft, is een stuk eenvoudiger te verantwoorden dan data die naar een derde land gaat.

Veelgemaakte fouten

• Eén regel voor alle kanalen. E-mail, SMS en WhatsApp hebben vaak andere verwerkers, bewaartermijnen en risico's — splits ze.
• Geen koppeling met de DPA. Het register verwijst naar een verwerker, maar niemand kan de overeenkomst terugvinden wanneer het nodig is.
• Vergeten bijlagen te vermelden. Verstuur je facturen, foto's of documenten via WhatsApp? Dat zijn aparte gegevenscategorieën die apart vermeld moeten worden.
• Het register nooit updaten. Een nieuwe integratie (bijvoorbeeld een nieuwe webhook naar je CRM) betekent een nieuwe of aangepaste regel, niet alleen een technische wijziging.

Hoe dit zich verhoudt tot je techniek

Het register is geen los administratief document — het moet overeenkomen met wat er technisch gebeurt. Wil je weten welke velden precies via je webhooks passeren (en dus welke gegevenscategorieën je moet vermelden), check dan de webhooks-documentatie. Zo vul je het register in op basis van wat er werkelijk verstuurd wordt, niet op basis van een vermoeden.

Dit artikel geeft algemene informatie en is geen juridisch advies. Voor een sluitend verwerkingsregister dat aansluit op jouw specifieke situatie, raden we aan een jurist of DPO te raadplegen.

Wil je zelf starten met een WhatsApp API die EU-hosting en een automatische DPA op betaalde plannen combineert? Maak een gratis account en test de eerste 50 berichten zonder kosten.