Een bezoekersregistratie via een touchscreen-display is een verwerking van persoonsgegevens en valt daarmee volledig onder de AVG (in België: de GDPR zoals gehandhaafd door de Gegevensbeschermingsautoriteit). Dat betekent: je hebt een rechtmatige grondslag nodig, je informeert bezoekers vóór de registratie, je verzamelt alleen wat strikt noodzakelijk is en je verwijdert de data zodra het doel is bereikt. Wie dit goed inricht, voldoet tegelijk aan de Arbowet-eis voor evacuatieoverzichten.
Wat de AVG precies vereist voor bezoekersregistratie
De AVG kent geen aparte regels voor bezoekersregistratie, maar drie beginselen uit artikel 5 van de verordening zijn direct van toepassing:
| AVG-beginsel | Artikel | Wat het betekent voor jouw display |
|---|---|---|
| Doelbinding | Art. 5 lid 1 sub b | Registreer alleen voor toegangscontrole en BHV-overzicht — niet voor marketing of analyse achteraf |
| Minimale gegevensverwerking | Art. 5 lid 1 sub c | Naam en bedrijf zijn doorgaans gerechtvaardigd; geboortedatum of volledige bezoekreden zelden |
| Opslagbeperking | Art. 5 lid 1 sub e | Verwijder of anonimiseer zodra het doel vervalt |
| Integriteit en vertrouwelijkheid | Art. 5 lid 1 sub f | Bescherm gegevens tegen inzage door andere bezoekers of onbevoegden |
Daarnaast geldt de informatieplicht van artikel 13: bezoekers moeten vóór de registratie weten welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en bij wie ze terecht kunnen met een verzoek tot verwijdering.
Wat mag je wél registreren?
De vuistregel is: verzamel alleen wat je nodig hebt voor het specifieke doel. Voor standaard toegangscontrole en BHV zijn dit de gerechtvaardigde velden:
- Naam en eventueel bedrijfsnaam
- Aankomsttijd (en vertrektijd bij uitcheck)
- Contactpersoon of afdeling die de bezoeker ontvangt
- Akkoord op privacyverklaring (vastgelegd als tijdstempel)
Velden die je niet zomaar mag vragen:
- Geboortedatum of leeftijd (tenzij wettelijk vereist, bijv. voor toegang tot gevaarlijke zones)
- Telefoonnummer of e-mailadres (alleen met expliciete toestemming en een apart doel)
- Foto of gezichtsopname (bijzondere categorie; vereist uitdrukkelijke toestemming of wettelijke verplichting)
- Reden van bezoek in detail (kan gevoelige informatie onthullen over zakelijke relaties)
Een concreet voorbeeld: een gemeente die bezoekers registreert bij de publieksbalie mag naam en aankomsttijd vastleggen voor de BHV-lijst. Het vastleggen van het onderwerp van het gesprek (bijv. "bezwaarschrift bestemmingsplan") valt buiten de minimale gegevensverwerking en vereist een aparte grondslag.
Toestemming correct vastleggen op een display
Toestemming is onder de AVG alleen geldig als die vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven. Op een registratie-display betekent dit in de praktijk:
- Toon de privacyverklaring vóór het invoerformulier — niet als voetnoot ná de registratie.
- Gebruik een actieve opt-in: een aangevinkt vakje dat de bezoeker zelf moet bevestigen, geen vooraf aangevinkte checkbox.
- Leg het akkoord vast met tijdstempel — zodat je bij een audit kunt aantonen dat toestemming is verkregen.
- Maak weigeren mogelijk zonder gevolgen: een bezoeker die geen toestemming geeft, mag je niet de toegang weigeren tenzij er een andere wettelijke grondslag is (bijv. beveiligingsbeleid op basis van gerechtvaardigd belang).
Een papieren gastenboek bij de balie voldoet hier structureel niet aan: andere bezoekers kunnen de gegevens van eerdere bezoekers inzien, wat precies de onbedoelde inzage is die de AVG wil voorkomen.
Bewaartermijnen: hoe lang is lang genoeg?
De AVG stelt geen vaste bewaartermijn, maar bepaalt dat gegevens niet langer bewaard mogen worden dan noodzakelijk voor het doel. Voor bezoekersregistratie in het kader van veiligheid en Arbowet hanteren de meeste organisaties 4 tot 12 weken als gebruikelijke termijn; voor reguliere toegangscontrole geldt 90 dagen als gangbare standaard.
Praktische inrichting op je display-systeem:
- Stel automatische verwijdering in na de gekozen termijn — handmatige verwijdering is foutgevoelig.
- Anonimiseer als je statistieken wil bijhouden (bijv. bezoekersaantallen per dag): geanonimiseerde data valt buiten de AVG.
- Documenteer de gekozen termijn en de onderbouwing in je verwerkingsregister — de Autoriteit Persoonsgegevens kan hierom vragen bij een controle.
Bij niet-naleving kan de Autoriteit Persoonsgegevens ingrijpen met waarschuwingen, boetes of verplichte aanpassingen van processen.
NL/BE-specifieke aandachtspunten
Nederland: De Autoriteit Persoonsgegevens hanteert het beginsel dat de bewaartermijn wordt beoordeeld in relatie tot het doel. Er is geen sectorspecifieke norm voor kantoren, maar de AP verwacht dat je de keuze kunt onderbouwen. Gemeenten en overheidsinstanties vallen bovendien onder de Archiefwet, die aanvullende bewaareisen kan stellen.
België: De Gegevensbeschermingsautoriteit (GBA) hanteert dezelfde GDPR-grondslagen maar heeft een eigen klachtenprocedure. Belgische organisaties dienen ook rekening te houden met de wet van 3 december 2017 tot oprichting van de GBA, die aanvullende nationale bevoegdheden regelt. Voor Belgische kantoren geldt bovendien dat de taalwetgeving (Brussel, Vlaanderen, Wallonië) invloed kan hebben op de taal van de privacyverklaring op het display.
Beide landen: Gebruik bij voorkeur een verwerkersovereenkomst met de softwareleverancier van je registratiesysteem als die leverancier data verwerkt namens jouw organisatie. Sla data op in Europese datacenters om complexe doorgifte-afspraken buiten de EU te vermijden.
Praktische checklist voor jouw display-inrichting
Gebruik deze lijst als minimumvereiste vóór ingebruikname:
- Privacyverklaring zichtbaar vóór het invoerformulier
- Actieve opt-in (niet vooraf aangevinkt)
- Alleen naam, bedrijf, aankomsttijd en contactpersoon als standaardvelden
- Geen foto, geboortedatum of gedetailleerde bezoekreden zonder aparte grondslag
- Automatische verwijdering ingesteld (4–12 weken, gedocumenteerd)
- Gegevens niet zichtbaar voor andere bezoekers op het scherm
- Toegang tot de bezoekersdata beperkt tot geautoriseerde medewerkers
- Verwerkersovereenkomst met softwareleverancier aanwezig
- Vermelding in het intern verwerkingsregister
- Procedure voor inzage- en verwijderingsverzoeken van bezoekers
De PixioKiosk — beschikbaar in formaten van 21,5" tot 49" (prijslijst Q2 2026: vanaf €1.395 koop of €31 p.m. lease) — draait op Android 13/14 en laat je via de PixioApp of een externe URL een volledig eigen registratieflow instellen, inclusief privacyverklaring en opt-in scherm. Zo controleer je zelf de weergave en hoef je niet te vertrouwen op een standaardtemplate van een derde partij.
Voor een bredere uitleg over hoe je een digitale receptie als geheel inricht — van welkomstscherm tot bezoekersflow — lees je Digitale receptie en welkomstscherm: eerste indruk tot bezoekersregistratie.
