GDPR-proof cloudopslag: de checklist voor je aanbieder

Of: waarom geen enkele dienst GDPR-proof is, maar jouw gebruik ervan wel

„GDPR-proof” staat op veel websites van opslagdiensten. Het is een geruststelling, geen garantie. De GDPR legt de verantwoordelijkheid bij jou, de onderneming die beslist waarvoor de gegevens dienen. De opslagdienst is je verwerker. Of het geheel in orde is, hangt af van de afspraken tussen jullie twee. Wie een Europese aanbieder kiest, heeft daarmee een goed begin, maar nog geen afgevinkte lijst.

Kort: vraag de verwerkersovereenkomst op, en controleer de zeven punten hieronder.

Cloudopslag en de GDPR: de checklist

1. Is er een verwerkersovereenkomst? Artikel 28 vraagt een contract waarin staat welke gegevens de aanbieder verwerkt, waarvoor, en dat hij alleen jouw instructies volgt. Bij zakelijke formules zit die meestal in de voorwaarden, vaak als „data processing agreement”. Bij gratis consumentenaccounts meestal niet.
2. Welke subverwerkers zijn er? De aanbieder mag andere bedrijven alleen inschakelen met jouw toestemming, en moet je verwittigen als hij er een toevoegt of vervangt, zodat je bezwaar kunt maken.
3. Waar gaan de gegevens naartoe? Doorgifte buiten de Europese Economische Ruimte mag alleen onder de voorwaarden van hoofdstuk V van de GDPR, bijvoorbeeld naar een land dat de Europese Commissie als passend erkent, zoals Zwitserland.
4. Hoe is de beveiliging geregeld? Artikel 32 vraagt passende technische en organisatorische maatregelen. Denk aan versleuteling, toegangsbeheer en certificeringen zoals ISO/IEC 27001.
5. Wat bij een datalek? De verwerker moet je zonder onredelijke vertraging verwittigen. Jij doet dan, als het nodig is, de melding bij de Gegevensbeschermingsautoriteit, binnen 72 uur nadat je ervan op de hoogte bent.
6. Wat als je stopt? De verwerkersovereenkomst bepaalt dat de aanbieder je gegevens teruggeeft of wist als de dienstverlening eindigt.
7. Kun je controleren? De aanbieder moet je de informatie geven om aan te tonen dat hij zich aan de afspraken houdt, en audits mogelijk maken. In de praktijk gebeurt dat via certificaten en rapporten.

Wat jij zelf moet doen

De aanbieder doet zijn deel, jij het jouwe. Noteer de dienst in je verwerkingsregister, vermeld hem in je privacyverklaring, geef medewerkers alleen toegang tot wat ze nodig hebben, en wis wat je niet meer moet bewaren. Geen enkele opslagdienst doet dat voor je. Herhaal de controle wanneer je aanbieder zijn voorwaarden of zijn lijst met subverwerkers wijzigt, of wanneer je een nieuwe dienst toevoegt.

Duw het beeld van het label één stap verder. Een auto kan alle veiligheidstests doorstaan; wie zonder gordel rijdt, is er niet veiliger door. GDPR-proof is geen eigenschap van de auto, maar van de rit.

Kmo-Kristof: Onze opslagdienst is GDPR-proof. Dat staat op hun website.

Security-Sofie: Heb je de verwerkersovereenkomst?

Kmo-Kristof: Ergens, denk ik.

Security-Sofie: Zoek ze. Dat is het enige deel van „GDPR-proof” dat over jou gaat.

Waar je gegevens staan

Punt drie van de lijst vraagt dat je weet waar je gegevens naartoe gaan. Hoe je dat nagaat, lees je bij de plek van je gegevens nagaan.

Zwitserland en de GDPR

Waarom gegevens naar Zwitserland mogen zonder extra contracten, staat bij opslag in Zwitserland.

Aanbieders in Europa

Welke aanbieders in de EU, de EER of Zwitserland zitten, staat bij de Europese cloudaanbieders per land.