Waar staan je bestanden? Datacenters en gegevenslocatie nagaan
Waar je gegevens staan in de cloud, lees je zelden op de homepage van een aanbieder. Je vindt het in de verwerkersovereenkomst, in de lijst met subverwerkers en soms in de beheerinstellingen van je account. Voor een kmo is die informatie nodig om te weten of gegevens de Europese Economische Ruimte verlaten, en om haar eigen privacyverklaring correct in te vullen. Deze gids toont waar je zoekt en welke vragen je stelt.
Of: waarom de plek van je gegevens in de kleine letters staat, en niet op de folder
„Je gegevens zijn veilig bij ons” staat op elke homepage. Waar ze staan, staat er bijna nooit. Wie zijn bestanden in Europa wil houden, moet dus zelf zoeken. Dat is geen overbodige luxe: de GDPR regelt in hoofdstuk V wanneer persoonsgegevens de Europese Economische Ruimte mogen verlaten, en dat gebeurt sneller dan je denkt, via een subverwerker of een ondersteuningsdienst.
Kort: zoek in drie documenten en één scherm, en stel de aanbieder drie vragen.
Waar staan mijn gegevens: zo ga je het na
Drie documenten
- De verwerkersovereenkomst. Daarin staat waar de aanbieder je gegevens verwerkt, en onder welke voorwaarden doorgifte buiten de EER mag.
- De lijst met subverwerkers. Grote aanbieders publiceren welke andere bedrijven ze inschakelen, en in welk land. Een opslagdienst in Europa kan voor ondersteuning of e-mail een partner elders gebruiken.
- De privacyverklaring of het beveiligingsdocument van de aanbieder. Daar staat vaak in welke datacenters de dienst draait.
Eén scherm
Bij sommige diensten zie of kies je de regio zelf.
- pCloud laat bij het aanmaken van je account kiezen tussen een datacenter in Luxemburg of in de Verenigde Staten.
- Microsoft 365 toont in het beheercentrum waar de gegevens van je organisatie worden bewaard.
- Google Workspace biedt gegevensregio’s alleen in zijn duurste formule.
- kDrive bewaart alles in de eigen datacenters van Infomaniak in Zwitserland; daar valt niets te kiezen.
Drie vragen aan de aanbieder
- In welk land staan mijn bestanden, en ook de back-ups ervan?
- Welke subverwerkers kunnen bij mijn gegevens, en waar zitten ze?
- Onder welke wet valt het bedrijf zelf, en kan een buitenlandse overheid gegevens opvragen?
De derde vraag is de lastigste. Een Amerikaans bedrijf blijft onder de Amerikaanse wet vallen, ook als zijn servers in Europa staan. Voor doorgifte naar de Verenigde Staten geldt sinds juli 2023 het EU-US Data Privacy Framework, voor bedrijven die zich daarbij aansluiten.
Duw het beeld van de folder één stap verder. Op de folder staat de foto van het gebouw. In het contract staat het adres, en in de bijlage wie er nog een sleutel heeft.
Kmo-Kristof: Onze opslag staat in Europa. Dat staat in de reclame.
Security-Sofie: En de back-ups?
Kmo-Kristof: Die toch ook?
Security-Sofie: Kijk het na in de verwerkersovereenkomst. Reclame belooft het gebouw. Het contract belooft de rest.
Wat je ermee doet
Wat je vindt, noteer je in je verwerkingsregister en in je privacyverklaring: welke dienst, welke gegevens, in welk land. Staat er iets buiten de EER, dan noteer je ook op welke basis de doorgifte gebeurt. Kijk het jaarlijks opnieuw na: aanbieders openen nieuwe datacenters en wijzigen hun subverwerkers, en wat vorig jaar klopte, klopt niet vanzelf nog.
Amerikaans met Europese servers
Wat een Europees datacenter van een Amerikaanse aanbieder wel en niet verandert, staat bij Amerikaanse cloud in Europa.
De volledige checklist
De plek van de gegevens is één van de vragen die je elke aanbieder stelt. De rest staat bij de checklist voor GDPR-proof opslag.
Aanbieders met alles in Europa
Wie een aanbieder zoekt waar bedrijf en servers in Europa zitten, vindt ze bij de Europese cloudaanbieders per land.