De verwerkersovereenkomst met Google zit in de zakelijke voorwaarden. U kunt instellen dat kerngegevens binnen de EU worden opgeslagen. Wat u zelf doet: toegang beperken met gedeelde drives en groepen, bewaartermijnen instellen, beveiliging op orde brengen, vastleggen in uw register, en een verwerkersovereenkomst sluiten met uw IT-beheerder.
Wat al geregeld is
Bij een zakelijk Google Workspace-abonnement accepteert u voorwaarden waarin de verwerkersovereenkomst is opgenomen. U hoeft daarvoor niets apart te tekenen en niets extra's te betalen. Een leverancier die u hier een factuur voor stuurt, verkoopt u lucht.
Gebruikt u een gratis Gmail-account voor uw bedrijf, dan geldt dit níet: die voorwaarden zijn voor particulier gebruik en bevatten geen verwerkersovereenkomst. Dat is een van de redenen om over te stappen op een zakelijk abonnement.
Datalocatie
Bij de zakelijke abonnementen kunt u instellen dat kerngegevens — Gmail, Drive, agenda — in Europa worden opgeslagen. Dat is bij de hogere abonnementen een instelling in de beheerconsole.
Ondersteuning en enkele aanvullende diensten kunnen gegevens buiten de EU verwerken; daarvoor gelden standaardcontracten. Voor een gewoon MKB-bedrijf is dat geen beletsel.
De vijf dingen die u zelf doet
- Gedeelde drives in plaats van persoonlijke mappen. Bedrijfsgegevens in de Drive van een medewerker zijn lastig te overzien en verdwijnen bij vertrek. Met gedeelde drives is het bedrijf eigenaar en zijn de rechten per groep geregeld.
- Toegang beperken. Personeelsdossiers en salarisgegevens horen niet zichtbaar te zijn voor iedereen. Dit is de meest voorkomende overtreding die ik tegenkom, en het kost een uur om te herstellen.
- Extern delen begrenzen. Zet links standaard op specifieke personen en geef externe toegang een vervaldatum.
- Bewaartermijnen instellen. Niet langer bewaren dan nodig is een verplichting. Ruim jaarlijks op: sollicitaties, oude dossiers, gegevens van vertrokken medewerkers.
- Vastleggen in uw verwerkingsregister welke persoonsgegevens u in Google Workspace verwerkt, waarom, hoe lang en wie erbij kan.
Een inzageverzoek afhandelen
Vraagt iemand welke gegevens u van hem heeft, dan moet u zoeken in mailboxen, Drive en agenda's tegelijk. Google Vault kan dat over de hele omgeving, maar zit alleen in de hogere abonnementen.
Zorg dat u weet wie die zoekopdracht kan uitvoeren en hoe. U heeft doorgaans een maand om te reageren, en dat is kort als u dan nog moet uitzoeken hoe het werkt.
En bij een datalek
Een gehackt Google-account bevat vrijwel altijd persoonsgegevens, en is daarmee meestal een meldplichtig datalek. Zet daarom de waarschuwingen aan voor verdachte aanmeldingen en nieuwe doorstuurregels: hoe eerder u het weet, hoe eerder de 72-uursklok in uw voordeel werkt in plaats van tegen u.