De verwerkersovereenkomst zit in de voorwaarden van Microsoft; u hoeft niets apart te tekenen. Wat u zelf doet: toegangsrechten beperken, bewaartermijnen instellen, de omgeving fatsoenlijk beveiligen, en vastleggen in uw verwerkingsregister dat u Microsoft 365 gebruikt. De datalocatie kunt u in de meeste gevallen op Europa laten staan.
De verwerkersovereenkomst is al geregeld
Microsoft is verwerker van de persoonsgegevens die u in de dienst zet. De benodigde afspraken staan in de standaardvoorwaarden die u accepteert bij het afsluiten van een zakelijk abonnement. U hoeft dus niet met Microsoft te onderhandelen, en een leverancier die u daarvoor een factuur stuurt, verkoopt u lucht.
Wél nodig: een verwerkersovereenkomst met de partij die uw omgeving beheert. Uw IT'er kan bij mailboxen en bestanden, en is daarmee zelf ook verwerker.
Waar staan de gegevens
Voor zakelijke klanten in Nederland worden de kerngegevens van Microsoft 365 — mail, agenda, bestanden, Teams-gesprekken — binnen de EU opgeslagen. Dat is de standaard geworden en dekt de zorg die de meeste ondernemers hebben.
Ondersteuning en sommige diensten kunnen gegevens buiten de EU verwerken. Voor een gewoon MKB-bedrijf is dat geen beletsel; werkt u met bijzondere gegevens, zoals medische, bespreek dat dan apart met uw adviseur.
De vier dingen die u zelf doet
1. Toegang beperken
De meest voorkomende AVG-overtreding die ik zie, is niet een datalek maar een gedeelde map waarin de personeelsdossiers voor iedereen zichtbaar zijn. Werk met groepen en geef alleen toegang aan wie het nodig heeft.
2. Bewaartermijnen instellen
Niet langer bewaren dan nodig is een verplichting, geen advies. Stel een bewaarbeleid in voor mail en bestanden, en ruim jaarlijks op wat weg mag: sollicitaties, oude personeelsgegevens, afgesloten dossiers.
3. Beveiligen wat u kunt beveiligen
De wet vraagt om maatregelen die passen bij het risico. Voor Microsoft 365 betekent dat in de praktijk: tweestapsverificatie voor iedereen, verouderde protocollen uit, versleutelde laptops, en een back-up. Kunt u dat aantonen, dan bent u in gesprek met een toezichthouder een heel eind.
4. Vastleggen in uw register
Zet in uw verwerkingsregister welke persoonsgegevens u in Microsoft 365 verwerkt, waarom, hoe lang en wie erbij kan. Een paar regels volstaat, maar ze moeten er staan.
Als iemand zijn gegevens opvraagt
Een klant of medewerker mag vragen welke gegevens u van hem heeft. In een mailomgeving is dat lastiger dan het klinkt, want gegevens zitten verspreid over mailboxen, agenda's en bestanden. Microsoft 365 heeft daar een zoekfunctie voor die over de hele omgeving werkt; die zit in de duurdere abonnementen en in Business Premium.
Zorg dat u weet wie die zoekopdracht kan uitvoeren. U heeft doorgaans een maand om te reageren, en dat is kort als u het uitzoekwerk nog moet beginnen.
En AI-functies
Zet u een AI-assistent aan die in uw bedrijfsgegevens kijkt, dan verandert er iets aan wie wat kan zien. De assistent toont een gebruiker namelijk alles waar die gebruiker recht op heeft — inclusief mappen waar hij eigenlijk per ongeluk bij kon. Ruim daarom eerst de toegangsrechten op en zet daarna pas zo'n functie aan, niet andersom.