Voor de grote aanbieders staan de kerngegevens van zakelijke klanten in de EU; dat is de standaard geworden. Belangrijker voor een klein bedrijf zijn drie andere vragen: wie kan er nog meer bij, wat gebeurt er bij een storing of een geschil, en krijgt u uw gegevens er weer uit. Leg de antwoorden vast in uw verwerkingsregister.
Wat de locatie wel en niet zegt
Onder de AVG mogen persoonsgegevens de EU verlaten, mits er passende waarborgen zijn. Voor grote aanbieders is dat geregeld via standaardcontracten en, voor de Verenigde Staten, via een adequaatheidsbesluit. Dat is juridisch in orde.
Tegelijk kiezen veel ondernemers bewust voor opslag binnen de EU, en dat is een redelijke keuze: het is eenvoudiger uit te leggen aan klanten en het scheelt discussie. Microsoft en Google slaan de kerngegevens van Europese zakelijke klanten inmiddels standaard binnen de EU op.
Let wel: ondersteuning en sommige aanvullende diensten kunnen nog steeds gegevens buiten de EU verwerken. Voor een gewoon MKB-bedrijf is dat geen beletsel; werkt u met medische of andere bijzondere gegevens, bespreek dat dan met uw adviseur.
Wie kan er nog meer bij
Dit is de vraag die er in de praktijk meer toe doet. Bij elke clouddienst kunnen er drie partijen bij uw gegevens:
- Uw eigen mensen, met de rechten die u ze geeft. Dit is verreweg de grootste bron van problemen, en de enige die u volledig zelf in de hand heeft.
- Uw IT-beheerder, die in de regel overal bij kan. Daarom hoort daar een verwerkersovereenkomst bij.
- De leverancier, voor onderhoud en ondersteuning. Vraag of dat wordt gelogd en of u die logbestanden kunt inzien.
Wat u vastlegt
Zet in uw verwerkingsregister per dienst: welke gegevens er staan, waar ze worden opgeslagen, wie de verwerker is, en hoe lang u bewaart. Een tabel met vijf tot tien regels is voor een klein bedrijf genoeg.
Bij een vraag van een klant of een controle is dat het enige document dat er echt toe doet. Zonder dat register moet u het uit uw hoofd reconstrueren, en dat lukt niet.
Krijgt u het er weer uit?
De minst gestelde en meest waardevolle vraag. Voordat u ergens instapt:
- In welk formaat kan ik alles exporteren, en kan ik dat zelf?
- Komen bijlagen en documenten mee, of alleen de gegevens?
- Hoe lang blijft mijn omgeving na opzegging toegankelijk?
- Kost een export extra?
Een leverancier die hier vaag over doet, vertelt u precies wat u wilde weten. Een dienst waar u niet uit kunt, is duurder dan hij lijkt, ongeacht waar de servers staan.