AVG-compliant data opslaan: waar Nederlandse bedrijven op moeten letten

Ieder bedrijf dat gegevens van klanten, medewerkers of leveranciers verwerkt, valt onder de Algemene verordening gegevensbescherming (AVG). Die wet stelt eisen aan de manier waarop persoonsgegevens worden bewaard, beveiligd en gedeeld. Cloudopslag maakt daar geen uitzondering op. Sterker nog: zodra data bij een externe partij staat, komen er extra verplichtingen bij kijken.

Wat de AVG vraagt

De AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Dat betekent onder meer versleuteling, toegangsbeheer en de mogelijkheid om gegevens te herstellen na een incident. Ook moet een bedrijf kunnen aantonen dat het weet waar de data staat en wie er toegang toe heeft.

Bij het gebruik van een cloudopslagdienst treedt de aanbieder op als verwerker. De AVG schrijft voor dat er dan een verwerkersovereenkomst wordt gesloten. Daarin staan afspraken over beveiliging, geheimhouding en de omgang met datalekken.

De locatie van de servers

Een van de belangrijkste aandachtspunten is waar de servers staan. Persoonsgegevens mogen binnen de Europese Economische Ruimte worden verwerkt zonder aanvullende waarborgen. Zodra data buiten de EU wordt opgeslagen, bijvoorbeeld op servers in de Verenigde Staten, gelden strengere eisen en is de juridische situatie complexer.

Veel bekende aanbieders draaien op infrastructuur buiten de EU, of geven niet transparant aan waar data precies staat. Voor Nederlandse organisaties die met persoonsgegevens werken is dat een reëel risico. Een aanbieder met servers in Nederland, zoals Data Opslag Nederland, houdt de data binnen de landsgrenzen en maakt naleving daarmee eenvoudiger.

Praktische maatregelen

Naast de keuze voor de juiste aanbieder kan een organisatie zelf een aantal stappen zetten:

• Verwerkersovereenkomst sluiten met iedere partij die persoonsgegevens namens het bedrijf verwerkt.
• Toegang beperken tot medewerkers die de gegevens daadwerkelijk nodig hebben.
• Versleuteling controleren, zowel tijdens verzending als bij opslag.
• Back-ups regelen zodat gegevens na een incident herstelbaar zijn.
• Bewaartermijnen vastleggen en gegevens verwijderen zodra ze niet meer nodig zijn.

Compliance is geen eenmalige actie

Naleving van de AVG vraagt om onderhoud. Wetgeving verandert, leveranciers passen hun voorwaarden aan en de eigen organisatie groeit. Een periodieke controle van waar data staat, wie er toegang toe heeft en of de afspraken met leveranciers nog kloppen, voorkomt verrassingen bij een audit of datalek.

Wie de opslag vanaf de start op orde brengt, met een aanbieder die transparant is over locatie en beveiliging, beperkt het risico aanzienlijk. Een overzicht van diensten en hun eigenschappen staat op de pagina cloudopslag vergelijken.