De AVG in het kort, voor wie de cloud gebruikt

Module 1: Waarom een Europese cloud? · Leestijd: 11 minuten

Leerdoel: Na deze les kun je de rollen en plichten uit de AVG benoemen die spelen als je een clouddienst gebruikt, en uitleggen waarom jij verantwoordelijk blijft, ook als de gegevens bij een ander staan.

Kernbegrippen: AVG (GDPR), persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker, subverwerker, beginselen (art. 5), verantwoordingsplicht, verwerkersovereenkomst (art. 28), beveiliging (art. 32), doorgifte (hoofdstuk V), Autoriteit Persoonsgegevens, boetes (art. 83)

Waarom de AVG hier ineens over gaat

De AVG (Algemene verordening gegevensbescherming, in het Engels GDPR) is een Europese verordening: Verordening (EU) 2016/679. Ze geldt sinds 25 mei 2018 rechtstreeks in alle EU-landen. In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht; in elk ander EU-land is er een eigen toezichthouder.

Je denkt misschien: de AVG gaat over grote bedrijven met klantendatabases. Maar Bakkerij De Korrel valt er ook onder. In de mailbox staan bestellingen met namen, adressen en telefoonnummers. In de online mappen staan roosters, loonstroken en een kopie van een identiteitsbewijs van een nieuwe medewerker. In de agenda staan namen van klanten bij bezorgafspraken. Dat zijn allemaal persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare persoon (art. 4 punt 1). En opslaan, mailen, delen en weggooien is allemaal verwerken (art. 4 punt 2).

Een uitzondering: wat je puur privé doet, zoals je eigen familiefoto's, valt buiten de AVG (de "huishoudelijke uitzondering", art. 2 lid 2 sub c). Zodra het om je werk, je bedrijf of je vereniging gaat, geldt de AVG wel.

Dit is uitleg, geen juridisch advies.

Drie rollen: wie is wie?

Het belangrijkste inzicht: de verantwoordelijkheid verhuist niet mee met de gegevens. De bakkerij blijft verwerkingsverantwoordelijke, ook als de gegevens bij een clouddienst staan. Zegt de clouddienst iets toe en gaat het mis, dan moet de bakkerij nog steeds kunnen laten zien dat ze een verstandige keuze heeft gemaakt en goede afspraken heeft vastgelegd. Dat heet de verantwoordingsplicht (art. 5 lid 2 en art. 24).

Let op: een clouddienst is niet altijd alleen verwerker. Gebruikt de aanbieder je gegevens ook voor eigen doelen, zoals productontwikkeling, reclame of het trainen van eigen systemen, dan is hij voor dat deel zelf verantwoordelijke. Dat is een van de dingen die je in de voorwaarden en de verwerkersovereenkomst nakijkt (les 9.2).

De beginselen die bij de cloud spelen

Artikel 5 noemt de beginselen waar elke verwerking aan moet voldoen. Voor de keuze van een clouddienst zijn deze het belangrijkst:

• Doelbinding: je gebruikt gegevens alleen voor het doel waarvoor je ze hebt. Een dienst die je klantgegevens voor zijn eigen doelen gebruikt, botst daarmee.
• Minimale gegevensverwerking: niet meer bewaren dan nodig. Een overstap is een mooi moment om op te ruimen (les 3.2).
• Opslagbeperking: niet langer bewaren dan nodig. Denk aan oude sollicitatiebrieven in een mailbox.
• Integriteit en vertrouwelijkheid: passende beveiliging tegen verlies, diefstal en onbevoegde toegang. Dit wordt uitgewerkt in artikel 32: je neemt maatregelen die passen bij het risico, zoals versleuteling, toegangsbeheer, herstel na een storing en regelmatig testen.

Vier plichten die je bij een overstap tegenkomt

1. Een verwerker kiezen die voldoende garanties biedt (art. 28 lid 1). Je moet dus nagaan hoe de aanbieder beveiligt en waar hij de gegevens verwerkt. Dat doe je in module 2.
2. Een verwerkersovereenkomst sluiten (art. 28 lid 3). Daarin staan verplichte onderwerpen: wat er wordt verwerkt, instructies, geheimhouding, beveiliging, subverwerkers, hulp bij datalekken, en wat er gebeurt met de gegevens als je stopt. Dat behandelen we in les 9.2.
3. Een verwerkingsregister bijhouden (art. 30). Een lijst van je verwerkingen: welke gegevens, waarom, met wie gedeeld, hoe lang bewaard. Na een overstap pas je de ontvangers en de opslagplek aan (les 9.3).
4. Regels voor doorgifte buiten de EER volgen (hoofdstuk V, art. 44 tot en met 49). Gaan gegevens naar een land buiten de Europese Economische Ruimte, dan mag dat alleen als dat land een passend beschermingsniveau heeft (een adequaatheidsbesluit, art. 45) of met extra waarborgen zoals standaardcontractbepalingen (art. 46). Daar gaat les 1.4 over.

Wat gebeurt er als het misgaat?

Bij een datalek (bijvoorbeeld een gehackt account waar klantgegevens in staan) moet de verantwoordelijke dat binnen 72 uur melden bij de toezichthouder, tenzij het waarschijnlijk geen risico oplevert (art. 33). De verwerker moet de verantwoordelijke "zonder onredelijke vertraging" informeren (art. 33 lid 2). Daarom staat in een goede verwerkersovereenkomst hoe snel de aanbieder jou waarschuwt.

De toezichthouder kan boetes opleggen. Het maximum is voor de zwaarste overtredingen 20 miljoen euro of 4% van de wereldwijde jaaromzet, als dat hoger is (art. 83 lid 5). Voor kleine organisaties is de boete zelden het grootste risico. Het echte risico is schade voor klanten en medewerkers, en het vertrouwen dat je verliest.

Waarom dit de keuze van je cloud raakt

De AVG verbiedt het gebruik van Amerikaanse clouddiensten niet. Wel moet je kunnen uitleggen waarom je keuze verantwoord is: welke gegevens, welke risico's, welke afspraken. Hoe gevoeliger de gegevens (gezondheid, kinderen, financiën, personeelsdossiers), hoe zwaarder die afweging. Voor een bakkerij is het overzichtelijk; voor een fysiotherapiepraktijk of een school weegt het veel zwaarder. Een dienst die in de EER is gevestigd, in de EER verwerkt en geen subverwerkers buiten de EER heeft, maakt die afweging een stuk eenvoudiger, omdat de doorgifteregels dan niet spelen.

In de praktijk: zo ziet het eruit bij een aanbieder

Een aanbieder die zakelijk wordt gebruikt, hoort een verwerkersovereenkomst en een lijst met subverwerkers te hebben. Bij WebOké staat in de veelgestelde vragen van de Nextcloud-handleiding dat je een verwerkersovereenkomst sluit als je de Nextcloud zakelijk gebruikt en er persoonsgegevens van anderen in opslaat. Bij andere aanbieders vind je zoiets meestal onder "Verwerkersovereenkomst", "Data Processing Agreement (DPA)" of in de juridische documenten onderaan de website.

Samenvatting

• Ook een kleine organisatie verwerkt persoonsgegevens in mail, agenda en bestanden, en valt dus onder de AVG.
• Jij bent verwerkingsverantwoordelijke; de clouddienst is verwerker; zijn leveranciers zijn subverwerkers.
• De verantwoordelijkheid verhuist niet mee: je moet een verwerker kiezen met voldoende garanties en dat kunnen uitleggen.
• Belangrijke artikelen: 5 (beginselen), 28 (verwerker en verwerkersovereenkomst), 30 (register), 32 (beveiliging), 33 (datalek binnen 72 uur), 44 tot 49 (doorgifte).
• Gegevens die binnen de EER blijven, maken de afweging eenvoudiger, omdat de doorgifteregels dan niet gelden.

Quiz

Opdracht

Opdracht E1.2: Jouw rollen en gegevens. Maak een korte lijst van de persoonsgegevens die jouw organisatie in de cloud heeft staan (mail, agenda, bestanden, chat). Geef per soort aan wie verantwoordelijke is, wie verwerker, en of er gevoelige gegevens bij zitten.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
• Nextcloud handleiding 3.1: Hoe beveiligt WebOké je Nextcloud?
• Verordening (EU) 2016/679 (AVG), artikelen 4, 5, 24, 28, 30, 32, 33, 44 tot en met 49 en 83, op EUR-Lex
• Autoriteit Persoonsgegevens, onderwerpen "Verwerkersovereenkomst" en "Datalek melden": https://www.autoriteitpersoonsgegevens.nl