Weet u waar uw data staat en wie het verwerkt?

Elke organisatie met klanten, patiënten, cliënten of medewerkers verwerkt persoonsgegevens: namen, e-mailadressen, adressen, facturen, dossiers. Die gegevens staan zelden op één plek. Ze lopen door uw hostingprovider, uw e-mailpakket, uw CRM, uw boekhoudsoftware, uw analysetools en de back-ups van al die systemen. Toch kunnen veel organisaties niet met zekerheid zeggen waar die data precies staat en welke partijen er toegang toe hebben.

Onder de AVG (GDPR) is dat geen detail. U blijft als verwerkingsverantwoordelijke aansprakelijk voor uw data, ook als een leverancier het werk doet.

Waarom dit meer is dan een juridische formaliteit

Wie niet weet waar data staat, kan drie dingen niet goed doen. U kunt de vraag van een klant of toezichthouder ("wie heeft mijn gegevens?") niet beantwoorden. U kunt bij een incident niet snel beoordelen wie er geraakt is en wie u moet informeren. En u kunt niet aantonen dat u passende maatregelen hebt genomen, terwijl dat juist is wat de AVG van u vraagt.

Daar komt bij dat vertrouwen inmiddels een inkoopcriterium is. Gemeenten, zorginstellingen, advocatenkantoren en financiële dienstverleners vragen hun leveranciers steeds vaker om aan te tonen waar data staat en wie er bij kan. Wie dat helder heeft, wint sneller opdrachten.

Uw data zit bij meer partijen dan u denkt

Een verwerker is elke partij die namens u persoonsgegevens verwerkt. Denk aan uw hostingprovider, uw e-mail- en samenwerkingstools, een CRM of ticketsysteem, een betaalprovider, marketing- en analysetools en een externe helpdesk. Vaak schakelen die partijen op hun beurt weer subverwerkers in: een cloudplatform, een supportteam in een ander land, een aparte back-upleverancier.

Elke schakel in die keten is een plek waar uw data kan staan of waar iemand er toegang toe kan krijgen. Onder de AVG moet u toestemming geven voor subverwerkers en blijft de hoofdverwerker verantwoordelijk voor de keten. In de praktijk wordt dat niet altijd zo bewaakt.

Waar het in de praktijk misgaat

• Schaduw-IT. Teams nemen zelf tools af zonder dat iemand controleert wat daarin wordt opgeslagen.
• Toegang op afstand. Data staat in Europa, maar een supportteam of moederbedrijf buiten de EU kan er wel bij. Ook dat kan gelden als doorgifte naar een derde land.
• Verouderde afspraken. De verwerkersovereenkomst is jaren geleden getekend en de leverancier gebruikt inmiddels andere subverwerkers.
• Buitenlandse wetgeving. Europese dochterbedrijven van Amerikaanse aanbieders kunnen onder de Amerikaanse Cloud Act vallen. Eerdere kaders voor doorgifte naar de VS (Safe Harbor en Privacy Shield) zijn door het Europese Hof van Justitie ongeldig verklaard. Dat laat zien dat afspraken op dit vlak kunnen veranderen.

In vijf stappen grip op uw data

1. 1

   Breng uw persoonsgegevens in kaart

   Welke gegevens verwerkt u, van wie, en in welke systemen staan ze?

2. 2

   Maak een lijst van alle partijen

   Inclusief subverwerkers. Vraag uw leveranciers om hun actuele lijst.

3. 3

   Controleer locatie en toegang

   Waar staat de data, en wie kan er, ook op afstand, bij? Let op supportteams en moederbedrijven buiten de EU.

4. 4

   Controleer de verwerkersovereenkomsten

   Heeft elke verwerker er een, en klopt die nog met de praktijk?

5. 5

   Leg het vast en herhaal het

   Houd uw register van verwerkingsactiviteiten bij en loop het minimaal jaarlijks door, en bij elke nieuwe leverancier.

Waar Verulon helpt

Bij Verulon draait alles om dat overzicht. We ontwikkelen software op maat en hosten die op eigen servers in Nederland, onder Nederlandse wet. Daardoor kunnen we precies aangeven waar uw data staat, welke partijen erbij komen en wie er toegang toe heeft, zonder buitenlands moederbedrijf en zonder onduidelijke keten van subverwerkers.

Wilt u weten hoe het er bij uw eigen organisatie voor staat? Beantwoord dan eerst deze vragen:

• Weet u van elk systeem met persoonsgegevens waar de data fysiek staat?
• Heeft u een actuele lijst van al uw verwerkers en hun subverwerkers?
• Is met elke verwerker een verwerkersovereenkomst gesloten die nog klopt?
• Weet u wie er, ook vanuit het buitenland, toegang heeft tot uw data?

Kunt u een of meer vragen niet met zekerheid beantwoorden? Neem gerust contact met ons op. We denken graag mee, ongeacht of dat tot een samenwerking leidt.