AVG-compliance in cloudoplossingen bereik je door de juiste verwerkersovereenkomsten te sluiten, persoonsgegevens binnen de EU op te slaan en aantoonbare beveiligingsmaatregelen te treffen. Voor MKB-bedrijven die werken met cloudtoepassingen is dit geen optionele stap: de AVG (Algemene Verordening Gegevensbescherming) geldt onverkort, ook als een externe cloudprovider de gegevens beheert. Dit artikel beantwoordt de meest gestelde vragen over AVG-compliance en cloudgebruik, zodat je precies weet waar je aan toe bent.
Welke AVG-verplichtingen gelden specifiek voor cloudgebruik?
Wanneer je als bedrijf persoonsgegevens opslaat of verwerkt via een cloudoplossing, blijf je als verwerkingsverantwoordelijke volledig aansprakelijk onder de AVG. De cloudprovider treedt op als verwerker, maar dat ontslaat jou niet van je verantwoordelijkheid. Je bent verplicht te documenteren welke gegevens je opslaat, met welk doel, en hoe ze worden beveiligd.
Concreet betekent dit dat je een verwerkingsregister moet bijhouden, een verwerkersovereenkomst moet afsluiten met je cloudprovider en moet kunnen aantonen dat de verwerking een wettelijke grondslag heeft. Daarnaast gelden de beginselen van dataminimalisatie en doelbinding: je mag niet meer gegevens opslaan dan strikt noodzakelijk voor het beoogde doel. Voor cloudoplossingen voor MKB is het verstandig dit al in de selectiefase mee te nemen.
Wat moet er in een verwerkersovereenkomst met een cloudprovider staan?
Een verwerkersovereenkomst met een cloudprovider moet minimaal het onderwerp en de duur van de verwerking beschrijven, de aard en het doel van de gegevensverwerking, het soort persoonsgegevens en de categorieën betrokkenen, en de rechten en plichten van beide partijen. Zonder deze overeenkomst handel je in strijd met de AVG.
Naast deze verplichte elementen is het aan te raden afspraken te maken over:
- Hoe en binnen welke termijn de provider een datalek meldt
- Welke subverwerkers de provider inschakelt en of jij daar toestemming voor geeft
- Hoe gegevens worden verwijderd of teruggegeven na afloop van de overeenkomst
- Welke beveiligingsmaatregelen de provider treft
- Of en hoe audits kunnen worden uitgevoerd
Veel grote cloudproviders hanteren standaard verwerkersovereenkomsten. Controleer altijd of die voldoen aan de Europese eisen, want niet elke standaardovereenkomst is AVG-proof.
Mag persoonsgegevens buiten de EU worden opgeslagen in de cloud?
Persoonsgegevens mogen buiten de EU worden opgeslagen, maar alleen als het ontvangende land een passend beschermingsniveau biedt of als er aanvullende waarborgen zijn getroffen. Zonder die waarborgen is doorgifte naar landen buiten de Europese Economische Ruimte (EER) in strijd met de AVG.
Voor doorgifte naar landen zonder adequaatheidsbesluit, zoals de Verenigde Staten in bepaalde contexten, zijn aanvullende instrumenten vereist, zoals Standaard Contractbepalingen (Standard Contractual Clauses). Sommige grote Amerikaanse cloudproviders vallen onder het EU-US Data Privacy Framework, waarmee doorgifte is toegestaan. Controleer per provider welk mechanisme van toepassing is en of dit actueel en geldig is. Kies bij twijfel voor een Europese cloudprovider die gegevens uitsluitend binnen de EER verwerkt.
Hoe controleer je of een cloudprovider AVG-compliant is?
Je controleert of een cloudprovider AVG-compliant is door te kijken naar certificeringen, de inhoud van de verwerkersovereenkomst, de locatie van de datacenters en het transparantiebeleid van de provider. Een provider die AVG-compliance serieus neemt, communiceert hier open over en kan dit aantonen.
Concrete stappen om een provider te beoordelen:
- Vraag naar certificeringen zoals ISO 27001, SOC 2 of NEN 7510. Dit zijn onafhankelijk getoetste bewijzen van informatiebeveiligingsbeleid.
- Controleer de locatie van de datacenters. Verwerking binnen de EU is de veiligste keuze.
- Lees de verwerkersovereenkomst kritisch. Ontbreken essentiële elementen, dan is dat een waarschuwingssignaal.
- Vraag naar het subverwerkerbeleid. Welke partijen hebben toegang tot jouw gegevens?
- Informeer naar het incidentbeheer. Hoe en hoe snel meldt de provider een datalek aan jou?
Welke beveiligingsmaatregelen zijn verplicht onder de AVG voor cloudoplossingen?
De AVG verplicht je om passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beschermen. Wat “passend” is, hangt af van het risico van de verwerking, maar voor cloudoplossingen gelden in de praktijk een aantal standaardmaatregelen die vrijwel altijd vereist zijn.
Denk aan:
- Versleuteling van gegevens, zowel in opslag als bij overdracht
- Toegangscontrole op basis van het principe van minimale rechten (least privilege)
- Meerfactorauthenticatie voor toegang tot cloudomgevingen
- Regelmatige back-ups en herstelplannen bij calamiteiten
- Logging en monitoring om ongeautoriseerde toegang te detecteren
- Periodieke risicobeoordelingen en, bij hoog risico, een DPIA (gegevensbeschermingseffectbeoordeling)
Organisatorisch is het net zo belangrijk: zorg dat medewerkers weten welke gegevens ze mogen verwerken en hoe ze moeten handelen bij een incident.
Wat zijn de gevolgen van een datalek in de cloud voor MKB-bedrijven?
Een datalek in de cloud kan voor MKB-bedrijven leiden tot een meldplicht bij de Autoriteit Persoonsgegevens, verplichte communicatie richting de betrokkenen, reputatieschade en mogelijk hoge boetes. De AVG verplicht je om een datalek binnen 72 uur te melden, als het lek een risico vormt voor de rechten en vrijheden van betrokkenen.
De financiële gevolgen kunnen aanzienlijk zijn: boetes lopen op tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor een MKB-bedrijf zijn ook de indirecte gevolgen ingrijpend: verlies van klantvertrouwen, juridische aansprakelijkheid en operationele verstoringen. Juist daarom loont het om te investeren in preventie. De kosten van ICT-uitbesteden staan doorgaans in geen verhouding tot de schade die een datalek kan veroorzaken.
Wanneer is het uitbesteden van ICT aan een AVG-gecertificeerde partner verstandig?
Het uitbesteden van ICT aan een AVG-gecertificeerde partner is verstandig zodra je als MKB-bedrijf persoonsgegevens verwerkt en niet de interne kennis of capaciteit hebt om dit aantoonbaar veilig en compliant te doen. Dat geldt voor vrijwel elk bedrijf met meer dan een handvol medewerkers of klanten.
Een gecertificeerde ICT-partner brengt structureel beleid mee: beveiligingsprotocollen, verwerkersovereenkomsten, incidentprocedures en kennis van actuele wetgeving. Dat is voor de meeste MKB-organisaties moeilijk zelfstandig bij te houden naast de dagelijkse bedrijfsvoering. Zeker als je werkt met gevoelige gegevens, zoals klantdata, personeelsdossiers of financiële informatie, is professionele ondersteuning geen luxe maar een noodzaak.
Hoe Nieuwenborg helpt met AVG-compliance in de cloud
Wij begrijpen dat AVG-compliance voor veel MKB-ondernemers complex en tijdrovend aanvoelt. Toch is het geen keuze: de verplichtingen gelden voor iedereen die persoonsgegevens verwerkt. Daarom nemen wij dit van je over, op een manier die past bij jouw organisatie en in gewone mensentaal.
Wat wij voor je regelen:
- Veilige cloudoplossingen die volledig binnen de EU worden gehost
- Verwerkersovereenkomsten die voldoen aan de AVG-vereisten
- ISO 27001-gecertificeerde beveiliging, een niveau dat maar weinig ICT-aanbieders in Nederland kunnen bieden
- Proactief beheer en monitoring, zodat problemen worden opgemerkt voordat ze een datalek worden
- ICT-Manager as a Service voor organisaties zonder eigen ICT-verantwoordelijke
- 24/7 bereikbare helpdesk voor continuïteit en snelle respons bij incidenten
Wil je weten hoe jouw cloudgebruik er nu voor staat op het gebied van AVG-compliance? Neem contact op met Nieuwenborg voor een vrijblijvend gesprek. We denken graag met je mee.
Veelgestelde vragen
Moet ik als kleine ondernemer ook een verwerkingsregister bijhouden?
Ja, in principe geldt de verplichting voor een verwerkingsregister voor alle organisaties die persoonsgegevens verwerken. Er is een uitzondering voor bedrijven met minder dan 250 medewerkers, maar die geldt alleen als de verwerking niet regelmatig plaatsvindt, geen risico inhoudt voor betrokkenen en geen bijzondere categorieën gegevens betreft. In de praktijk valt het merendeel van de MKB-bedrijven buiten deze uitzondering, omdat klantgegevens of personeelsdata vrijwel altijd regelmatig worden verwerkt. Het bijhouden van een verwerkingsregister hoeft overigens niet ingewikkeld te zijn: een overzichtelijk spreadsheet met de juiste informatie volstaat al als startpunt.
Wat moet ik doen als mijn cloudprovider geen verwerkersovereenkomst wil afsluiten?
Als een cloudprovider weigert een verwerkersovereenkomst te sluiten, is het gebruik van die dienst voor de verwerking van persoonsgegevens in strijd met de AVG. Je kunt in dat geval juridisch aansprakelijk worden gesteld, ook al ligt het probleem bij de provider. De meest verstandige stap is dan over te stappen naar een alternatieve provider die wél bereid is een AVG-conforme verwerkersovereenkomst te tekenen. Gebruik een weigering als een duidelijk waarschuwingssignaal over de algehele betrouwbaarheid en volwassenheid van de provider op het gebied van gegevensbescherming.
Hoe weet ik of mijn huidige cloudgebruik al AVG-compliant is?
Een goede eerste stap is een interne inventarisatie: breng in kaart welke cloudtoepassingen je gebruikt, welke persoonsgegevens daarin worden verwerkt en of er voor elke provider een geldige verwerkersovereenkomst aanwezig is. Controleer vervolgens waar de datacenters van die providers zich bevinden en of de beveiligingsinstellingen binnen de applicaties correct zijn geconfigureerd, zoals toegangsrechten en meerfactorauthenticatie. Als je tijdens deze inventarisatie hiaten ontdekt, is het verstandig een AVG-gecertificeerde ICT-partner in te schakelen voor een formele compliance-beoordeling. Veel organisaties ontdekken bij zo'n audit dat er meer risico's zijn dan verwacht.
Geldt de AVG ook voor gratis cloudtools zoals Google Drive of Dropbox?
Ja, de AVG geldt ongeacht of een cloudtool gratis of betaald is. Zodra je persoonsgegevens opslaat in een gratis cloudtool, ben je als verwerkingsverantwoordelijke verplicht te voldoen aan alle AVG-vereisten, inclusief het afsluiten van een verwerkersovereenkomst. Grote aanbieders zoals Google en Dropbox bieden verwerkersovereenkomsten aan, maar die zijn vaak onderdeel van betaalde zakelijke abonnementen en niet automatisch van toepassing op gratis accounts. Controleer daarom altijd de specifieke voorwaarden van de zakelijke versie van een tool voordat je er persoonsgegevens in opslaat.
Hoe vaak moet ik mijn AVG-compliance voor cloudoplossingen herzien?
AVG-compliance is geen eenmalige actie, maar een doorlopend proces. Het is aan te raden je compliance minimaal jaarlijks te herzien, maar ook direct na relevante wijzigingen zoals het in gebruik nemen van een nieuwe cloudapplicatie, een wijziging in de dienstverlening van een bestaande provider, of een update in de wetgeving. Houd ook de lijst van subverwerkers van je cloudproviders in de gaten, want wijzigingen daarin kunnen gevolgen hebben voor jouw compliance-situatie. Een ICT-partner met een proactief beheermodel kan dit monitoring-proces grotendeels van je overnemen.
Wat is een DPIA en wanneer ben ik verplicht er een uit te voeren?
Een DPIA (Data Protection Impact Assessment, of in het Nederlands: gegevensbeschermingseffectbeoordeling) is een risicoanalyse die je verplicht bent uit te voeren vóórdat je start met een verwerking die waarschijnlijk een hoog risico oplevert voor betrokkenen. Dit is onder andere het geval bij grootschalige verwerking van gevoelige gegevens, systematische monitoring van personen of gebruik van nieuwe technologieën met onbekende privacyrisico's. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is. Als uit de DPIA blijkt dat de risico's niet voldoende kunnen worden beperkt, ben je verplicht de AP te raadplegen voordat je de verwerking start.
Kan ik als MKB-bedrijf een boete krijgen van de Autoriteit Persoonsgegevens, ook als ik te goeder trouw handelde?
Ja, de Autoriteit Persoonsgegevens kan ook MKB-bedrijven beboeten, ongeacht de intentie. De hoogte van een boete is afhankelijk van factoren zoals de ernst van de overtreding, de mate van samenwerking met de toezichthouder en de genomen maatregelen. Hoewel de AP bij lichte overtredingen vaak eerst een waarschuwing of last onder dwangsom oplegt, kunnen structurele of ernstige overtredingen direct leiden tot forse boetes. Aantoonbaar goede trouw en het kunnen laten zien dat je actief aan compliance werkt, weegt mee in de beoordeling, maar vrijwaart je niet volledig van sancties.