Privacyvereisten bij het gebruik van clouddiensten

Persoonsgegevens in de cloud opslaan mag, maar u blijft als organisatie zelf verantwoordelijk voor de veilige bewaring ervan — ook als u die uitbesteedt aan een clouddienst. Dat betekent: breng vooraf de privacyrisico’s in kaart, wees kritisch op uw cloudprovider en het contract, en let extra op bij opslag buiten de EU. Hieronder leest u waar u op moet letten bij het gebruik van clouddiensten.

Voordelen en risico’s van cloud computing

Cloud computing biedt veel voordelen, en veel bedrijven bewaren dan ook gegevens in de cloud — soms zeer gevoelige persoonsgegevens, bijvoorbeeld wanneer een zorgaanbieder gezondheidsgegevens opslaat. U hoeft daarvoor niet per se de toestemming van de betrokkenen te hebben, maar u moet zich wel bewust zijn van de risico’s. Gegevens kunnen lekken, en dat kan verregaande gevolgen hebben.

Wees kritisch op de clouddienstverlener

Net als overheidsinstellingen moeten organisaties de privacyrisico’s goed in kaart brengen voordat zij met een clouddienst in zee gaan. Let daarbij op:

• welke beveiligingsmaatregelen de cloudaanbieder treft;
• hoe de aanbieder omgaat met datalekken;
• of het beveiligingsniveau toereikend is voor de gegevens die u in de cloud wilt plaatsen.

Wees kritisch op de gekozen provider en op zowel de technische als de organisatorische maatregelen. Leg de afspraken vast in een verwerkersovereenkomst.

Let op met standaardcontracten

Veel clouddiensten werken met standaardcontracten, maar die bieden niet altijd voldoende bescherming. Zo ontbreken soms afspraken over de toegang tot uw persoonsgegevens als de provider failliet gaat of de samenwerking eindigt. Twijfelt u over de bepalingen van een (standaard)contract? Laat dan een ContractCheck™ uitvoeren: wij toetsen het contract aan de geldende wetgeving en benoemen de risico’s.

Strenge regels bij cloudopslag buiten de EU

Worden de persoonsgegevens opgeslagen bij een clouddienstverlener buiten de EU, dan gelden extra eisen. Het is niet zonder meer verboden, maar er moet wel eenzelfde beschermingsniveau worden gegarandeerd als binnen de EU. U moet zelf nagaan of dat het geval is — en vaak is dat niet zo. Specifieke risico’s zijn onder meer:

• overheden die in sommige landen wettelijk toegang kunnen krijgen tot servers en kunnen meekijken;
• een lager beveiligings- of rechtsbeschermingsniveau dan in de EU.

TODO_VERIFY: de regels voor doorgifte van persoonsgegevens naar landen buiten de EU (zoals adequaatheidsbesluiten en standaardcontractbepalingen) wijzigen regelmatig — controleer de actuele situatie voordat u gegevens buiten de EU opslaat.

Uw verantwoordelijkheid: technische en organisatorische maatregelen

Of u gegevens nu lokaal of in de cloud bewaart, binnen of buiten de EU: u moet altijd passende technische en organisatorische beveiligingsmaatregelen treffen. Die verantwoordelijkheid ligt in de eerste plaats bij u als verwerkingsverantwoordelijke, niet bij de cloudprovider.

Veelgestelde vragen

Mag ik persoonsgegevens in de cloud opslaan?

Ja, mits u passende beveiliging treft, de afspraken vastlegt (bijvoorbeeld in een verwerkersovereenkomst) en bij opslag buiten de EU een gelijkwaardig beschermingsniveau garandeert.

Heb ik toestemming van betrokkenen nodig voor cloudopslag?

Niet per se. Voor het enkele opslaan in de cloud is toestemming meestal niet de grondslag, maar u moet wel aan de overige AVG-eisen (zoals beveiliging en een geldige grondslag) voldoen.

Is een standaardcontract van een clouddienst voldoende?

Niet altijd. Standaardcontracten missen soms belangrijke afspraken, bijvoorbeeld over toegang tot uw gegevens bij faillissement of beëindiging. Laat het contract controleren.

Wie is verantwoordelijk bij een datalek in de cloud?

U blijft als verwerkingsverantwoordelijke verantwoordelijk voor de bescherming van de gegevens, ook als u de opslag uitbesteedt. Goede afspraken met de provider zijn daarom essentieel.

Vragen over privacy en clouddiensten?

Het veilig en rechtmatig gebruiken van clouddiensten vraagt om goede afspraken en de juiste beveiliging. Wij brengen uw privacyrisico’s in kaart, controleren uw cloudcontracten en stellen de benodigde documenten op.

Bekijk onze expertise privacy en gegevensbescherming of plan een vrijblijvend intakegesprek in.