Een Nederlandse opslaglocatie is één eigenschap van een dienst. Regie over cliëntgegevens vraagt ook om zicht op toegang, afspraken over gebruik en een werkbare manier om te vertrekken.

Stel: uw kantoor wil vertrekken bij een leverancier. U krijgt een ZIP-bestand met alle documenten. De bijlagen zitten erbij, maar hun relatie met het definitieve advies is verdwenen. Een collega moet de dossiers met de hand reconstrueren. De dienst stond al die tijd in een Nederlands datacenter.

Dit is een fictieve situatie, maar ze maakt de inkoopvraag scherp. Kunt u uw cliëntgegevens buiten de gekozen dienst nog gebruiken? En wie kan binnen die dienst bepalen wat ermee gebeurt?

Met datasoevereiniteit bedoelen we hier het vermogen om zulke keuzes over uw gegevens te maken én uit te voeren. Dat is een praktische werkdefinitie. Ze helpt om een vaag inkoopbegrip terug te brengen tot beslissingen die u kunt controleren.

De serverlocatie beantwoordt maar één vraag

De locatie van een server vertelt u waar een deel van de techniek staat. Ze vertelt niet vanzelf welke partijen de dienst beheren, wie toegang heeft of hoe een wijziging wordt doorgevoerd. Het NCSC adviseert om bij clouddiensten juist ook de toegangsafspraken en betrokken techniek te onderzoeken. Het waarschuwt dat opslag in Europa niet iedere buitenlandse toegangsvraag uitsluit. NCSC: geavanceerde informatie over de cloud.

Vraag wat er gebeurt als een medewerker vertrekt of als u de dienst niet meer wilt gebruiken. Kan de leverancier de bijbehorende handelingen demonstreren?

Stel dat uw leverancier uitsluitend Nederlandse opslag aanbiedt, maar dat uw kantoor geen overzicht kan krijgen van de beheerders die bij de gegevens kunnen. De locatie is dan bekend; de toegang nog niet. Dat verschil is relevant zodra u een cliënt wilt uitleggen wie zijn informatie kan inzien. Vraag dus afzonderlijk naar opslag, beheer en de partijen die daarbij betrokken zijn. Laat één antwoord niet de plaats innemen van drie andere.

Ook het label Europees verdient een vervolgvraag. Slaat het op de contractpartij, het datacenter, het supportteam of alle drie? Een leverancier kan daar een goed antwoord op hebben. U moet alleen weten welke vraag hij heeft beantwoord. Een vlaggetje in een presentatie is daarvoor te weinig.

Wie iets mag, moet ook iets kunnen tegenhouden

Neem een volledig fictief kantoor dat een dossieromgeving wil inkopen. De partner spreekt af dat alleen het behandelteam een dossier mag openen. De proef is vervolgens of een medewerker buiten dat team het ook daadwerkelijk niet kan vinden.

Drie onderdelen van regie: het kantoor bepaalt het doel, beheerders begrenzen de toegang en leveranciers moeten hun rol aantonen
Een eigen illustratie van de vragen die u aan elke partij stelt.

Regie bestaat pas als afspraken terugkomen in de inrichting en controle. Een algemeen beleid zonder werkende toegangsbeperking helpt de medewerker niet die morgen een dossier moet behandelen.

Maak die proef klein genoeg om haar echt uit te voeren. Geef twee testaccounts verschillende rechten op hetzelfde verzonnen dossier. Laat één account de stukken bekijken en controleren; laat het andere account dezelfde route proberen. Trek daarna de rechten van het eerste account in. Kan dat account via een oude link toch nog bij de inhoud? Dan hebt u een concrete afwijking om te bespreken, zonder een echt cliëntdossier aan een experiment bloot te stellen.

Verdeel ook het beslisrecht. Wie keurt een nieuwe koppeling goed? Wie mag een beheerder toevoegen? Wie kan het gebruik stilzetten als een afspraak wordt geschonden? Dat hoeven geen drie verschillende mensen te zijn. Maar als niemand het weet, is de uitvoering van uw beleid afhankelijk van degene die toevallig de meeste systeemrechten heeft.

Maak de leveranciersketen zichtbaar

Bij persoonsgegevens is de rolverdeling meer dan een inkoopkeuze. De EDPB legt uit dat een verwerkingsverantwoordelijke het doel en de middelen bepaalt en dat een verwerker in diens opdracht handelt. Welke rol een kantoor in een concrete verwerking heeft, moet dus uit de werkelijke situatie blijken. EDPB: controller or processor.

Vraag de leverancier welke andere partijen betrokken zijn en wie wijzigingen in die keten beoordeelt. Bewaar het antwoord bij de inrichting waarop het betrekking heeft. Een verklaring over een andere dienst of een andere configuratie bewijst weinig over uw eigen gebruik.

In de uitleg van de EDPB horen onder meer instructies, vertrouwelijkheid, beveiliging en de inzet van subverwerkers terug te komen in de contractuele afspraken. Dat geeft u concrete gespreksonderwerpen; het bepaalt niet automatisch de juridische rol van iedere partij in ieder dossier. Laat die beoordeling aansluiten op wat uw kantoor en de leverancier werkelijk doen.

Vertaal de afspraken daarna naar de praktijk. Een supportmedewerker heeft soms toegang nodig om een fout op te lossen. Wilt u dat vooraf toestaan, per geval laten goedkeuren of technisch uitsluiten? Wat de juiste keuze is, hangt af van het gebruik en de risico's. Het nuttige antwoord beschrijft in elk geval de procedure: wie vraagt toegang aan, wie geeft toestemming, wat wordt vastgelegd en hoe eindigt die toegang weer?

U kunt veel beheer uitbesteden en duidelijke afspraken laten toetsen. Een zelf beheerde server vraagt eveneens om iemand die de toegangsrechten bijhoudt. Vraag in beide gevallen naar de uitvoering.

De hardste proef is vertrekken

Het NCSC adviseert om een cloud-exitplan aan het begin van de relatie te maken. Daarin komen onder meer gegevens, koppelingen, ondersteuning, timing en kosten aan bod. NCSC: belang van een cloud-exitplan.

Laat het fictieve kantoor daarom niet alleen een bestand exporteren, maar ook aantonen dat een collega het buiten de oude omgeving kan openen en begrijpen. Een technisch geslaagde download kan inhoudelijk nog steeds onbruikbaar zijn.

Neem een dossier met een advies, bijlagen en verwijzingen tussen beide. Als de export alleen losse documenten bevat, kan een opvolgende behandelaar de samenhang misschien niet meer reconstrueren. Vraag of de dossierstructuur, relevante versies en verwijzingen mee kunnen. Niet ieder pakket heeft dezelfde functies, dus leg vast welke informatie uw kantoor bij een overstap nodig heeft. Die lijst is uw criterium voor een bruikbare overdracht.

Voer de controle uit met iemand die de oude omgeving niet open heeft staan. Anders vult diegene onbewust aan wat in de export ontbreekt. Kan de collega het advies bij de juiste bijlagen plaatsen? Is duidelijk welke versie definitief was? Hoeveel handwerk is nodig om door te werken? Dat zijn betere uitkomsten dan een melding dat het ZIP-bestand succesvol is aangemaakt.

Een exitproef volgt een fictief dossier van export via een controle buiten de oude dienst naar afspraken over de achterblijvende kopieën
Test de overdracht voordat een vertrek urgent wordt.

Een vertrekproef gaat bovendien over wat achterblijft. De EDPB noemt wissen of terugbezorgen van persoonsgegevens na afloop van verwerkingsdiensten als onderdeel van de afspraken met een verwerker. Onderzoek voor uw situatie ook welke bewaarplichten en uitzonderingen gelden. Maak vervolgens concreet hoe actieve gegevens, resterende kopieën en eventuele back-ups worden afgehandeld. Een opgezegd account is op zichzelf geen verslag van die afhandeling.

Begin met één dossier dat u zelf hebt verzonnen

U hoeft niet te wachten op een volledige migratie om te ontdekken waar uw afhankelijkheid zit. Maak een fictief dossier, wijs toegangsrechten toe, trek ze in en probeer een overdracht naar een andere omgeving.

Leg vast wat werkte, wat niet en wie het verschil moet oplossen. Uw keuze hoeft dan niet alleen op de presentatie van de leverancier te rusten: u hebt zelf gezien of rechten konden worden ingetrokken en of het testdossier bruikbaar kon worden overgedragen. Zo’n proef beoordeelt die onderdelen, niet de volledige veiligheid of rechtmatigheid van de dienst.

Geef de uitkomst een eigenaar. Een probleem dat alleen in de notulen van een leveranciersgesprek staat, kan maanden blijven liggen. Spreek af welke tekortkomingen u vóór gebruik opgelost wilt hebben, welke beperkingen u bewust accepteert en wanneer u de proef herhaalt. Doe dat ook bij een belangrijke wijziging van de dienst, bijvoorbeeld wanneer een nieuwe partij beheer gaat uitvoeren.

Bewaar bijvoorbeeld een korte proefbeschrijving met de onderzochte dienst, de ingestelde rechten, het exportresultaat en de openstaande afspraken. Laat een collega de uitkomst kunnen herhalen. Daarmee hebt u iets om een leverancier op aan te spreken wanneer er later een instelling of contract verandert. Dat is een bruikbaarder begin van datasoevereiniteit dan de locatie van een server alleen.

Bronnen

Coverfoto: Peter Herrmann op Unsplash.

DatasoevereiniteitCliëntgegevensLeverancierskeuze