Je krijgt een cloudvoorstel met een maandbedrag, een migratieplanning en afspraken over beschikbaarheid. Het lijkt klaar voor akkoord. Maar wie informeert je bij een datalek? Waar staan de back-ups? En welke beveiliging moet je zelf regelen? Als die antwoorden ontbreken, kun je nog niet goed beoordelen of het voorstel bij je organisatie past.
Controleer daarom vóór ondertekening welke regels gelden, wie welke taken uitvoert en hoe de aanbieder dat aantoont. Zo maak je afspraken waar je tijdens het dagelijks gebruik op kunt terugvallen.
In dit artikel lees je
Begin bij je gegevens en de regels die daarbij horen
Compliance betekent dat je voldoet aan de regels die voor je organisatie en haar gegevens gelden. Denk aan wetgeving, maar ook aan verplichtingen uit klantcontracten. De mededeling dat een cloudomgeving “compliant” is, zegt weinig zolang niet duidelijk is met welke eisen.
Maak eerst een overzicht van wat je wilt verplaatsen: klantgegevens, personeelsdossiers, financiële administratie, technische tekeningen en gegevens uit bedrijfsapplicaties. Noteer per categorie wie toegang nodig heeft, hoelang je de gegevens moet bewaren en welke gevolgen verlies of openbaarmaking heeft.
Verwerk je persoonsgegevens, dan moet je rekening houden met de AVG. Gezondheidsgegevens vragen bijvoorbeeld een andere beoordeling dan openbare productinformatie. Controleer ook of aanvullende regels voor jouw organisatie gelden. De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, geldt voor organisaties die binnen het toepassingsgebied vallen. Het gebruik van public cloud maakt die wet op zichzelf niet op ieder bedrijf van toepassing.
Leg de uitkomst vast in een korte eisenlijst. Vermeld per eis waar deze vandaan komt: wetgeving, een klantcontract of je eigen beveiligingsbeleid. Daarmee kan de aanbieder gericht aangeven wat wel en niet binnen het voorstel past.
Maak duidelijk wie waarvoor verantwoordelijk is
Bij een cloudmigratie kunnen je eigen organisatie, een IT-beheerder en de cloudprovider betrokken zijn. Leg zowel hun privacyrollen als hun dagelijkse beheertaken vast.
Bepaal je waarom en hoe persoonsgegevens worden verwerkt? Dan ben je doorgaans de verwerkingsverantwoordelijke. Een partij die deze gegevens namens jou verwerkt, is een verwerker. Werk je zelf in opdracht van klanten, dan kan de rolverdeling anders zijn. Beoordeel dit per verwerking.
De technische taakverdeling hangt af van de gekozen clouddienst. Vraag wie accounts beheert, beveiligingsupdates uitvoert, back-ups controleert en meldingen onderzoekt. Laat ook vastleggen wie toegang goedkeurt en wie rechten intrekt wanneer een medewerker vertrekt.
Praktijkinzicht: wijs voor elke taak een eigenaar aan
Voorbeeldsituatie: een bedrijf neemt aan dat de IT-beheerder alle beveiligingsmeldingen opvolgt. De beheerder levert alleen technisch onderhoud en verwacht dat het bedrijf zelf meldingen beoordeelt. Vraag daarom om een overzicht met per taak de uitvoerder, het aanspreekpunt en de afgesproken opvolging.
Controleer opslaglocaties én toegang vanuit andere landen
Vraag waar de aanbieder productiegegevens, back-ups en logbestanden opslaat. Logbestanden zijn registraties van gebeurtenissen, zoals inlogpogingen en wijzigingen. Controleer ook waar supportmedewerkers en onderaannemers werken en of zij persoonsgegevens kunnen inzien.
Opslag binnen de EU dekt niet automatisch alle privacyverplichtingen af. Toegang door een afzonderlijke dienstverlener buiten de Europese Economische Ruimte, de EU plus Noorwegen, IJsland en Liechtenstein, kan bijvoorbeeld doorgifte zijn.
Vraag bij doorgifte buiten de EER welke juridische basis de aanbieder gebruikt. Dat kan een toepasselijk adequaatheidsbesluit zijn: een besluit van de Europese Commissie over een voldoende beschermingsniveau. Een andere mogelijkheid is een Europees modelcontract, met beoordeling van de doorgifte en waar nodig aanvullende maatregelen. Laat de aanbieder onderbouwen welke route voor jouw gegevens en betrokken partijen geldt.
Leg afspraken vast die je kunt uitvoeren
De offerte, dienstverleningsovereenkomst en SLA moeten samen duidelijk maken wat je afneemt. Een SLA beschrijft het afgesproken serviceniveau, zoals ondersteuning en incidentafhandeling. Controleer ook uitsluitingen, aansprakelijkheid en kosten voor extra werkzaamheden.
Verwerkt de aanbieder persoonsgegevens namens jou? Dan zijn verwerkersafspraken verplicht. Deze mogen onderdeel zijn van een bredere overeenkomst. Controleer of ze aansluiten op jouw gegevens en dienstverlening. Denk aan instructies, geheimhouding, beveiliging, ondersteuning bij privacyverzoeken en mogelijkheden om naleving te controleren.
Incidenten en datalekken
Leg vast welke incidenten de aanbieder meldt, via welk kanaal en aan welke contactpersonen. Een verwerker moet een datalek zonder onnodige vertraging aan de verwerkingsverantwoordelijke melden. Een meldplichtig datalek moet je als verantwoordelijke zonder onnodige vertraging en, indien mogelijk, binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens melden. Geef je leverancier dus niet standaard 72 uur om jou te informeren.
Spreek af welke informatie je direct ontvangt en hoe updates volgen. Bepaal ook wie buiten kantooruren bereikbaar is en wie beoordeelt of een melding aan de toezichthouder nodig is.
Bewaren, verwijderen en onderaannemers
Leg bewaartermijnen per gegevenssoort vast. Bespreek hoe verwijdering werkt in actieve systemen en back-ups. Spreek voor contractbeëindiging af hoe je gegevens terugkrijgt, wanneer kopieën verdwijnen en hoe de aanbieder dat bevestigt. Houd rekening met eventuele wettelijke bewaarplichten.
Vraag ook naar subverwerkers: partijen die de verwerker inschakelt voor de verwerking. Controleer de toestemmingsafspraken. Bij algemene schriftelijke toestemming moet de verwerker voorgenomen wijzigingen melden, zodat je bezwaar kunt maken.
Laat de aanbieder benoemen welke werkzaamheden inbegrepen zijn en welke apart worden berekend. Denk aan extra rapportages, ondersteuning bij controles, incidentonderzoek en gegevensverwijdering.
Vraag om bewijs dat bij jouw dienst hoort
Een certificaat of auditrapport helpt bij de beoordeling, maar controleer de reikwijdte: welke organisatie, diensten en locaties vallen eronder? Kijk ook naar geldigheid, onderzochte periode en eventuele bevindingen. Een certificaat van de cloudprovider bewijst niet vanzelf dat jouw eigen omgeving goed is ingericht.
Vraag daarom ook om vastgelegde beveiligingsinstellingen, een overzicht van beheertaken en relevante testresultaten. Maak de bewijsstukken onderdeel van de afspraak en leg vast wanneer je nieuwe versies ontvangt.
Checklist voor het gesprek met je cloudaanbieder
| Wat vraag je? | Welk antwoord of document heb je nodig? |
|---|---|
| Voldoet het voorstel aan onze eisen? | Een ingevulde eisenlijst, inclusief afwijkingen en benodigde maatregelen. |
| Wie voert welke taken uit? | Een taakverdeling en vastgelegde privacyrollen. |
| Waar staan onze gegevens en wie heeft toegang? | Een overzicht van opslag-, back-up- en supportlocaties, plus onderbouwing van eventuele doorgifte. |
| Welke afspraken gelden bij verwerking en incidenten? | Verwerkersafspraken waar nodig, een SLA en een concrete meldprocedure. |
| Welke andere partijen verwerken gegevens? | Een actuele subverwerkerslijst en afspraken over wijzigingen. |
| Hoe werken bewaren en verwijderen? | Termijnen, een verwijderprocedure en afspraken over bevestiging en kosten. |
| Hoe controleren we de uitvoering? | Passende auditdocumentatie, inrichtingsbewijs en controleafspraken. |
Deze checklist helpt je ontbrekende afspraken vinden. Hij biedt geen juridische zekerheid voor iedere situatie. Leg open punten vóór akkoord vast, met een verantwoordelijke en een deadline.
Voor je akkoord geeft
Past je cloudvoorstel bij de eisen van je organisatie?
Weet je welke afspraken je maakt over gegevens, beveiliging en beheer? Bespreek je cloudvoorstel met GKS. Samen bekijken we welke eisen je organisatie stelt en welke afspraken nog aandacht vragen.
Wil je beter begrijpen welke omgeving bij je toepassingen past? Lees dan wanneer je kiest voor public cloud of private cloud. Dat helpt je om je huidige inrichting bewuster te beoordelen.
Veelgestelde vragen over public cloud security
Is een DPIA verplicht bij iedere cloudmigratie?
Nee. Een DPIA is een voorafgaand onderzoek naar privacyrisico’s. Dit is verplicht wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert. Beoordeel of de migratie zo’n onderzoek of een aanpassing van een bestaande DPIA nodig maakt.
Kan een standaard verwerkersovereenkomst voldoende zijn?
Ja, als deze aan de AVG voldoet en jouw verwerking goed beschrijft. Controleer vooral de bijlagen over gegevens, beveiliging, subverwerkers en ondersteuning. Een standaarddocument neemt die beoordeling niet weg.
Mag de leverancier namens ons een datalek melden?
Ja, als je deze daarvoor schriftelijk machtigt. Als verwerkingsverantwoordelijke blijf je zelf verantwoordelijk voor de naleving van de meldplicht.
Wat als de aanbieder geen volledig auditrapport deelt?
Vraag welk alternatief beschikbaar is, bijvoorbeeld inzage onder geheimhouding of een relevante onafhankelijke verklaring. Beoordeel of je daarmee voldoende kunt controleren. Leg resterende vragen en controleafspraken vast vóór ondertekening.
Bronnen en referenties
- Europese Unie – Algemene verordening gegevensbescherming (AVG)
Juridische basis voor privacyrollen, verwerkersafspraken, beveiliging en bewaarbeperking. Zie onder meer artikelen 5, 28 en 32. - Microsoft Learn – Gedeelde verantwoordelijkheid in de cloud
Uitleg over de verdeling van technische beveiligingstaken tussen de cloudprovider en de klant. - Autoriteit Persoonsgegevens – Doorgifte persoonsgegevens buiten de EER
Voorwaarden voor internationale doorgifte, waaronder adequaatheidsbesluiten en passende waarborgen. - European Data Protection Board – Guidelines 05/2021 over internationale doorgifte
Richtsnoeren over wanneer sprake is van doorgifte, waaronder toegang op afstand door een verwerker buiten de EER. Engelstalige publicatie. - AVG-Helpdesk voor Zorg en Welzijn – Wat moet er in een verwerkersovereenkomst staan?
Toelichting op afspraken over beveiliging, subverwerkers, bewaartermijnen, verwijdering en controles. Voor dit artikel zijn alleen de algemeen toepasbare onderdelen gebruikt. - Handleiding Algemene verordening gegevensbescherming
Uitleg over AVG-verplichtingen, waaronder de verplichting van de verwerker om de verantwoordelijke zonder onnodige vertraging over een datalek te informeren. - Autoriteit Persoonsgegevens – Zo meldt u een datalek
Toelichting op de meldtermijn, verantwoordelijkheden en schriftelijke machtiging van een verwerker. - Autoriteit Persoonsgegevens – Data protection impact assessment (DPIA)
Uitleg over het vooraf beoordelen van privacyrisico’s en wanneer een DPIA verplicht is. - Nationaal Cyber Security Centrum – Cyberbeveiligingswet (NIS2)
Informatie over de Nederlandse uitwerking van NIS2 en de organisaties waarop deze wet zich richt.
Bronnen geraadpleegd op .
