AVG-compliance is meer dan technische instellingen controleren
Je hebt gehoord van tools die automatisch je cloudomgeving scannen op compliance-problemen. Ze kijken of je AWS-buckets goed zijn ingesteld, of je toegangscontroles kloppen en of je logs aan staan. Ze produceren dashboards. Groene vinkjes. Een score.
En dan? Dan ben je AVG-compliant?
Dat is helaas niet hoe het werkt. Een technische scan is een nuttig onderdeel van een bredere aanpak. Maar als je het daarbij laat, creeer je een gevoel van zekerheid dat niet overeenkomt met de werkelijkheid. Dit artikel legt uit waarom, en wat AVG-compliance voor een Nederlands mkb werkelijk inhoudt.
Wat geautomatiseerde compliance-scantools eigenlijk doen
Tools zoals Vanta, Drata of Secureframe zijn gebouwd om een specifiek probleem op te lossen: grote bedrijven met uitgebreide cloudinfrastructuur die moeten bewijzen dat hun technische instellingen overeenkomen met een framework als SOC 2, ISO 27001 of CIS Benchmarks.
Dat probleem is reeel. Als je honderden AWS-services, tientallen SaaS-tools en meerdere cloudaccounts hebt, is handmatig controleren onbegonnen werk. Automatisering helpt daar.
Wat deze tools concreet controleren:
- Zijn je cloudopslag-buckets versleuteld en niet publiek toegankelijk?
- Zijn multi-factor authenticatie en toegangsrechten correct ingesteld?
- Draaien je systemen op actuele softwareversies?
- Zijn je logbestanden actief en bewaard?
Dat zijn technische maatregelen. Allemaal relevant. Maar het zijn slechts een fractie van wat de AVG van je vraagt.
Wat de AVG werkelijk van je vereist
De AVG is geen technische standaard. Het is een privacywet die draait om rechten van mensen en verantwoordingsplicht van organisaties. De technische maatregelen staan in artikel 32, en die zijn een onderdeel van een veel breder geheel.
Hier zijn de elementen die technische scantools niet raken:
Verwerkingsregister (artikel 30 AVG)
Je bent verplicht bij te houden welke persoonsgegevens je verwerkt, met welk doel, op welke grondslag en hoe lang je ze bewaart. Dit register moet actueel zijn. Als de AP bij je aanklopte, is dit het eerste document dat wordt gevraagd. Een technische scan produceert geen verwerkingsregister. Lees meer over het opstellen van een verwerkingsregister.
Verwerkersovereenkomsten (artikel 28 AVG)
Voor elke leverancier die namens jou persoonsgegevens verwerkt, heb je een verwerkersovereenkomst nodig. Je CRM, je boekhoudsoftware, je e-mailtool, je cloudopslagdienst. Allemaal. Een gescande cloudomgeving zegt niets over de contractuele dekking van je leveranciersbeheer. Meer hierover vind je in dit overzicht over verwerkersovereenkomsten.
Datalekprocedure (artikel 33 en 34 AVG)
Bij een datalek heb je 72 uur om dit te melden bij de Autoriteit Persoonsgegevens, als er risico is voor betrokkenen. Weten je medewerkers wat een datalek is? Wie het eerste aanspreekpunt is? Hoe je de ernst beoordeelt? Een technische scan screent je instellingen, maar traint je medewerkers niet en schrijft je procedures niet. Bekijk het stappenplan bij een datalek.
Data Protection Impact Assessment (artikel 35 AVG)
Voor verwerkingen met een hoog risico voor betrokkenen is een DPIA verplicht. Denk aan profilering, grootschalige verwerking van bijzondere persoonsgegevens, of systematische monitoring. Een DPIA is een gedocumenteerde analyse die je zelf uitvoert of laat uitvoeren. Lees wanneer een DPIA verplicht is.
Medewerkersbewustwording
De AP verwacht dat medewerkers weten hoe ze met persoonsgegevens moeten omgaan. Wat te doen bij een verdachte e-mail. Hoe meld je intern een datalek. Waar ligt de grens bij het delen van klantdata. Dit staat niet in een cloudinstellingendashboard.
Het CLOUD Act: een punt dat te weinig aandacht krijgt
Er is nog een overweging die relevant is bij de keuze voor een compliance-tool: waar is die tool geregistreerd?
Tools zoals Vanta zijn Delaware corporations, geregistreerd in de VS. Dat maakt ze subject aan de US CLOUD Act. Die wet verplicht Amerikaanse bedrijven om data aan de Amerikaanse overheid te verstrekken als die daar om vraagt, ook als die data op Europese servers staat.
Wat betekent dat concreet? Als je je compliance-documentatie, verwerkingsregister, contracten en auditrapporten in zo'n tool opslaat, kunnen Amerikaanse autoriteiten in theorie toegang vragen tot die gegevens. Voor een tool die je gebruikt om GDPR-compliance te demonstreren, is dat op zijn minst een opvallende paradox.
Dit is geen reden om in paniek te raken. Maar het is een overweging die je als mkb-eigenaar bewust mee zou moeten nemen bij de keuze voor een compliance-platform.
Voor wie zijn geautomatiseerde scantools gebouwd?
Eerlijk gezegd: voor grote bedrijven.
Vanta's klantcases gaan over series B-startups met volledige AWS-stacks, bedrijven die SOC 2 Type II moeten kunnen bewijzen aan Fortune 500-klanten, en SaaS-bedrijven die sales deals verliezen zonder een ISO 27001-certificaat.
Dat is een ander wereld dan een Nederlands mkb met vijftien medewerkers, een handvol SaaS-abonnementen en een primaire verantwoordingsplicht aan de Autoriteit Persoonsgegevens.
De tools zijn ook dienovereenkomstig geprijsd en ingesteld. Integratiegidsen zijn in het Engels. Frameworks zijn primair SOC 2 en ISO 27001. AVG-specifieke functionaliteit, Nederlandse AP-richtlijnen en praktische uitleg voor mkb's zijn vaak een bijzaak of afwezig.
Wat een Nederlands mkb werkelijk nodig heeft
AVG-compliance voor een mkb is geen technisch project. Het is een combinatie van documentatie, processen en mensen.
De basis die je op orde moet hebben:
- Een actueel verwerkingsregister met alle verwerkingen, grondslagen en bewaartermijnen
- Verwerkersovereenkomsten met alle relevante leveranciers, inclusief jaarlijkse review
- Een datalekprocedure die medewerkers kennen en kunnen uitvoeren
- DPIAs voor risicovolle verwerkingen, gedocumenteerd en onderbouwd
- Aantoonbare bewustwording bij medewerkers, ook als dat een jaarlijkse bespreking is
Technische maatregelen zoals encryptie, toegangscontrole en goede wachtwoorden horen er ook bij. Maar ze zijn een aanvulling op dit fundament, niet het fundament zelf.
Een tool die je hierbij helpt, moet dat begrijpen. Die moet je door het verwerkingsregister leiden, je helpen bij het opstellen van verwerkersovereenkomsten, je datalekprocedure documenteren en je AVG-kennis in het Nederlands aanbieden, aansluitend op de richtlijnen van de Autoriteit Persoonsgegevens.
Als je wilt zien hoe zo'n aanpak er voor een mkb uitziet, kun je hier meer lezen over wat een complete AVG-compliancetool voor je zou moeten doen. En specifiek voor het verwerkingsregister is er een overzicht van de AVG verwerkingsregister software die past bij een Nederlandse mkb-context.