Mag ik klantdata in een Amerikaanse cloud opslaan?
Sinds het EU-US Data Privacy Framework (juli 2023) mag het, mits de Amerikaanse partij zich daaraan heeft onderworpen. Zonder DPF moet je terugvallen op SCC plus aanvullende maatregelen.
support/compliance-en-wetgeving/doorgifte-buiten-eerstappen: 5
Probeer dit eerst zelf
- Check of de leverancier op de DPF-lijst staat (dataprivacyframework.gov). Microsoft, Google, AWS, Salesforce staan er, veel kleinere niet.
- Wel op de lijst: documenteer in je verwerkersregister "doorgifte op basis van DPF". Dat is voldoende grondslag.
- Niet op de lijst: gebruik Standard Contractual Clauses van de Europese Commissie (juni 2021 versie of later). Die zitten meestal al in de DPA.
- Voer een Transfer Impact Assessment uit. Korte versie: welke data, welk land, welke wetten kunnen toegang geven (FISA 702, CLOUD Act), welke aanvullende maatregelen (encryptie, EU-only key management).
- Bewaar de TIA samen met de DPA. De AP kan ernaar vragen.
Wanneer ons inschakelen
Bij bijzondere persoonsgegevens (gezondheid, biometrie) of grote schaal is een TIA niet vanzelfsprekend rond te krijgen. Trek juridisch advies aan.
Zie ook
- Valt mijn bedrijf onder NIS2 of niet?Twee vragen bepalen het: zit je in een aangewezen sector, en haal je de drempel uit Aanbeveling 2003/361/EG (meer dan 50 fte en meer dan 10M omzet of balans). Daaronder val je alleen indirect, via je klanten. De drempel maakt je belangrijke of essentiele entiteit afhankelijk van sector.
- Wat verandert er met de Cyberbeveiligingswet?De Cyberbeveiligingswet is de NL-implementatie van NIS2 en treedt gefaseerd in werking. Controleer NCSC voor de actuele inwerkingtredingsdatum en lagere regelgeving.
- Ben ik als directeur persoonlijk aansprakelijk onder NIS2?Ja, het bestuur is verantwoordelijk voor goedkeuring en toezicht op de cybermaatregelen. Bij ernstige nalatigheid kan dat persoonlijk worden.
Past het bovenstaande niet?
Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.
Of doe het helemaal niet zelf
Onze Managed IT-klanten zoeken dit soort vragen niet op. Eén aanspreekpunt, vaste prijs per maand, en het is binnen werktijd opgelost.