Hosting en data
Nextcloud en de AVG: wat moet je regelen?
Kort antwoord
Nextcloud is geschikt om aan de AVG te voldoen, maar doet dat niet vanzelf. De software biedt versleuteling, toegangsbeheer en logging. De hoster bepaalt waar de data staat en moet een verwerkersovereenkomst met je sluiten. En de organisatie zelf blijft verantwoordelijk voor wat ze bewaart, hoe lang en wie erbij mag. Een Nextcloud op een server in Nederland bij een Europees bedrijf maakt een aantal vragen wel eenvoudiger.
Wie is waarvoor verantwoordelijk?
De AVG kent twee rollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt: dat ben jij als organisatie. De verwerker voert uit in opdracht: dat is de partij die je Nextcloud host.
| Onderwerp | De software | De hoster | Jouw organisatie |
|---|---|---|---|
| Toegangsrechten mogelijk maken | Ja | ||
| Rechten instellen en bijhouden | Op verzoek | Ja | |
| Versleuteling | Biedt het | Zet het aan | |
| Locatie van de server | Ja | Kiest de hoster | |
| Updates en beveiliging van de server | Ja | ||
| Bepalen wat je bewaart en hoe lang | Ja | ||
| Datalek melden bij de toezichthouder | Meldt het aan jou | Ja |
Wat regelt Nextcloud zelf?
De software heeft de onderdelen die je nodig hebt:
- Rechten per map en per gebruiker of groep.
- Tweestapsverificatie bij het inloggen.
- Versleuteling van de verbinding en van de opslag.
- Een logboek van aanmeldingen en van wie welk bestand opende of deelde.
- Bewaartermijnen, waarmee bestanden na een ingestelde periode worden verwijderd.
- Gedeelde links met wachtwoord en einddatum.
Dat zijn mogelijkheden. Ze doen niets tot iemand ze instelt.
Wat moet de hoster regelen?
Vraag je hoster naar vier dingen, en laat ze vastleggen:
- Waar staat de server, in welk land en bij welk bedrijf.
- Wie kan erbij, en zijn er onderaannemers.
- Hoe worden back-ups gemaakt, waar staan ze en hoe lang worden ze bewaard.
- Wat gebeurt er bij een incident, en hoe snel hoor je het.
Het antwoord hoort in de verwerkersovereenkomst te staan. Bij ons is het antwoord op de eerste vraag een datacenter in Hengelo, op hardware die van onszelf is.
Wat blijft van jou?
Het grootste deel. Geen hoster kan voor je bepalen welke gegevens je nodig hebt en hoe lang je ze bewaart. Een paar dingen die elke organisatie zelf moet doen:
- een verwerkingsregister bijhouden: welke gegevens, waarvoor, hoe lang;
- bewaartermijnen kiezen en ook toepassen;
- toegang beperken tot wie het voor zijn werk nodig heeft;
- medewerkers laten weten wat ze wel en niet mogen delen.
Maakt open source het makkelijker?
Op één punt wel. Omdat de broncode openbaar is, kan worden nagegaan wat de software met gegevens doet. Er zit geen verborgen verzameling van gebruiksgegevens in die naar de maker gaat.
En op een tweede punt: je kunt weg. De AVG vraagt dat je gegevens kunt overdragen. Een Nextcloud-omgeving is als geheel te verhuizen naar een andere hoster, zonder omzetting.
Is dit juridisch advies?
Nee. Dit is de technische kant, zoals wij die inrichten. Voor de vraag of jouw verwerking rechtmatig is, welke grondslag je gebruikt en hoe je privacyverklaring eruit moet zien, heb je een jurist of een functionaris voor gegevensbescherming nodig.