In 6 stappen naar hosting met opslag in de EU

Sinds mei 2018 kan een overtreding van de privacyregels boetes opleveren tot 4% van de wereldwijde jaaromzet of 20 miljoen euro, waarbij het hoogste bedrag geldt. Logisch dus dat je je afvraagt of hosting met EU-opslag verplicht is voor je website of webshop. Nee, opslag in de EU is niet verplicht, maar wel het simpelst omdat je dan geen extra regels voor doorgifte buiten Europa hoeft te regelen. De AVG stelt geen algemene eis aan waar je data staat, maar regelt wel streng wat er moet gebeuren als je persoonsgegevens buiten de EU en de EER brengt.

Bij opslag in de EU heb je genoeg aan goede contracten met je hoster en bouwer, bij opslag buiten de EU moet je ook een geldige reden voor doorgifte hebben en dit opschrijven. Het gaat daarbij niet alleen om de server, maar ook om wie er bij je data kan en welk land bij die aanbieder kan meekijken. Daarom check je niet alleen het datacenter, maar ook backups, logs, versnelnetwerken en supporttoegang.

1. Breng in kaart waar je persoonsgegevens staan

Je weet pas of je goed zit als je weet wat waar staat. Maak een simpel overzicht van alle plekken waar je persoonsgegevens bewaart via je site, shop en formulieren.

Pak er je website, webshop, formulieren en nieuwsbrieftool bij en noteer per onderdeel:

• welke gegevens je bewaart, zoals naam, e-mail, adres, bestelling of IP-adres
• waar de hoofdopslag staat, dus in welk datacenter en in welk land
• wie de aanbieder is en of die als verwerker voor je werkt
• hoe lang je het bewaart en waarom je het nodig hebt

Een contactformulier dat mails naar je inbox stuurt telt net zo goed mee als een shop met accounts en bestelhistorie. Twijfel je of je formulieren netjes met persoonsgegevens omgaan, check dan ook of je formulieren AVG-proof zijn. Waar het van afhangt hoe uitgebreid dit wordt? Van hoeveel tools je koppelt. Met alleen een website met een contactformulier ben je zo klaar, met een shop plus betaalprovider, e-mailtool en analytics heb je meer regels te noteren.

2. Check waar je backups, logs en tijdelijke kopieën staan

Voor een backup buiten de EU onder de AVG gelden dezelfde doorgifteregels als voor je hoofdserver. Veel ondernemers vergeten deze kopieën, terwijl juist daar vaak persoonsgegevens in staan.

Loop deze plekken na en schrijf per punt land en bewaartermijn op:

• hoofdserver: waar draait je site of shop nu echt, dus land en datacenter
• backups: waar staan automatische reservekopieën, hoe lang blijven ze bewaard en kun je ze terugzetten zonder kopie buiten de EU
• logs: waar staan fout- en toegangslogs met IP-adressen, en hoe lang bewaart je hoster die
• tijdelijke kopieën via een versnelnetwerk: als je een CDN gebruikt, in welke regio's mag die kopieën bewaren en wat staat daarover in de instellingen
• ontwikkel- en testkopieën: staat er een kopie van de live-site bij je bouwer of op een testserver

Voorbeeld uit de praktijk: je shop draait in Nederland, maar je hoster bewaart 30 dagen backups in een ander werelddeel. Dan sla je toch persoonsgegevens buiten de EU op, ook al voelt je hoofdlocatie goed. Of je logs met IP-adressen draaien mee in een Amerikaans monitoringtool. Leg per punt vast wat je hebt gevonden, zodat je het kunt laten zien als iemand ernaar vraagt.

3. Check wie er van buiten de EU bij je data kan

Is een Amerikaanse aanbieder met een datacenter in de EU goed genoeg? Ja, dat kan goed genoeg zijn, maar alleen als ook de toegang en de wetgeving kloppen, niet alleen het adres van de server. Het gaat om drie dingen: residentie, toegang en jurisdictie.

• residentie: waar staat de data fysiek, dus welk land staat er bij het datacenter
• toegang: wie kan er bij, zoals supportmedewerkers, beheerders of subverwerkers buiten de EU
• jurisdictie: onder wiens wetten valt de aanbieder, dus welk land kan bij die aanbieder meekijken of gegevens opvragen

Een datacenter in Frankfurt bij een Amerikaanse partij is dus iets anders dan een Europese partij met alleen Europese support. Supporttoegang vanuit een ander werelddeel kan ook als doorgifte tellen, ook als de server in de EU blijft staan. Hetzelfde geldt voor een e-mailtool, chattool of analytics die meekijkt met je bezoekers. Check daarom bij elke aanbieder waar support vandaan werkt en welke subverwerkers ze inschakelen. Hangt je toestemming voor meten hiermee samen, regel dan ook je GA4-cookietoestemming netjes in.

4. Kies voor hosting met EU-opslag of regel doorgifte goed

Je kiest de simpele route of je ziet wat je extra moet vastleggen buiten de EU. Voor de meeste ondernemers is opslag binnen de EU en EER de nuchterste keuze.

Opslag van EU-bezoekersdata binnen de EER haalt de doorgiftevraag volledig weg. Opslag in een EU-datacenter neemt de noodzaak van internationale doorgiftemechanismen volledig weg. Je hoeft dan geen aparte doorgiftereden te regelen, je zorgt voor een veilige inrichting en goede contracten.

Sla je wel persoonsgegevens buiten de EU op, dan moet je een geldige reden voor doorgifte hebben en dit opschrijven. Denk aan modelcontractbepalingen met een extra check op de risico's in dat land, of een aanbieder die onder het EU-US Data Privacy Framework valt. Sinds de Schrems II-uitspraak van juli 2020, die een einde maakte aan het EU-VS Privacy Shield, gelden er extra eisen aan het gebruik van die modelcontracten. Laat die keuze altijd met je eigen adviseur checken, want dit artikel geeft geen kant-en-klare contracten.

Deze tabel laat zien wat het verschil in de praktijk is:

Waar het van afhangt wat verstandig is? Van je klanten, je tools en je risico. Werk je alleen voor de Nederlandse markt met een eenvoudige site, dan is EU-opslag meestal het snelst geregeld. Werk je wereldwijd met support en tooling overal, dan weeg je snelheid en beheer af tegen extra vastlegwerk.

5. Leg je keuzes vast in contracten en instellingen

Wat je niet hebt opgeschreven, kun je niet laten zien. Leg daarom vast met je hoster en bouwer wat je hebt gekozen, zodat je kunt aantonen dat je erover hebt nagedacht.

Zet dit op orde:

• verwerkersovereenkomst: wie doet wat met persoonsgegevens, hoe lang, en hoe meld je een datalek
• subverwerkerslijst: welke partijen je hoster inschakelt en in welke landen die werken
• locatie-instellingen: datacenterregio op EU gezet, CDN-regio beperkt waar dat kan, logbewaring kort gehouden
• eigen register: jouw korte overzicht uit stap 1 en 2, met datum van je laatste controle
• backups getest: weet je zeker dat terugzetten werkt zonder dat je ineens een kopie buiten de EU nodig hebt

Wil je hosting en onderhoud uitbesteden, lees dan verder wat managed hosting je oplevert. Je houdt zelf de verantwoordelijkheid voor de gegevens van je klanten, ook als een ander het beheer doet. Vraag je bouwer dus om de gekozen regio en instellingen zwart op wit in de oplevering.

6. Stel de juiste locatievragen aan je hoster of bouwer

Je krijgt een checklist voor je offerte en je jaarlijkse controle. Met deze vragen weet je snel of het datacenter locatie kiezen voor privacy echt goed geregeld is.

Stuur deze vragen naar je hoster of bouwer en bewaar het antwoord bij je contracten:

• In welk land en datacenter staat mijn hoofdopslag
• In welk land staan backups, logs en testkopieën, en hoe lang bewaar je die
• Gebruik je een versnelnetwerk of andere tools die tijdelijke kopieën buiten de EU kunnen zetten
• Vanuit welke landen kan support of beheer bij mijn data, en staat dat in de subverwerkerslijst
• Onder wiens wetgeving valt de aanbieder en hoe is doorgifte buiten de EU geregeld
• Hoe kan ik verhuizen of verwijderen, inclusief backups en logs

Mail je hoster deze week met de zes vragen hierboven en leg de antwoorden naast je verwerkersovereenkomst.