Waar staat uw data echt? Vijf vragen

"Uw gegevens staan veilig in de cloud." Die zin staat op elke website, ook op de onze als wij niet oppassen. Hij zegt niets. De cloud is iemands computer, in iemands gebouw, in een land met wetten. De vraag is welke. Hieronder vijf vragen waarmee u binnen een kwartier weet hoe het bij u zit. Stel ze aan uw huidige leverancier, en aan de volgende.

1. In welk land staat de apparatuur?

Niet "in Europa" en niet "in een EU-regio". Welk land, welke stad desnoods. Het maakt uit voor welk recht geldt, voor wie fysiek toegang heeft en voor wat er gebeurt bij een geschil. Een goed antwoord is concreet: "in een datacenter in Nederland, en de back-up in een tweede datacenter in Nederland".

2. Van welk bedrijf is die apparatuur, en waar zit het moederbedrijf?

Dit is de vraag die het vaakst wordt ontweken. Een Nederlandse partij die uw mail bij een Amerikaanse cloudaanbieder host, geeft u een Nederlands contactpersoon en een Amerikaanse verwerker. Amerikaanse bedrijven vallen onder de CLOUD Act, waardoor de Amerikaanse overheid gegevens kan opvragen ook als die in Europa staan. Of dat voor u een probleem is, hangt af van uw klanten en uw branche. Maar u moet het wel weten.

3. Wie kan er bij mijn gegevens, en hoe is dat geregeld?

Uw eigen mensen, uiteraard. Maar ook: de beheerder van de leverancier, eventuele onderaannemers, en de leverancier van de leverancier. Vraag naar de lijst van subverwerkers; onder de AVG moet die er zijn. Vraag ook hoe toegang van beheerders is geregeld: tweestapsverificatie, logboek, en of u ziet wie wanneer bij uw omgeving is geweest.

4. Wat gebeurt er als de leverancier omvalt of als ik weg wil?

Krijgt u uw mail, bestanden en agenda mee in gewone bestandsformaten, zonder extra kosten en binnen een afgesproken termijn? Staat uw domeinnaam op uw naam? Blijft de software werken die u hebt gekocht? Een leverancier die hier ontwijkend over doet, verdient aan het feit dat weggaan moeilijk is.

5. Hoe ziet de back-up eruit, en wie zet hem terug?

Waar staat de back-up (weer: welk land, welke partij), hoe vaak draait hij, hoe lang blijven versies bewaard, en wie doet het terugzetten als het nodig is? "Dat gaat automatisch" is een rode vlag; "wij hebben vorige maand een postbus teruggezet, dat duurde twintig minuten" is een antwoord.

Hoe wij de vijf vragen beantwoorden

Omdat wij ze zelf stellen, zetten wij de antwoorden voor de VIT Werkplek hier neer:

1. Op onze eigen servers in een Nederlands datacenter; de back-up op aparte apparatuur, ook in Nederland.
2. De apparatuur is van Veenstra IT, een Nederlands familiebedrijf uit Hoevelaken. Geen Amerikaans moederbedrijf, geen doorverkochte cloud.
3. Uw mensen, en de beheerders van Veenstra IT, met tweestapsverificatie en een logboek. Geen subverwerkers voor mail, bestanden en agenda.
4. Opzegtermijn één maand; mail, bestanden en agenda gaan in standaardformaten mee; uw domeinnaam staat op uw naam; Office op de computer blijft werken.
5. Dagelijks, met bewaarde versies, op apparatuur die de werkplek niet kan wissen. Terugzetten doen wij.