Zo kies je software die écht AVG-proof is (en waarom dat belangrijker is dan je denkt)

Niet alle software die we gebruiken, voldoet automatisch aan de strenge Europese regels voor gegevensbescherming. Zeker bij leveranciers die persoonsgegevens buiten de Europese Unie opslaan, loop je het risico dat je data niet onder de GDPR/AVG valt.

In deze blog leggen we uit waar je op moet letten, wat de risico’s zijn bij software buiten Europa en wat vPlan doet om wel volledig aan de privacy-eisen te voldoen.

Waarom privacy-proof software belangrijk is

Zodra je met persoonsgegevens werkt bijvoorbeeld namen, e-mailadressen of personeelsinformatie geldt de Algemene Verordening Gegevensbescherming (AVG).

Dat betekent dat ook de software waarin je deze data verwerkt, zich aan die regels moet houden. 
Veel organisaties gebruiken software zonder precies te weten waar hun data wordt opgeslagen of onder welke wetgeving die valt.

En dat kan gevolgen hebben. 
Wanneer persoonsgegevens buiten de EU worden verwerkt, vallen ze niet meer onder de Europese bescherming van de AVG. Buitenlandse wetgeving kan overheden of derden toegang geven tot die data, iets wat binnen de EU niet zomaar zonder juridische verordening is toegestaan. 

Een ander punt is om na te gaan welke data waar wordt opgeslagen en of de software de juiste data segmentatie toepast. Denk bijvoorbeeld aan dat een hele database van persoonlijke gegevens wordt buitgemaakt met alle persoonlijke gegevens. Hadden die gegevens allemaal bij elkaar moeten staan of hadden die gespreid kunnen worden zodat de impact lager is?

Kort gezegd: gebruik je software die niet aan de AVG voldoet, dan voldoe jij daar als organisatie automatisch ook niet aan.

Kies software die binnen Europa wordt gehost

De eenvoudigste manier om privacyproblemen te voorkomen, is door te kiezen voor software die volledig binnen de Europese Unie wordt gehost.

Alle EU-landen zijn verplicht om de AVG te volgen, dus software die in de EU draait, voldoet automatisch aan dezelfde privacyregels als jouw organisatie.

Daarnaast heeft de Europese Commissie een aantal ‘adequate landen’ buiten de EU aangewezen, waar de privacywetgeving als gelijkwaardig wordt beschouwd. 
Voorbeelden zijn Zwitserland, Nieuw-Zeeland, Japan, Israël en Canada (voor commerciële organisaties). De actuele lijst van deze landen vind je op de website van de Europese Commissie.

Gebruik je software die data verwerkt in landen die niet op deze lijst staan? 
Dan ben je verplicht om aanvullende maatregelen te nemen, zoals modelcontracten (SCC’s) of passende waarborgen. Dat kan ingewikkeld zijn en biedt in de praktijk niet altijd dezelfde bescherming als Europese wetgeving.

Kortom: eenvoudiger én veiliger is om te kiezen voor software die volledig binnen de EU wordt gehost.

Waar let je op bij het kiezen van AVG-proof software?

Niet elke leverancier is even transparant over hoe ze data verwerken en opslaan. 
Daarom is het slim om vooraf goed te controleren of een systeem écht privacy-proof is.

1. Locatie van dataopslag

Vraag altijd waar de servers staan. Blijft alle data binnen de EU, of wordt deze verwerkt in landen met andere privacyregels? 
Past een partij segmentatie toe op het gebied van data opslag? Als een partij goede segmentatie toepast getuigt dit ervan dat zij zich bewust zijn van de risico’s van mogelijke data lekken.

2. Certificeringen

Een ISO 27001-certificering toont aan dat een leverancier structureel werkt aan informatiebeveiliging en dat processen jaarlijks worden getoetst.

3. Verwerkersovereenkomst

Een betrouwbare partij biedt altijd een duidelijke verwerkersovereenkomst aan. 
Daarin staat precies vastgelegd hoe data wordt verwerkt, wie verantwoordelijk is en welke beveiligingsmaatregelen gelden.

4. Privacyverklaring

Lees de privacyverklaring zorgvuldig. Wordt er data gedeeld met derden? Worden subverwerkers buiten de EU genoemd? 
Een goede leverancier is hierover volledig transparant.

5. Transparantie en controle

Kijk of je inzicht hebt in wat er met jouw data gebeurt. Kun je gebruikersrechten instellen, data verwijderen of exporteren? Dat zijn tekenen van een volwassen privacybeleid.

Extra waarborgen buiten de EU: wat je moet weten

Gebruik je software die persoonsgegevens buiten de EU verwerkt? Dan zijn er enkele manieren om toch aan de AVG te voldoen, al zijn die complex en risicovol.

• Modelcontracten (SCC’s): standaardclausules die de Europese Commissie heeft opgesteld. Hier mag niet van worden afgeweken.

• Binding Corporate Rules (BCR’s): interne privacyregels voor internationale organisaties die data delen tussen vestigingen.

• Expliciete toestemming: alleen toegestaan als de gebruiker daar afzonderlijk én vrijwillig toestemming voor geeft.

➡️ In de praktijk zijn deze opties vaak lastig uitvoerbaar. Daarom is werken met software die binnen de EU wordt gehost de meest veilige en eenvoudige keuze.

Let op: een Nederlandse aanbieder betekent niet automatisch Europese hosting

Sommige leveranciers bieden hun software aan in het Nederlands, maar slaan data alsnog op buiten de EU. Een Nederlandstalige website of lokale klantenservice betekent dus niet automatisch dat de software AVG-proof is.

Een handige vuistregel: kijk niet alleen waar de software vandaan komt, maar vooral waar je data en welke data wordt opgeslagen.

Waarom vPlan voldoet aan de privacy-eisen van de AVG

Bij vPlan vinden we dat je nooit hoeft te twijfelen over de veiligheid van je gegevens. 
Privacy-by-design zit in de kern van hoe ons platform is opgebouwd van databeveiliging tot hosting en toegangsbeheer.

Wil je weten hoe we dat in de praktijk doen? 
👉 Lees dan ook onze blog “Hoe veilig is jouw planningsoftware? Zo beschermt vPlan jouw data.

Waarin we uitgebreid uitleggen hoe vPlan data versleutelt, waar jouw informatie wordt gehost en hoe we continu werken aan maximale beveiliging.

Waarom dit belangrijk is voor jouw organisatie

Met privacyproof software voorkom je niet alleen juridische risico’s, maar bouw je ook vertrouwen op bij klanten, medewerkers en partners. 
Mensen willen weten dat hun gegevens veilig zijn en dat jij daar zorgvuldig mee omgaat.

Door te kiezen voor een platform als vPlan werk je AVG-conform én zonder zorgen. 
Je weet precies waar je data staat, wie er toegang toe heeft en dat alles veilig wordt opgeslagen.

Jij focust op je werk. Wij zorgen dat je data veilig blijft volgens alle geldende regels.