De Autoriteit Persoonsgegevens en andere Europese toezichthouders hebben een lijst met aanbevelingen opgesteld voor overheidsinstanties die persoonsgegevens opslaan in de cloud. Eén van de aanbevelingen is dat overheidsorganisaties niet moeten instemmen met een standaardcontract van een clouddienstaanbieder. Het uitvoeren van een Data Protection Impact Assessment (DPIA) is eveneens een belangrijke voorwaarde.
De privacywaakhond kondigt de 13 aanbevelingen van de nationale toezichthouders aan via een persbericht.
Privacyrisico’s vooraf goed in kaart brengen
De aanbevelingen worden uitvoerig beschreven in een rapport van de European Data Protection Board (EDPB), het samenwerkingsverband van alle toezichthouders in de EU. Onderzoekers hielden enquêtes en voerden gesprekken met overheidsinstellingen die persoonlijke gegevens bewaren in de cloud. Vervolgens inventariseerden ze de uitkomsten en formuleerden ze meerdere aanbevelingen.
De belangrijkste tip die de toezichthouders aan overheidsinstanties kunnen geven, is dat ze eerst de privacyrisico’s goed in kaart brengen alvorens ze in zee gaan met een cloudprovider. Een DPIA of gegevensbeschermingseffectbeoordeling is dan ook verplicht. Dat is een controlemiddel om na te gaan of een partij zich aan de Europese privacyregels houdt. Een onafhankelijke partij bekijkt hoe een organisatie omgaat met het verwerken van persoonsgegevens. Ze kijkt onder meer welke privacygevoelige data een instantie verzamelt, voor welke doeleinden ze deze gegevens nodig heeft, hoe ze deze informatie verwerkt en of het verwerken van deze gegevens opweegt tegen de inbreuk op privacy.
Overheidsorganisaties moeten zich goed beseffen dat ze de juiste technische en organisatorische maatregelen nemen om eventuele privacyrisico’s zo veel mogelijk te beperken. Hierover moeten ze specifieke afspraken met een cloudaanbieder. Het is dan ook onverstandig om genoegen te nemen met een standaardcontract waar veel dienstverleners mee werken.
Opslag van persoonsgegevens buiten Europa
Een andere prominente aanbeveling van de leden van de EDPB, gaat over de opslag van persoonsgegevens buiten de EU. Als een overheidsorganisatie ervoor kiest om persoonlijke gegevens te laten verwerken door een partij buiten Europa, dan moet de bescherming van deze data minimaal op hetzelfde niveau zijn als in de EU.
Omdat dat niet het geval was in de VS, zette het Europees Hof van Justitie in de zomer van 2020 een streep door het Privacy Shield. Inmiddels ligt er een principeakkoord op tafel, hoewel sommigen daar hun bedenkingen bij hebben.
EDPB adviseert overheidsinstanties om gezamenlijk op te trekken
Volgens de Autoriteit Persoonsgegevens kunnen andere Europese landen veel leren van de Nederlandse overheid. “Nederlandse overheidsorganisaties voeren steeds vaker gezamenlijk een gedegen DPIA uit bij clouddiensten. En omdat de overheid die DPIA’s vaak ook publiceert, kunnen andere organisaties leren hoe zij de risico’s van bepaalde clouddiensten moeten inschatten”, zo schrijft de toezichthouder.
Een gezamenlijke analyse leidt er bovendien toe dat overheidsorganisaties beter in staat zijn om bij cloudaanbieders te onderhandelen over goede voorwaarden. Daarom adviseert de EDPB dat overheidsinstellingen samenwerken met andere organisaties als ze in gesprek gaan met partijen die clouddiensten aanbieden. Tot slot moeten ministeries bij het inkoopproces de manier waarop privacy wordt meegenomen gelijktrekken.
Kabinet introduceert nieuw cloudbeleid
Eind augustus presenteerde het kabinet een nieuw cloudbeleid. Staatssecretaris voor Digitalisering Alexandra van Huffelen gaf in het plan meer ruime aan overheidsorganisaties om gebruik te maken van clouddiensten van commerciële partijen als Microsoft, Amazon en Google.
Tegelijkertijd waarschuwde ze voor de eventuele risico’s. Overheidsinstanties die gebruik willen maken van clouddiensten van internationale aanbieders, moeten goed kijken naar de voorwaarden op het gebied van beveiliging en privacy. Daarnaast zijn ze verplicht om vooraf een risicoanalyse te maken.
AP: ‘Cloudbeleid kabinet te vrijblijvend’
De Autoriteit Persoonsgegevens oordeelde dat het nieuwe cloudbeleid van het kabinet te vrijblijvend was. “Privacy moet leidend zijn bij de vraag of je informatie over burgers mag opslaan bij een bedrijf. Als je niet goed onderzoekt welke risico’s er zijn, kun je ook geen maatregelen nemen om die risico’s te weg te nemen”, zei AP-bestuursvoorzitter Aleid Wolfsen hierover.
De Autoriteit Consument & Markt (ACM) was positiever over het nieuwe cloudbeleid van het kabinet, maar zag net als de privacywaakhond een aantal gevaren. Zo is het moeilijk om van de ene cloudaanbieder naar de andere over te stappen. “Door deze beperkte interoperabiliteit hebben bedrijven en organisaties weinig vrijheid in de keuze tussen clouddiensten van verschillende aanbieders”, concludeerde de consumentenwaakhond.
