AVG: 5 controles voordat u persoonsgegevens verstuurt

Een scan van een identiteitsbewijs, een HR-dossier, een klantenlijst: zodra een bestand gegevens bevat waarmee een persoon kan worden geïdentificeerd, is het versturen ervan een verwerking van persoonsgegevens in de zin van de AVG — en de tool die u gebruikt wordt een schakel in die keten. Dit zijn de vijf controles die u moet uitvoeren voordat u op "versturen" klikt.

Gaat dit u aan? (spoiler: ja)

De AVG geldt niet alleen voor grote platformen: het accountantskantoor dat loonstroken ontvangt, de fotograaf die portretten oplevert, het mkb-bedrijf dat een HR-dossier doorstuurt — ze verwerken allemaal persoonsgegevens. De verantwoordelijkheid kan niet aan de tool worden gedelegeerd, maar de keuze van de tool bindt u wel.

1. Waar de gegevens worden gehost

De eerste vraag aan uw transferdienst: waar worden de bestanden opgeslagen? Hosting binnen de Europese Economische Ruimte vereenvoudigt de naleving radicaal; een doorgifte buiten de EER vereist aanvullende waarborgen (adequaatheidsbesluit, standaardcontractbepalingen). TransferNow host in Europa, met keuze van de regio afhankelijk van het abonnement.

2. Het contractuele kader (DPA)

Als u handelt namens een rechtspersoon, is de transferdienst uw verwerker in de zin van artikel 28: een verwerkersovereenkomst (DPA) moet de relatie regelen. Controleer of die bestaat en toegankelijk is — het is een document waar uw DPO om zal vragen. De onze is openbaar, gelinkt vanuit ons privacybeleid.

3. De bewaartermijn

De AVG vereist dat gegevens niet langer worden bewaard dan nodig. Vertaald naar bestandsoverdracht: een verlopende link is een troef voor de naleving. Kies een duur die past bij de werkelijke behoefte — 7 dagen volstaan vaak — en een dienst waarmee u de link kunt deactiveren zodra de overdracht is afgerond.

4. Traceerbaarheid

Als er een vraag komt — van een klant, van een autoriteit — moet u kunnen zeggen wie toegang had tot de gegevens. Een melding op naam bij elke download levert dat spoor zonder extra procedure: wie het bestand heeft opgehaald, en wanneer.

5. Minimalisatie

Het eenvoudigste en meest vergeten principe: verstuur alleen wat nodig is. De complete map "voor het geval dat" vermenigvuldigt de blootstelling. Vóór elke gevoelige verzending één vraag: heeft deze ontvanger al deze bestanden nodig?

Deze vijf punten vervangen geen juridisch advies — maar ze dekken wat een DPO als eerste zal controleren. Voor het technische luik vormt onze beveiligingschecklist de aanvulling op deze.