.svg)
Wat AVG-regels voor gegevensoverdracht echt vereisen
AVG-regels voor gegevensoverdracht bepalen wanneer persoonsgegevens de EU en de EER mogen verlaten. Het principe is eenvoudig: persoonsgegevens mogen alleen naar een ander land worden gestuurd als dat land, of de ontvangende organisatie, bescherming biedt die gelijkwaardig is aan de AVG (GDPR). Dit staat in hoofdstuk V van de verordening en geldt elke keer dat klantdata een grens oversteekt, inclusief de routinematige overdrachten binnen een gekoppelde softwarestack.
Er zijn een paar manieren om aan de regel te voldoen. De EU heeft van sommige landen geoordeeld dat ze passende bescherming bieden, dus daarheen is geen extra stap nodig. Voor de Verenigde Staten kunnen gecertificeerde bedrijven steunen op het EU-US Data Privacy Framework. Waar geen van beide geldt, gebruiken bedrijven waarborgen zoals modelcontractbepalingen, gecombineerd met een beoordeling of de data in de praktijk echt beschermd zal zijn.
Dataresidentie is de gerelateerde vraag waar data fysiek staat. De twee horen bij elkaar, want je kunt geen rechtmatige overdrachtsroute kiezen zolang je niet weet waar je data heen gaat. Voor de meeste e-commercebedrijven is dat het lastige deel. De data staat niet op één plek, en niemand heeft in kaart gebracht waar ze uiteindelijk terechtkomt.
Waar staat jouw e-commerce-klantdata eigenlijk?
In de meeste gevallen kan niemand het zeggen. Een doorsnee webshop verspreidt klantdata over een tiental systemen, waarvan er meerdere in verschillende landen draaien. Een bestelling plaatst persoonsgegevens in het e-commerceplatform en stuurt ze vervolgens naar een betaalprovider, een fraudecheckdienst, een marketingtool, een analyticsplatform, een helpdesk en het ERP. Sommige van die leveranciers hosten in de EU. Andere hosten in de Verenigde Staten, of repliceren data over regio's die de klant nooit ziet. Elke stap is een overdracht waarop AVG-regels voor gegevensoverdracht van toepassing zijn, of iemand dat nu zo heeft bedoeld of niet. De vraag naar dataresidentie, waar elk stukje data daadwerkelijk rust, wordt beantwoord door de architectuur, niet door een beleidsdocument.
Waarom grensoverschrijdende overdrachten in een gekoppelde stack snel misgaan
Het risico is zelden een bewuste keuze om de regels te overtreden. Het is de stille opeenstapeling van overdrachten die niemand bijhield:
- Leveranciers die verhuisd of verlopen zijn: een Amerikaanse tool waarop je vertrouwt heeft mogelijk geen actieve Data Privacy Framework-certificering, en zo'n certificering kan zonder waarschuwing vervallen, waardoor de rechtsgrond die je veronderstelde wegvalt.
- Doorgiftes die je niet ziet: een tool waaraan je data stuurt kan die doorgeven aan eigen onderaannemers in andere landen, en jij blijft verantwoordelijk voor waar ze belandt.
- Kopieën voor het gemak: analytics- en marketingtools dupliceren klantdata vaak naar hun eigen omgeving, waardoor nieuwe overdrachten ontstaan los van het oorspronkelijke systeem.
- Geen registratie van de stroom: de AVG verwacht dat een bedrijf vastlegt waar persoonsgegevens heen gaan, en dat is lastig bij te houden als koppelingen één voor één worden gebouwd zonder centraal overzicht.
Al deze punten komen terug op hetzelfde gat: niemand ziet alle datastromen tegelijk. Dat overzicht biedt een integration platform-as-a-service (iPaaS), software die de data van een bedrijf via één beheerde laag leidt in plaats van via tientallen directe koppelingen. Het is dezelfde grip die bredere privacycompliance werkbaar maakt over gekoppelde systemen heen.
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
