AVG en de dataroom: grondslag, bewaartermijnen en het intrekken van toegang

De vier vragen

Bij een dataroom met persoonsgegevens zijn er vier vragen die je moet kunnen beantwoorden, ongeacht welke leverancier je kiest. Ze zijn eenvoudig, maar ze worden zelden vooraf gesteld.

• Op welke grondslag deel je deze gegevens, en met wie?
• Welke gegevens zijn echt nodig voor dit dossier?
• Hoe lang blijven ze staan, en wie bepaalt dat?
• Hoe trek je toegang in, en wat gebeurt er met kopieën?

Waar het misgaat

De meest voorkomende fout is dat een dataroom volledig wordt opengesteld “omdat het toch onder de NDA valt”. Een NDA regelt vertrouwelijkheid, geen grondslag voor het verwerken van persoonsgegevens — en al helemaal geen bewaartermijn.

De tweede fout is dat de toegang na afloop blijft staan. Een dossier dat na closing nog openstaat, is een verwerking die geen doel meer dient. Dat is precies wat je moet kunnen uitleggen.

Wat je praktisch regelt

Beperk de gegevens tot wat nodig is: een uittreksel in plaats van een volledig document, geanonimiseerde voorbeelden in plaats van personeelsdossiers, en een aparte zone voor wat alleen een kleine groep mag zien.

Leg daarnaast vast wie toegang heeft, met een einddatum, en maak van afsluiten een expliciete stap met een bevestiging. Dat is geen juridisch project; het is een gewoonte die je in het dossier vastlegt.

Welke grondslag past bij welk dossier

De AVG noemt meerdere grondslagen, en in een dossier is meestal één ervan de dragende. In de praktijk komt het op deze vier neer — laat de keuze per dossier bevestigen door je eigen functionaris gegevensbescherming of jurist, want de grondslag hangt af van je rol en van de partijen.

• Uitvoering van een overeenkomst: het cliëntdossier zelf, waarin je de stukken verwerkt die nodig zijn om de opdracht uit te voeren.
• Wettelijke verplichting: wat je moet vastleggen of bewaren op grond van een wet of beroepsregel.
• Gerechtvaardigd belang: bijvoorbeeld een due diligence, mits je dat belang hebt afgewogen en kunt uitleggen — en rekening houdt met de verwachtingen van de betrokkene.
• Toestemming: zelden geschikt als dragende grondslag voor een dossier, omdat je hem moet kunnen intrekken en opnieuw moet kunnen onderbouwen.

Doelbinding en dataminimalisatie: wat dat concreet betekent

Doelbinding betekent dat je gegevens gebruikt voor het doel waarvoor je ze hebt opgehaald. In een dataroom is dat meestal de transactie of de opdracht — niet “omdat het handig is om alles te hebben”.

Dataminimalisatie is de praktische kant: vraag per document waarom het nodig is. Een uittreksel in plaats van een volledig register, een geanonimiseerd voorbeeld in plaats van een personeelsdossier, en een aparte zone voor wat maar voor twee mensen bedoeld is. Dat is geen bureaucratie; het is wat je later moet kunnen uitleggen.

Verwerkingsverantwoordelijke of verwerker?

Bij een dataroom zijn er vaak drie rollen: de partij die het dossier beheert, de partij die de stukken aanlevert, en de partij die de omgeving levert. Wie verwerkingsverantwoordelijke is en wie verwerker, verschilt per dossier — en het is de moeite waard om dat één keer per dossier vast te leggen in plaats van er bij elk contract op terug te komen.

Een praktische regel: de partij die bepaalt wélke gegevens voor welk doel worden verwerkt, is verwerkingsverantwoordelijke. De leverancier van de omgeving verwerkt doorgaans in opdracht. Leg dat vast, met de verwerkersovereenkomst erbij.

Bewaartermijnen: hoe bepaal je ze zonder te gokken

Een bewaartermijn is geen gevoel maar een optelsom van drie dingen: een wettelijke of beroepsmatige ondergrens, een contractuele afspraak, en het doel waarvoor je de gegevens hebt. De langste van die drie bepaalt hoe lang je bewaart — en daarna vernietig je of anonimiseer je.

Voor een dataroom komt daar één ding bij: de toegang. Bewaren is niet hetzelfde als toegankelijk houden. Een dossier dat je bewaart voor een wettelijke termijn hoeft niet open te blijven staan; het hoort dicht te zijn en alleen op verzoek open te gaan.

Een datalek in een dataroom: de eerste 72 uur

Een datalek in een dataroom is meestal geen inbraak maar een verkeerd geplaatst bestand, een te ruime groep of een link die breder is gedeeld dan bedoeld. De eerste uren gaan over beperken, niet over schuld zoeken.

• Beperk: trek de toegang in, verwijder de link, zet de groep terug tot de bedoelde leden.
• Stel vast: welke gegevens, van wie, en wie heeft het daadwerkelijk kunnen zien of downloaden?
• Beoordeel: is er een risico voor de betrokkenen, en is melden bij de Autoriteit Persoonsgegevens nodig? In beginsel geldt daarvoor een termijn van 72 uur na ontdekking.
• Leg vast: ook als melden niet nodig is, hoort elk datalek in je interne register te staan.
• Informeer: als het risico reëel is, licht de betrokkenen dan zelf in — dat is meestal beter dan dat ze het via een omweg horen.

Vijf dingen die je in de verwerkersovereenkomst vastlegt

Een verwerkersovereenkomst is geen formaliteit; het is de plek waar je vastlegt wat je van een leverancier mag verwachten. Vijf punten doen het meeste werk.

• Waar de gegevens staan: regio en datacenter, plus de lijst van subprocessors.
• Hoe lang ze blijven staan, en wat er bij beëindiging gebeurt: export, verwijdering en bevestiging.
• Wie toegang heeft binnen de leverancier, en hoe die toegang wordt gelogd.
• Hoe en binnen welke termijn een datalek wordt gemeld aan jou.
• Welke rapportage of bewijsstukken je krijgt, zodat je zelf iets kunt aantonen.