"Onze data staat in de cloud" is geen antwoord op de vraag waar je gegevens staan. Bij een audit, een aanbesteding of een inkoopafdeling die je verwerkersovereenkomst opvraagt, wordt dat verschil ineens belangrijk.

Wat de AVG wel en niet zegt

De AVG verbiedt niet dat je gegevens buiten Nederland staan. Wat de wet vraagt is dat je weet waar ze staan, dat je een verwerkersovereenkomst hebt met de partij die ze verwerkt, en dat er bij doorgifte buiten de EU passende waarborgen zijn.

In de praktijk struikelen bedrijven niet over de wet zelf maar over het antwoord op simpele vragen. Bij welke partij staat het? Staat er iets in de Verenigde Staten? Wie kan erbij? Hoe lang bewaar je back-ups? Als je die vier niet uit je hoofd kunt beantwoorden, kost een audit je een week.

Onze servers staan in Nederland. Dat is geen sentiment: het betekent dat die vier vragen een kort antwoord hebben, en dat er iemand in de auto kan stappen als er handen nodig zijn.

Beschikbaarheid is niet hetzelfde als herstel

Grote platformen beloven beschikbaarheid: het draait, of ze geven je korting op de maandrekening. Wat ze meestal niet beloven is herstel. Raak je gegevens kwijt door een fout van een medewerker of door ransomware, dan is dat in veel voorwaarden expliciet jouw probleem.

Een back-up die nooit is teruggezet is geen back-up maar een aanname. Wij zetten er daarom periodiek een echt terug, op een lege omgeving, en kijken of alles er staat. Dat is saai werk en het is het enige moment waarop je erachter komt dat een tabel al drie maanden niet meer meegaat.

Wat je zelf zou moeten regelen

Onafhankelijk van bij wie je zit:

  1. De domeinnaam en de hostingaccounts op naam van je eigen bedrijf, niet van je bureau.
  2. Een verwerkersovereenkomst met iedereen die persoonsgegevens verwerkt. Ook met je mailleverancier.
  3. Weten hoe lang back-ups bewaard worden en hoe snel je er een terug hebt.
  4. Eén keer per jaar zelf een herstel oefenen. Dat is de test die telt.

Wat een verhuizing kost

Meestal minder dan mensen denken, en het gebeurt buiten kantooruren. Op een afgesproken avond zetten we de laatste gegevens over en verwijzen we het verkeer door. Gaat er iets niet zoals bedoeld, dan staat het binnen een paar minuten weer op de oude omgeving.

De grootste kostenpost is bijna nooit het verhuizen zelf. Het is uitzoeken welke accounts er allemaal blijken te bestaan en wie daar de eigenaar van is.