Aanbevelingen van de EDPB voor het gebruik van cloud-diensten door de overheid
Dit bericht is bestemd voor verantwoordelijken voor gegevensbescherming binnen de overheidorganisaties die een cloud gebruiken.
De European Data Protection Board (Europees Comité voor Gegevensbescherming) heeft onlangs een verslag gepubliceerd over het gebruik van clouddiensten door overheidsinstanties in 22 nationale toezichthoudende organen. In dit rapport worden verantwoordelijken voor gegevensbescherming die clouddiensten gebruiken specifiek geadviseerd om 11 aanbevelingen op te volgen.
Wat zijn deze aanbevelingen?
- Voer een Effectbeoordeling inzake gegevensbescherming (Data Protection Impact Aanlysis of DPIA) uit, om na te gaan welke aanvullende beveiligingsmaatregelen nodig zijn om de naleving van de toepasselijke wet- en regelgeving te waarborgen. Enkel aanbieders van clouddiensten die voldoende garanties bieden, moeten worden geselecteerd.
- Zorg ervoor dat de rollen van de betrokken partijen duidelijk en ondubbelzinnig worden vastgesteld. Overheidsinstanties dienen hun rol met betrekking tot het gebruik van clouddiensten duidelijk te definiëren door middel van een interne evaluatie of als onderdeel van een DPIA.
- De aanbieder van clouddiensten mag alleen handelen namens en in opdracht van de overheidsinstantie. De overheidsadministratie moet nagaan of er steeds een geldige rechtsgrondslag is voor elke doorgifte van persoonsgegevens aan een clouddienstverlener die optreedt als verantwoordelijke voor de verwerking, hetzij alleen hetzij gezamenlijk.
- Controleer de huidige en toekomstige onderaannemers van de cloud provider. Er moet namelijk worden gezorgd voor een passende procedure om bezwaar te kunnen maken tegen latere nieuwe onderaannemers.
- Beperk de gegevens die voor duidelijke en expliciete doeleinden worden verwerkt tot een minimum. Zorg ervoor dat persoonsgegevens niet verder worden verwerkt voor doeleinden die onverenigbaar zijn met de oorspronkelijke doeleinden.
- De verwerkingen opnieuw evalueren overeenkomstig de impactanalyse, om deze zo nodig bij te werken.
- Ervoor zorgen dat de procedure voor overheidsopdrachten alle noodzakelijke vereisten omvat. Dit is met name belangrijk om de naleving van de AVG te waarborgen.
- Internationale gegevensoverdrachten die de leverancier uitvoert moeten voldoen aan de AVG en kunnen door de overheidsinstantie worden beperkt. De overheid moet van de leverancier eisen dat hij een geschikt overdrachtsinstrument gebruikt en zo nodig passende aanvullende maatregelen neemt.
- Het contract met de leverancier in detail herzien en zo nodig opnieuw onderhandelen om de naleving van de AVG te garanderen.
- De mogelijke voorwaarden voor een audit van de leverancier nagaan, ongeacht of deze intern of door een gemandateerde externe auditeur wordt uitgevoerd.
- Betrek de DPO vanaf het begin van een project, met name bij de analyse van contracten en bij alle in dit document beschreven stappen.
Het volledige verslag van de EDPB is beschikbaar op de website van de EDPB (in het Engels).