Europese privacytoezichthouders delen een lijst met aanbevelingen gericht op overheidsinstellingen die persoonsgegevens van burgers opslaan in de cloud. De toezichthouders benadrukken de verantwoordelijkheid van de overheid voor het waarborgen van de veiligheid van gegevens van burgers.
Het gaat om dertien aanbevelingen die zijn opgenomen in een rapport over een gezamenlijke actie van de European Data Protection Board (EDPB), het samenwerkingsverband van Europese privacytoezichthouders waaronder de Autoriteit Persoonsgegevens (AP). Met een enquête en gesprekken met overheidsinstellingen inventariseerden de toezichthouders waarop die instellingen moeten letten.
Data protection impact assessment
Een van de belangrijkste aanbevelingen is dat overheidsorganisaties de privacyrisico’s goed in kaart brengen voordat ze in zee gaan met een clouddienst. Hiervoor dienen zij een data protection impact assessment (DPIA) in te zetten.
Daarbij moeten overheidsinstellingen technische en organisatorische maatregelen nemen om de risico’s zoveel mogelijk te beperken. Onder meer door specifieke afspraken te maken in het contract dat ze sluiten met de clouddienst.
Overheden moeten daarnaast periodiek controleren of clouddiensten zich houden aan deze afspraken. In de praktijk betekent dit dat er maatwerk nodig is en dat overheidsinstellingen niet zomaar akkoord moeten gaan met het standaardcontract dat een cloudprovider aanbiedt.
Risico’s cloud buiten EU
Andere aanbevelingen die de toezichthouders delen hebben betrekking op de toegang tot de data van EU-burgers opgeslagen bij een clouddienstverlener van buiten de Europese Unie (EU). Als een overheidsorganisatie persoonsgegevens laat verwerken door een clouddienst buiten de EU, moet deze nagaan of de bescherming van persoonsgegevens ten minste op hetzelfde niveau ligt als binnen de EU. Vaak is dat niet zo.
Staatssecretaris Van Huffelen van Digitalisering is eind 2022 door de AP eveneens op dit risico gewezen.
‘Veel landen kunnen leren van de Nederlandse overheid’
De AP concludeert dat veel andere landen kunnen leren van de Nederlandse overheid. Nederlandse overheidsorganisaties voeren steeds vaker gezamenlijk een gedegen DPIA uit bij clouddiensten. De overheid publiceert die DPIA’s vaak, waardoor andere organisaties kunnen leren hoe zij de risico’s van bepaalde clouddiensten moeten inschatten.
Gezamenlijke analyse leiden er bovendien toe dat Nederlandse overheidsorganisaties beter in staat zijn goede voorwaarden te onderhandelen. De EDPB beveelt daarom ook aan om samen te werken met andere overheidsinstellingen bij onderhandelingen met clouddiensten.
Ruimte voor verbetering
Maar er is ook het een en ander te verbeteren wat betreft het cloudgebruik door de Nederlandse overheid. De AP gaf daarom alle Nederlandse ministeries in een brief drie opdrachten mee. Zo vindt de AP dat de minister moet beseffen zelf verantwoordelijk te zijn voor de inkoop van clouddiensten, en deze verantwoordelijkheid niet bij de gezamenlijke inkooporganisatie leggen. Daarbij moeten de ministeries de manier waarop privacy wordt meegenomen in het inkoopproces uniformeren. Tot slot moet de minister onderzoeken op welke plekken nog meer gezamenlijke inkoop kan plaatsvinden.
Petra Claessen, Vice-voorzitter BTG en boardmember BTG Service: “De overheid werkt met veel gevoelige data van burgers en bedrijven. Het is noodzakelijk dat deze gegevens op een veilige en juiste manier worden opgeslagen. De aanbevelingen die AP samen met andere Europese privacytoezichthouders deelt dragen hieraan bij. Zo zorgen de aanbevelingen voor duidelijkheid, onder meer wat betreft de verantwoordelijkheid van de overheid op dit vlak en de inzet van DPIA’s. Hiermee tillen we de veiligheid van data bij de overheid naar een hoger niveau.”