Waar worden uw bezoekersgegevens opgeslagen? Een dataresidentiechecklist voor Europese organisaties

Wanneer bezoekers zich bij uw organisatie aanmelden via een bezoekersregistratiesysteem, worden er persoonsgegevens verwerkt. Vaak gaat het om meer dan alleen hun naam en aankomsttijd, en delen ze bijvoorbeeld ook contactgegevens, een handtekening, een kenteken of een foto.

Maar waar worden die gegevens opgeslagen? Waar bevindt de informatie zich precies als ze “in de cloud” staat? Wie heeft toegang? En kunnen leveranciers, subverwerkers of supportmedewerkers buiten de Europese Economische Ruimte (EER) de gegevens raadplegen? Sinds de GDPR/AVG in 2018 van toepassing werd, zijn deze vragen nog prangender geworden.

Dataresidentie, of de geografische locatie waar gegevens fysiek worden opgeslagen, is een belangrijk aandachtspunt bij de verwerking van bezoekersgegevens onder de Europese privacywetgeving. Voor bedrijfsleiders, IT-managers en functionarissen voor gegevensbescherming is het dan ook een relevant selectiecriterium bij de keuze van een bezoekersbeheersysteem (VMS).

De locatie van het primaire datacenter is maar een deel van het verhaal. Opslag binnen de EU betekent bijvoorbeeld niet automatisch dat een systeem volledig aan de GDPR/AVG voldoet. Ook de locatie van back-ups, internationale doorgiften, toegangsrechten en bewaartermijnen spelen een rol.

Onze praktische checklist helpt u na te gaan waar een bezoekersbeheersysteem gegevens opslaat en verwerkt, wie toegang heeft en of er internationale doorgiften plaatsvinden. Zo kunt u marketingclaims kritisch beoordelen en leveranciers vergelijken op basis van concrete informatie.

In dit artikel:

• Waarom de locatie van bezoekersgegevens belangrijk is
• Vereist de GDPR/AVG dat bezoekersgegevens binnen de EU blijven?
• Checklist: zo beoordeelt u de dataresidentie van een bezoekersbeheersysteem
• Waarschuwingssignalen bij het vergelijken van leveranciers
• Hoe Vizito bezoekersgegevens opslaat, verwerkt en verwijdert
• Conclusie

Waarom de locatie van bezoekersgegevens belangrijk is

Tijdens demo’s krijgen we bij Vizito geregeld de vraag waar bezoekersgegevens worden opgeslagen. Dat is niet verwonderlijk. Dataresidentie is voor veel organisaties, terecht, een belangrijk selectiecriterium.

Bij bezoekersregistratie worden immers persoonsgegevens verwerkt, zoals namen, contactgegevens, foto’s, handtekeningen en aankomst- en vertrektijden. Waar die gegevens worden opgeslagen en verwerkt, is van belang voor de naleving van privacywetgeving en het risicobeheer van uw organisatie. Transparantie over de opslaglocatie kan bovendien het vertrouwen van bezoekers versterken.

Privacywetgeving

Als uw organisatie in de EU persoonsgegevens van bezoekers verwerkt, moet die verwerking voldoen aan de GDPR/AVG. De locatie waar de gegevens worden opgeslagen en verwerkt, bepaalt mee welke regels en juridische waarborgen van toepassing zijn. Wanneer gegevens buiten de EER verwerkt worden of van daaruit toegankelijk zijn, gelden er aanvullende vereisten voor internationale doorgiften.

Ook buitenlandse wetgeving kan een rol spelen. Een bekend voorbeeld is de Amerikaanse CLOUD Act, waarbij Amerikaanse dienstverleners onder bepaalde voorwaarden verplicht kunnen worden om gegevens te verstrekken.

Risicobeheer

Een organisatie is verantwoordelijk voor de bezoekersgegevens die ze verzamelt. Daarom moet u weten waar de oorspronkelijke gegevens, back-ups en eventuele kopieën worden opgeslagen en wie er toegang toe heeft. Hoe minder onduidelijkheid hierover bestaat, hoe beter u risico’s kunt beperken. Daarom leggen veel organisaties in hun privacy- en beveiligingsbeleid vast waar persoonsgegevens mogen worden opgeslagen en verwerkt.

Lees ook: Een bezoekersbeleid schrijven in 7 stappen (met gratis template)

Bezoekersvertrouwen

Veel mensen zijn zich steeds bewuster van privacy en gegevensbescherming. Opslag binnen de EER kan het vertrouwen van privacybewuste bezoekers versterken, vooral wanneer u transparant communiceert over waar, waarom en hoelang u hun persoonsgegevens bewaart en hoe u ze beschermt.

Vereist de GDPR/AVG dat bezoekersgegevens binnen de EU blijven?

Het korte antwoord is voor veel mensen verrassend: neen.

De GDPR/AVG schrijft niet voor dat persoonsgegevens, waaronder bezoekersgegevens, fysiek binnen de EU moeten blijven. De verordening legt wel aanvullende voorwaarden op wanneer persoonsgegevens buiten de Europese Economische Ruimte (EER) worden doorgegeven.

Binnen de EER

Binnen de Europese Unie is de GDPR/AVG rechtstreeks van kracht. De regels gelden ook in de andere landen van de EER: Noorwegen, IJsland en Liechtenstein. Als uw organisatie bezoekersgegevens opslaat of verwerkt in een ander EER-land, gelden geen aanvullende voorwaarden voor internationale doorgiften.

Buiten de EER

Alle landen buiten de EER worden derde landen genoemd. Wanneer persoonsgegevens buiten de EER terechtkomen, is er sprake van internationale doorgifte (ook: international data transfer). Dat gebeurt bijvoorbeeld wanneer ze worden opgeslagen op een server in een derde land, maar ook wanneer een leverancier of subverwerker vanuit zo’n land toegang krijgt tot gegevens die binnen de EER staan.

Internationale doorgifte is toegestaan, maar alleen als aan de voorwaarden uit hoofdstuk V, artikelen 44 tot en met 50, van de GDPR/AVG is voldaan. Daarvoor bestaan verschillende mechanismen:

1. Adequaatheidsbesluit

De Europese Commissie kan vaststellen dat een land, een gebied of een specifieke sector een passend niveau van gegevensbescherming biedt. Voorbeelden zijn het Verenigd Koninkrijk, Zwitserland, Japan, Zuid-Korea en Nieuw-Zeeland. Voor Canada geldt het besluit enkel voor commerciële organisaties die onder de privacywet PIPEDA vallen.

Bij een doorgifte op basis van een adequaatheidsbesluit zijn geen afzonderlijke passende waarborgen nodig. Omdat adequaatheidsbesluiten geregeld geëvalueerd worden, controleert u het best altijd de actuele lijst van de Europese Commissie.

2. Passende waarborgen

Is er geen adequaatheidsbesluit, dan is er extra actie nodig om de gegevens te beschermen. Dat kan op basis van passende waarborgen. Voorbeelden zijn de modelcontractbepalingen van de Europese Commissie, ook bekend als Standard Contractual Clauses (SCC’s), en bindende bedrijfsvoorschriften of Binding Corporate Rules (BCR’s).

Een contract alleen volstaat niet altijd. De betrokken organisaties moeten ook beoordelen of de wetgeving van het ontvangende land toelaat dat de afspraken daadwerkelijk nageleefd worden. Afhankelijk van het risico kunnen aanvullende maatregelen nodig zijn.

3. Uitzonderingen

De GDPR/AVG voorziet ook enkele uitzonderingen. Een doorgifte kan bijvoorbeeld mogelijk zijn na uitdrukkelijke toestemming van de betrokkene of wanneer ze noodzakelijk is voor een overeenkomst of het algemeen belang. Deze uitzonderingen zijn bedoeld voor specifieke situaties, niet om bezoekersgegevens standaard buiten de EER te verwerken.

Hoe zit het met de Verenigde Staten?

Dat is een ingewikkeld verhaal. De Europese Commissie keurde inmiddels drie regelingen goed voor de doorgifte van persoonsgegevens naar Amerikaanse organisaties. De eerste, Safe Harbor, werd in 2015 ongeldig verklaard door het Hof van Justitie van de Europese Unie. De opvolger, EU-US Privacy Shield, onderging in 2020 hetzelfde lot.

Sinds juli 2023 geldt het EU-US Data Privacy Framework. Daardoor mogen persoonsgegevens opnieuw in de VS worden opgeslagen zonder bijkomende waarborgen voor internationale doorgifte, maar alleen door gecertificeerde Amerikaanse organisaties op de officiële deelnemerslijst. In andere gevallen zijn passende waarborgen nodig.

Omdat de twee vorige regelingen ongeldig werden verklaard, blijft doorgifte naar de VS een aandachtspunt. Controleer daarom altijd of het besluit nog geldig is en of de betrokken organisatie gecertificeerd is.

Kortom: de GDPR/AVG verplicht organisaties niet algemeen om bezoekersgegevens binnen Europa te houden. Opslag en verwerking binnen de EER maken de juridische beoordeling doorgaans wel eenvoudiger, omdat de aanvullende regels voor doorgifte naar derde landen dan niet van toepassing zijn. Controleer daarbij niet alleen de primaire opslaglocatie, maar ook waar back-ups en kopieën staan en vanuit welke landen leveranciers en subverwerkers toegang hebben.

Lees ook: GDPR/AVG en bezoekersregistratie: een praktische gids

Checklist: zo beoordeelt u de dataresidentie van een bezoekersbeheersysteem

Gebruik deze checklist om na te gaan waar bezoekersgegevens daadwerkelijk worden opgeslagen en verwerkt.

1. Controleer alle opslaglocaties

• In welk land of welke cloudregio staat de primaire database?
• Waar worden back-ups en kopieën voor systeemherstel opgeslagen?
• Waar worden foto’s en ondertekende documenten bewaard?
• Waar komen logbestanden en tijdelijke kopieën terecht?
• Worden er persoonsgegevens buiten de EER opgeslagen? Zo ja, welke en waar?

2. Controleer wie toegang heeft

• Wie is de leverancier van het bezoekersbeheersysteem en in welk land is die gevestigd?
• Welke cloudprovider gebruikt de leverancier en waar zijn die provider en zijn moedermaatschappij gevestigd?
• Welke subverwerkers verwerken bezoekersgegevens en vanuit welke landen gebeurt dat?
• Kunnen support- of engineeringmedewerkers bezoekersgegevens raadplegen? Zo ja, wanneer en vanuit welke landen?
• Is deze toegang beperkt tot bevoegde medewerkers, passend beveiligd en geregistreerd?
• Kan iemand buiten de EER toegang krijgen tot de gegevens?

3. Controleer internationale doorgiften

• Worden bezoekersgegevens buiten de EER opgeslagen, verwerkt of toegankelijk gemaakt?
• Naar welke landen en organisaties worden ze doorgegeven?
• Geldt voor het ontvangende land een adequaatheidsbesluit?
• Gaat het om een Amerikaanse organisatie? Is ze gecertificeerd onder het EU-US Data Privacy Framework?
• Indien er geen adequaatheidsbesluit geldt: zijn er passende waarborgen gebruikt, zoals modelcontractbepalingen?
• Zijn de risico’s van de doorgifte beoordeeld en zijn er zo nodig aanvullende technische of organisatorische maatregelen genomen?
• Kan de leverancier deze afspraken schriftelijk aantonen?

Opgelet: dataresidentie is slechts één onderdeel van gegevensbescherming en garandeert op zichzelf niet dat u aan de GDPR/AVG voldoet. Controleer ook of u alleen persoonsgegevens verzamelt die noodzakelijk zijn voor het doel van de bezoekersregistratie (dataminimalisatie) en beoordeel de bewaartermijnen, verwijderingsprocedures, versleuteling en toegangsbeveiliging van het systeem.

Waarschuwingssignalen bij het vergelijken van leveranciers

De bovenstaande checklist helpt u om leveranciers gericht te beoordelen. Let daarbij op hoe concreet en volledig de antwoorden zijn. Wees voorzichtig wanneer een leverancier:

• alleen vermeldt dat gegevens “in de cloud” of “in Europa” staan;
• uitsluitend de locatie van de primaire database opgeeft;
• geen duidelijkheid biedt over back-ups, kopieën en logbestanden;
• geen actuele lijst van subverwerkers kan bezorgen;
• niet aangeeft vanuit welke landen medewerkers toegang hebben;
• geen duidelijke juridische basis noemt voor doorgiften buiten de EER;
• claims over dataresidentie niet schriftelijk kan bevestigen.

Hoe Vizito bezoekersgegevens opslaat, verwerkt en verwijdert

Als u Vizito gebruikt, blijven uw bezoekersgegevens binnen de Europese Unie. Vizito host ze op servers in Amsterdam en Frankfurt. Voor de hosting werkt Vizito samen met Leaseweb Global B.V. De andere subverwerkers en hun locaties staan in de verwerkersovereenkomst.

Als klant bepaalt u zelf welke bezoekersgegevens u verzamelt en hoelang u ze bewaart. Zodra de ingestelde bewaartermijn verstreken is, wordt de registratie automatisch verwijderd. Vizito verwerkt bezoekersgegevens uitsluitend om de dienst te leveren en gebruikt ze niet voor advertenties, profilering of andere eigen commerciële doeleinden.

Bezoekersgegevens worden zowel tijdens de overdracht als bij de opslag versleuteld. Bovendien is Vizito ISO 27001-gecertificeerd, wat betekent dat het informatiebeveiligingsmanagementsysteem onafhankelijk is getoetst.

Voor meer informatie kunt u onze pagina over Vizito en de GDPR/AVG raadplegen.

Conclusie

Waar bezoekersgegevens worden opgeslagen, is niet zomaar een technische vraag. De locatie bepaalt mede welke privacyregels en voorwaarden voor internationale doorgifte gelden en hoeveel zicht uw organisatie heeft op de verwerking van die gegevens.

Het gaat hierbij niet alleen om de primaire database, maar ook om back-ups en andere kopieën, welke subverwerkers betrokken zijn en vanuit welke landen medewerkers toegang kunnen krijgen.

De GDPR/AVG verplicht niet dat bezoekersgegevens binnen de EER blijven. Opslag en verwerking binnen de EER maken het doorgaans wel eenvoudiger om aan de wet te voldoen. Maar dataresidentie is slechts één onderdeel van gegevensbescherming: ook dataminimalisatie, beveiliging, bewaartermijnen en tijdige verwijdering blijven essentieel.

Wilt u zelf ervaren hoe Vizito bezoekersgegevens veilig en overzichtelijk helpt beheren? Probeer Vizito 14 dagen gratis of boek een demo.