"EU-gehost" beschrijft één server. Uw gegevens staan op meer plekken dan dat.

---

KORT ANTWOORD

"EU-gehost" beantwoordt meestal één vraag: waar de webserver staat. Het zegt niets over back-ups, logs, e-mailbezorging of wie van waar inlogt. Onder de AVG is het een doorgifte als ondersteunend personeel in een derde land gegevens inziet die in Europa zijn opgeslagen. Drie vragen leveren het echte antwoord op, en die staan hieronder.

---

Een toekomstige klant stelt het bureau een redelijke vraag: wordt onze website in de EU gehost? Het antwoord komt in één regel. Ja, onze servers staan in Frankfurt.

Het antwoord klopt. Het gaat ook over precies één machine. Ondertussen gaan de nachtelijke back-ups naar een andere aanbieder, worden de foutlogs verzameld door een monitoringtool, verstuurt het contactformulier zijn e-mail via een bezorgdienst en logt een ontwikkelaar die de site ondersteunt van buiten Europa in. Bij elk daarvan gaan persoonsgegevens ergens naartoe. Het antwoord dekte geen daarvan.

"EU-gehost" is een feit over een server, niet over een systeem

Een website is niet één plek. Het is een keten van diensten, en de gegevens die uw bezoekers u geven, lopen erdoorheen.

Vraag de meeste bureaus waar de site wordt gehost en u krijgt de naam van een datacentrum. Dat is de schakel die het makkelijkst te beantwoorden is, en vaak de enige die iemand heeft nagegaan. De rest van de keten is samengesteld uit wat tijdens de bouw het handigst was, meestal zonder kaart.

Dit betekent niet dat iemand slordig is. Het betekent dat de vraag "is het EU-gehost" te klein is om een bruikbaar antwoord op te leveren.

Vraag één: waar staan de gegevens echt, kopieën inbegrepen?

De webserver is het begin. De echte lijst is langer:

• Back-ups. Vaak een andere aanbieder, in een ander land, met een volledige kopie van alles wat de site bevat.
• Logs en monitoring. Foutentrackers en prestatietools krijgen vaak paginaadressen, browsergegevens en soms de inhoud van formulieren binnen.
• E-mailbezorging. De berichten van een contactformulier gaan meestal via een maildienst weg, niet vanaf de server zelf.
• Een content delivery network. Bestanden en soms de adressen van bezoekers worden verwerkt door edge-servers overal ter wereld.
• Analytics- en marketingtools. Hun eigen opslag, waar die ook is.
• De plek waar het bureau uw content bewaart terwijl het werkt: een schijf, een ontwerptool, een ticketsysteem.

Een kopie is niet minder dan het origineel. Staat een back-up van de gegevens van uw leden in een derde land, dan staan de gegevens van uw leden in een derde land.

De lengte van die lijst is een ontwerpkeuze, geen natuurwet. Elevates bouwt sites die formulierberichten doorsturen naar een postvak in plaats van op de server een database met aanvragen te bewaren, waardoor er al meerdere regels van de lijst verdwijnen voordat iemand ze hoeft te controleren.

Vraag twee: wie komt er nog meer aan de gegevens?

Elk van die diensten is een bedrijf. Onder de AVG zijn het subverwerkers: andere bedrijven die uw bureau inschakelt om namens u gegevens te verwerken.

Artikel 28, lid 2, van de Verordening luidt: de verwerker "neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke". Bij algemene toestemming moet de verwerker u inlichten over beoogde veranderingen, zodat u bezwaar kunt maken. In de praktijk zijn dat twee dingen waar u op kunt aandringen: een lijst, en een bericht als die verandert.

De lijst is het nuttige product. Eén regel per dienst: wat die doet, welk bedrijf erachter zit en in welk land de gegevens staan. Een bureau dat die niet kan overleggen, heeft zijn eigen keten niet in kaart gebracht.

Vraag drie: wie logt in, en van waar?

Dit is de vraag die bijna niemand stelt, en de vraag met het duidelijkste antwoord in de wet.

De AVG definieert "doorgifte" niet. De Europese Gegevensbeschermingsraad (EDPB) vulde die leemte op in zijn Richtsnoeren 05/2021, versie 2.0, vastgesteld op 14 februari 2023. Daarin staan drie cumulatieve criteria: de exporteur valt onder de AVG; hij stelt de gegevens ter beschikking aan een andere verwerkingsverantwoordelijke of verwerker; en die importeur "bevindt zich in een derde land".

Vervolgens geeft de EDPB het geval dat hier telt. Een verwerker buiten de EU die "bijvoorbeeld voor ondersteuningsdoeleinden, toegang op afstand tot gegevens die in de EU zijn opgeslagen" heeft, leidt tot een doorgifte, omdat degene die de gegevens inziet zich in een derde land bevindt. Waar de schijf staat, is niet doorslaggevend. Waar de mensen zitten, telt ook mee.

De derde vraag is dus eenvoudig: wie heeft inlogtoegang tot de server, de database en het contentsysteem, en vanuit welke landen werken die mensen?

Een doorgifte is niet verboden. Ze is aan voorwaarden gebonden

Dit alles betekent niet dat gegevens Europa nooit mogen verlaten. Artikel 44 staat doorgiften toe als aan de voorwaarden van hoofdstuk V is voldaan, en er zijn twee gewone routes.

De eerste is een adequaatheidsbesluit: de Commissie heeft vastgesteld dat de bestemming de gegevens passend beschermt, en er is geen extra papierwerk nodig. De lijst van de Commissie omvat Andorra, Argentinië, Brazilië, Canada, de Faeröer, Guernsey, Israël, het eiland Man, Japan, Jersey, Nieuw-Zeeland, de Republiek Korea, Zwitserland, het Verenigd Koninkrijk, de Verenigde Staten en Uruguay, plus de Europese Octrooiorganisatie.

Twee daarvan zijn aan een voorwaarde gebonden. Het besluit voor Canada geldt alleen voor commerciële organisaties. De Verenigde Staten vallen er alleen onder voor bedrijven die zich hebben aangesloten bij het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), op grond van het besluit van 10 juli 2023. "Onze back-upaanbieder is Amerikaans" is dus op zichzelf geen antwoord: de vraag is of dat specifieke bedrijf op de DPF-lijst staat.

De tweede route, als er geen adequaatheidsbesluit is, zijn de standaardcontractbepalingen krachtens artikel 46. Dat is gewoon papierwerk, geen hindernis, en een bureau dat internationaal werkt, zou ze al moeten hebben.

Een EU-bedrijf dat in buitenlandse handen is, is een andere vraag

Er is een tussenliggend geval waar veel over wordt getwist, en de EDPB heeft het beantwoord.

Als uw verwerker in de EU is gevestigd, uw gegevens alleen in de EU verwerkt en niemand buiten de EU toegang heeft, dan is het verstrekken van gegevens aan die verwerker geen doorgifte, ook niet als het moederbedrijf in een derde land zit en buitenlands recht er vat op zou kunnen hebben. Volgens het eigen voorbeeld van de EDPB komt de verstrekking aan die verwerker "niet neer op een doorgifte en is hoofdstuk V van de AVG niet van toepassing".

Daarmee is de zaak niet afgedaan, want het risico van een buitenlands toegangsverzoek bestaat nog steeds en moet nog steeds worden afgewogen onder de beveiligingsplichten van de Verordening. Maar het is geen doorgiftevraag, en wie het zo behandelt, brengt verwarring in het gesprek.

Vier antwoorden die geruststellend klinken en dat niet zijn

Sommige antwoorden komen met zelfvertrouwen en beslechten niets.

"Wij gebruiken een Europese aanbieder." Waar de aanbieder zijn hoofdkantoor heeft, is niet hetzelfde feit als waar uw gegevens staan, en ook niet als wie erbij kan. Een Europees bedrijf kan gegevens buiten Europa opslaan, en een bedrijf buiten Europa kan gegevens binnen Europa opslaan. Vraag naar de gegevens, niet naar het briefhoofd.

"Alles is versleuteld." Versleuteling is een beveiligingsmaatregel, op zichzelf vereist door artikel 32, en het is goed om haar te hebben. Het beantwoordt de vraag naar de locatie niet. Gegevens die in rust versleuteld zijn, worden nog steeds ergens verwerkt, door iemand met de sleutel.

"Wij slaan geen persoonsgegevens op." Dit wordt vaak oprecht gemeend en is vaak onjuist. Het contactformulier laat een kopie achter in een postvak. De foutlog heeft het adres van de bezoeker vastgelegd. De back-up bevat de database van vóór de laatste opschoning. Wat een site was ontworpen om op te slaan en wat hij werkelijk bevat, zijn twee verschillende lijsten.

"Onze host is AVG-compliant." Geen enkele autoriteit certificeert een bedrijf in algemene zin als AVG-compliant. Een aanbieder kan standaardvoorwaarden, beveiligingscertificeringen en EU-regio's bieden, en die zijn nuttig, maar naleving hangt af van wat u met de gegevens doet, niet van een badge op de website van een leverancier.

Geen van deze antwoorden is een leugen. Het zijn antwoorden op makkelijkere vragen dan degene die u stelde.

Wat u schriftelijk moet vragen

Zes regels, en ze werken bij elk bureau:

• De lijst van subverwerkers: naam, wat elk ervan doet en het land waar de gegevens staan.
• Waar de back-ups staan, bij wie, en hoe lang ze worden bewaard.
• Wat de foutlogs en analytics verzamelen, en waar het naartoe gaat.
• Vanuit welke landen uw ondersteunend personeel inlogt, freelancers inbegrepen.
• Hoe u op de hoogte wordt gesteld als een subverwerker verandert, en hoe u bezwaar kunt maken.
• De verwerkersovereenkomst zelf, want artikel 28, lid 3, vereist er een op schrift.

Een bureau dat alle zes binnen een dag beantwoordt, vertelt u dat het een kaart heeft. Een bureau dat alleen de eerste beantwoordt, vertelt u de waarheid over zijn server en niets anders.

Waar de checklist ophoudt

Een lijst is een verklaring, geen garantie. Ze weerspiegelt wat het bureau op de dag van opstellen over zijn eigen keten weet.

Twee dingen maken er meer dan papier van. Het eerste is minimaliseren wat er te beschermen valt: een site die aanvragen nooit op zijn eigen server bewaart, heeft een veel kortere lijst dan een site die elk bericht jarenlang in een database houdt. Het tweede is de lijst actueel houden, want een nieuwe plug-in of een nieuwe monitoringtool voegt een schakel aan de keten toe zonder dat iemand dat aankondigt.

Wat een vaag antwoord u kost, en wat Elevates doet

Voor het bedrijf dat de vraag stelt, is het gevolg van "ja, Frankfurt" dat de vraag open blijft. Ze komt terug wanneer een klant een lijst van verwerkers eist, wanneer de compliancemedewerker van een subsidiegever erom vraagt, of na een incident, het slechtste moment om de kaart te gaan tekenen.

Vaak is het eerlijke antwoord dat een kleine brochuresite met een contactformulier een korte keten en een eenvoudige kaart heeft, en dat een middag met de zes vragen het voor jaren regelt. Waar Elevates bouwt, begint het ontwerp bij minder opslaan: formulieren sturen door naar een postvak in plaats van op de server een database met aanvragen op te bouwen, en wat het contract vraagt, is verwijdering bij aflevering in plaats van onbeperkte bewaring. Een kortere keten is makkelijker eerlijk te houden dan een lange die moet worden gecontroleerd.

De vraag voor deze week

Vraag aan degene die uw website beheert: vanuit welke landen werken de mensen die kunnen inloggen?

Komt het antwoord met een lijst van diensten en landen erbij, dan betekent EU-hosting in uw geval iets. Is het antwoord de naam van een stad waar een server staat, dan hebt u één feit over één machine geleerd.

Dit is een beschrijving van de Verordening en de richtsnoeren van de EDPB. Het is geen juridisch advies, en of uw eigen regelingen aan de regels voldoen, is een vraag voor een jurist in uw land.