EU versus Public Cloud

Vaak krijgen we de vraag om daarin te kunnen adviseren daar de Cloud nog niet voor iedereen even duidelijk is. Een van de meest gestelde vragen is dan ook steevast: “is de Cloud wel veilig en hoe kan ik dit als bedrijfs­leider contro­leren?” Vooral het verschil tussen Public en Private cloud oplos­singen is voor velen ondui­de­lijk en zonder het zelf te beseffen zitten de meeste KMO’s al lang in de Public Cloud. Menig werknemer heeft onder­tussen wel een eigen privé e‑mail of Dropbox account en heeft ook minstens één appli­catie die als sociale media toepas­sing wordt gebruikt, denk daarbij aan Facebook of WhatsApp of LinkedIn. Dit bewijst vooral dat het gebruik van toepas­singen uit de cloud allang zijn inge­bur­gerd en dat de meeste ervan, zo niet alle afkomstig zijn van Public Cloud providers uit de Verenigde Staten.

Als antwoord op dit fenomeen heb ik ooit ergens in de wandel­gangen van een fabrikant het nu volgende gezegde opge­vangen: “Amerika vindt het uit (lees Amazon), China kopieert het (lees Alibaba) en Europa regu­la­ri­seert het (lees GDPR).

Zeer toepas­se­lijk als je ziet dat de grootste Public Cloud providers allemaal uit Amerika komen (Big 5) en al een decennia lang hun diensten aanbieden, maar nu gaat Europa hier dus een stokje voor steken onder de noemer GDPR wat staat voor General Data Protec­tion Regu­la­tion. Je kunt geen ICT web-site of vakblad openslaan of je leest wel ergens iets over deze nieuwe regel­ge­ving en vaak met de wijzende vinger of zelfs doem­den­kers scenario’s, want als u niet conform deze regel­ge­ving bent zijn de boetes niet mals!

De General Data Protec­tion Regu­la­tion (GDPR) houdt de gemoe­deren behoor­lijk bezig. Deze door de EU vast­ge­stelde wetten moeten dus gaan toezien op hoe er met de persoon­lijke data van de Europese burger wordt omge­sprongen. Voor België zal er officieel moeten worden voldaan aan de eisen van GDPR vanaf 25 mei 2018, dus u heeft nog even de tijd om orde op zaken te stellen voordat u een Cloud Provider kan selecteren.

Voor GDPR komt er in het kort op neer dat 1) alle bedrijven trans­pa­rant moeten zijn over hoe data wordt verzameld en verwerkt en burgers expliciet toestem­ming moeten geven, 2) dat burgers zonder gedoe gegevens van de ene naar de andere dienst­ver­lener over moeten kunnen zetten en geen data hoeven te delen die niet relevant is, 3) het recht hebben om vergeten te worden en hun data kunnen opvragen 4) dat bedrijven een meld­plicht voor data­lekken opgelegd krijgen.

Ook als KMO moet u aan kunnen tonen dat u aan deze hierboven vermelde verplich­tingen voldoet. Blijft u in gebreke op een van de onder­delen van GDPR, dan kan er een boete opgelegd worden van ettelijke miljoenen of maximaal vier procent van uw wereld­wijde omzet als bedrijf. Met name als het gaat om Cloud-diensten, is iets als de GDPR een heet hangijzer, omdat de data van uw bedrijf en hun gebrui­kers dan continu ‘buiten het bereik’ opge­slagen wordt.

Het nieuwe kader legt niet enkel verplich­tingen op aan de verant­woor­de­lijke voor de verwer­king, maar ook aan partijen die verder in de keten de persoons­ge­ge­vens verwerken voor data-analytics, opslag, factu­ratie, … en dit laatste is toch een belang­rijke nieu­wig­heid voor ict-dienst­ver­le­ners en meer specifiek de aanbie­ders van Cloud diensten. Deze privacy veror­de­ning voorziet dat men contracten moet aan zullen passen en data protec­tion policies op zal moeten zetten, conform aan de vereisten van de veror­de­ning. Alle bedrijven zullen immers moeten kunnen aantonen dat zij op een verant­woorde manier omgaan met persoons­ge­ge­vens van mede­wer­kers, klanten of toele­ve­ran­ciers. Hierdoor zijn er uitda­gingen op verschil­lende niveaus. Veel bedrijven hebben – laten we eerlijk zijn – nooit stil­ge­staan bij gege­vens­be­vei­li­ging. Tech­no­logie kan veel, maar appli­ca­ties en processen zullen herbe­keken moeten worden in het licht van deze wetswijzigingen.