In een wereld waar data het nieuwe olie is, wordt het gebruik van cloudsoftware als Microsoft Office 365 vaak als een noodzakelijke schuld beschouwd. Maar voor Belgische bedrijven die zich in een streng privacyrechtelijk landschap bewegen, blijkt dit een dubbelzinnige keuze. De link tussen Microsoft’s diensten en de verwerking van persoonlijke gegevens – zoals die vastgelegd in de Belgische wetgeving – vormt een kritisch punt dat vaak overschat wordt. Volgens een recent onderzoek van de bron pagina, zijn 68 procent van de bedrijven in Vlaanderen en Wallonië onvoldoende bewust van de implicaties van gegevensverwerking door Microsoft’s cloudplatforms.
Het probleem begint bij de basis: Office 365 verwerkt niet alleen bedrijfsgegevens, maar ook de persoonlijke gegevens van werknemers, zoals e-mailadressen en telefoonnummers. Deze gegevens worden niet alleen binnen de Europese grenzen verwerkt, maar kunnen ook naar buitenland worden overgedragen, zoals blijkt uit de recente uitspraken van de Europese Commissie over de Amerikaanse veiligheidsdiensten. Volgens de Schrems II-rechtspraak, zijn Microsoft’s veiligheidsmaatregelen onvoldoende om de privacy van Europese burgers te garanderen. Dit betekent dat bedrijven die Office 365 gebruiken, zich bewust moeten zijn dat hun gegevens niet alleen onder Belgische, maar ook onder Amerikaanse wetgeving vallen.
De impact van deze onvoldoende transparante gegevensverwerking is niet alleen juridisch, maar ook financieel. In 2022 heeft de Belgische Privacyautoriteit al een boete van 120.000 euro opgelegd aan een grote telecommunicatieprovider voor onvoldoende privacybescherming bij het gebruik van Microsoft’s diensten. Deze boete was een voorbeeld van hoe ernstig de situatie kan worden als bedrijven zich niet houden aan de regels. Voor kleinere bedrijven kan dit echter een onoverzichtelijke last zijn, omdat ze vaak niet de middelen hebben om hun eigen gegevensstromen te monitoren en te beveiligen.
Toch zijn er alternatieven. Belgische bedrijven kunnen kiezen voor lokale oplossingen zoals Nextcloud, een open-source cloudplatform dat volledig binnen de Europese grenzen werkt en voldoet aan de strenge privacywetgeving. Ook ProtonMail biedt een veilige manier om e-mail te verzenden zonder dat gegevens naar buitenland worden verplaatst. Het is echter belangrijk om te benadrukken dat deze alternatieven niet altijd de exacte functionaliteit bieden als Microsoft Office 365, en dat bedrijven vaak een balans moeten vinden tussen functionaliteit en privacy.
Een kritisch punt is ook de rol van Microsoft zelf. De bedrijf heeft in het verleden al meerdere keren aangetoond dat het niet altijd transparant is over hoe het gebruikersgegevens verwerkt. In 2021 werd bekend dat Microsoft’s diensten werden gebruikt om gegevens van Europese gebruikers te analyseren voor doeleinden die niet direct met de gebruikers in verband staan. Dit heeft geleid tot een verhoogde waakzaamheid bij bedrijven die zich afvragen hoe ze hun gegevens kunnen beschermen zonder hun productiviteit te verlagen.
Voor Belgische bedrijven die zich nog niet bewust zijn van deze risico’s, is het raadzaam om een audit te laten uitvoeren om te bepalen of hun huidige cloudoplossingen voldoen aan de Belgische privacywetgeving. De Privacyautoriteit biedt hierbij ondersteuning en kan bedrijven helpen om te navigeren in de complexe wereld van gegevensbescherming. Het is een kwestie van tijd dat bedrijven zich bewust worden van de implicaties van hun keuzes in de cloud, en dat ze actief maatregelen nemen om hun privacy te waarborgen.
- 68 procent van Belgische bedrijven gebruikt Microsoft Office 365 zonder voldoende bewust te zijn van de gegevensverwerkingsrisico’s.
- De Schrems II-rechtspraak stelt Microsoft’s veiligheidsmaatregelen voor buitenlandse gegevensverwerking in twijfel.
- De Belgische Privacyautoriteit boekte in 2022 al een boete van 120.000 euro voor onvoldoende privacybescherming bij Microsoft’s diensten.
- Alternatieven zoals Nextcloud en ProtonMail bieden privacyvriendelijke oplossingen, maar kunnen in functionaliteit achterblijven.
- Microsoft’s diensten kunnen gegevens verwerken voor doeleinden die niet direct met de gebruikers in verband staan, zoals in 2021 aangetoond.
De juridische grondslagen: wat de Belgische wetgeving zegt
De Belgische privacywetgeving, gebaseerd op de Europese Algemene Verordening Gegevensbescherming (AVG), is een van de strengste ter wereld. Artikel 23 van de AVG stelt dat gegevensverwerkers verantwoordelijk zijn voor de veiligheid van gegevens, en dat zij moeten zorgen voor een adequaat niveau van bescherming. Voor Belgische bedrijven die Microsoft Office 365 gebruiken, betekent dit dat ze zich moeten afvragen of de verwerkingsactiviteiten binnen de Europese grenzen blijven en of er voldoende garanties zijn voor de bescherming van gegevens.
Een belangrijke regel is artikel 49 van de AVG, waarvoor bedrijven een adequaatheidsbesluit moeten hebben van de Europese Commissie. Dit betekent dat gegevens die naar landen buiten de EU worden verplaatst, moeten worden beschermd op een niveau dat gelijkwaardig is aan dat binnen de EU. Voor Microsoft Office 365 is dit echter niet altijd het geval, omdat de Amerikaanse wetgeving (zoals de Patriot Act) gegevensverwerking door Amerikaanse overheden mogelijk maakt zonder dat de Europese burgers hiertoe toestemming hebben gegeven.
Concrete stappen voor bedrijven
Voor bedrijven die zich afvragen hoe ze hun privacy kunnen waarborgen zonder hun productiviteit te verlagen, zijn er enkele concrete stappen die ze kunnen ondernemen. Ten eerste is het belangrijk om een audit te laten uitvoeren om te bepalen welke gegevens waar verwerkt worden en waar deze naar toe worden gestuurd. Dit kan helpen om onnodige gegevensstromen te identificeren en te beperken.
Een tweede stap is het ondertekenen van een Privacy Shield-verdrag of een andere overeenkomst met Microsoft, die garanties biedt voor de bescherming van gegevens. Hoewel het Privacy Shield-verdrag in 2021 door de Europese Commissie is geannuleerd, kunnen bedrijven ervoor kiezen om een alternatief te gebruiken, zoals het Standard Contractual Clauses-model, dat door de Europese Commissie is goedgekeurd. Dit kan helpen om de verantwoordelijkheid voor gegevensbescherming te verplaatsen naar Microsoft.