Klantgegevens: weet waar ze terecht kunnen komen

OPINIE - Met een druk op de knop worden klantgegevens en klantbestanden 'ergens in the cloud' opgeslagen. Dat gaat - op noodlottige hacks na - doorgaans goed. De onderlinge relaties tussen opdrachtgever en opdrachtnemer worden daarbij doorgaans gewoon vertrouwd.

• Leestijd ca. 4 minuten

Is dat vertrouwen automatisch terecht of is het een navraag waard wie toegang zou kunnen hebben tot je data? En hoe doe je dat? Zeker bij overnames is het van belang dat dit open wordt gecommuniceerd. Niet alleen in de media, maar ook naar opdrachtgevers.

Drie voorbeelden, waarbij één voorbeeld een 'opmerkelijk nieuwtje' liet zien.

Maar eerst de basis uitgangspunten, zoals omschreven in de AVG (Algemene Verordening Gegevensbescherming). Als basis zijn de 'spelregels' rondom AVG prima omschreven bij de Kamer van Koophandel. Vervolgens zijn vanuit de tien daar vermelde stappen diverse regels opgesteld die nader zijn omschreven bij de Autoriteit Persoonsgegevens.

Productiebestanden zijn primair geen persoonsgegevens

Daar waar het gaat om vermelding(en) van personen (met diverse gekoppelde gegevens) in offertes, orders, workflows, leveringsbonnen en facturen (overzichten) etc. gaat het voor de letter van de wet om persoonsgegevens.
Aan bedrijven gekoppelde media productiebestanden vallen daar primair niet onder, tenzij ze via foto's of films van personen wel herleid kunnen worden tot die personen.
De bewaarstructuur koppelt de persoonsgegevens echter wel aan productiebestanden. Immers een offerte-, order- of factuurnummer verwijst naar productiebestanden alvorens ze in gebruik te kunnen nemen. Het is dus wel van belang ook daar de juist verantwoording voor vast te leggen.

Valt alleen de verwerkende bv onder de AVG regels?

In een holdingstructuur is iedere entiteit die (mee) beslist over doelen en middelen van een verwerking zelf verwerkingsverantwoordelijke (of gezamenlijk verwerkingsverantwoordelijke), óf zij is verwerker als ze uitsluitend 'in opdracht' werkt. Dat kan dus doorwerken naar meerdere bv’s in de keten, inclusief de holding, afhankelijk van de feitelijke rol.

Daar kan een mogelijk knelpunt zitten. Als een verwerkende bv deel uitmaakt van een groter geheel van productiebedrijven waar je liever je gegevens niet in bewaring zou geven, vooral als grotere clouddiensten voordeliger kunnen worden afgesloten in vergelijking tot één (kleinere bv) uit de hele keten van bedrijven.

Hoe dan ook, het is belangrijk om navraag te doen 'hoe het zit' met het gebruik van clouddiensten, wie daarbij kunnen, wie verantwoordelijk is voor zowel persoonsgegevens als productiegegevens.

Overname van Simian breed in de markt gecommuniceerd

Het is natuurlijk niemand ontgaan dat Simian in handen kwam van print.com. De media werd breed geïnformeerd en ook in de openbaarheid werd deze grote overname in ons land gecommuniceerd. De overname kan ook niet 'zomaar voorbij' zijn gegaan aan de opdrachtgevers van beide bedrijven. Maar het was en is aan hen om zelf na te gaan in hoeverre er (mogelijk) iets verandert in de wijze van werken met betrekking tot persoonsgegevens en/of productiebestanden.

Doorgaans is het beheer van persoonsgegevens en/of productiebestanden niet (meteen) een 'heet hangijzer' binnen een fusie of overname.

Print.com nam recent ook ISI over

Recent werd ook ISI uit Ede overgenomen door print.com. Een overname waarbij een print productie bedrijf een software ontwikkelaar overnam. Het is niet ondenkbaar dat beide bedrijven in bepaalde situatie dezelfde klanten bedienen.
Deze overname werd ook voldoende bekend gemaakt in de media, zodat elke opdrachtgever zelf kon/kan bepalen in hoeverre persoonsgegevens en/of productiebestanden al dan niet gewenst bij beide partijen toegankelijk zouden kunnen zijn. De redactie beschikt niet over mogelijke communicatie waarbinnen betrokken bedrijven hun opdrachtgevers heeft gecommuniceerd over toegankelijkheid van persoonsgegevens en/of productiebestanden.

Of opdrachtgevers pro-actief de wijze van werken en beheer van persoonsgegevens en/of productiebestanden na een fusie of overname controleren, is niet algemeen bekend.

Cimpress n.v., Drukwerkdeal.nl b.v. en ControlMedia Group b.v.

Als derde voorbeeld Cimpress n.v., omdat daar zeker een internationale boomstructuur van bedrijven te verwachten was. Het is algemeen bekend dat bijvoorbeeld Drukwerkdeal.nl in ons land behoort tot Cimpress. Dat betekent dat het dus zeker de moeite waard is om na te gaan of de eventuele verwerking van persoonsgegevens en/of productiegegevens niet alleen toegankelijk zijn bij Drukwerkdeal.nl, maar (eventueel) ook bij andere werkmaatschappijen van Cimpress.

Een basis overzicht bij één van de grotere 'krediet controle bedrijven' trok de aandacht doordat de naam Control Media Group b.v. verscheen in het lijstje en daarbij direct onder Drukwerkdeal.nl.

De moeite van het verder onderzoeken zeker waard, want niets duidde erop dat in de markt openlijk sprake is geweest van communicatie rondom een mogelijke overname van Control Media Group b.v. door Drukwerkdeal.nl b.v. En ook dus niet de betrokkenheid en/of rol van Cimpress n.v. binnen deze constructie. De redactie stelde de vraag aan directeur Leon van Nunen van Control Media, maar kreeg (vanwege vakantie) (nog) geen inhoudelijke reactie, maar zei toe volgende week contact op te nemen. Martijn Jansen, commercieel directeur van drukwerkdeal.nl b.v. bevestigde desgevraagd dat zij inderdaad (in twee fasen) de Control Media Group b.v. (volledig) hebben overgenomen.

Volgens Jansen heeft Control Media haar eigen serverdiensten, die geen deel uitmaken van de clouddiensten waar Cimpress n.v. gebruik van maakt.

Doordat deze overname niet is gecommuniceerd, hebben opdrachtgevers van beide bedrijven dus geen direct inzicht over het beheer van hun data. Dat 'het wel goed zit' is dus een aanname.

Zelf concernstructuren bekijken

Bij grote(re) online print-service-providers, met al dan niet vestigingen in het buitenland, is het dus zeker zaak na te gaan op welke wijze zij mogelijk zijn gekoppeld aan partijen binnen een mogelijke holding. Zodat je vooraf weet of andere partijen - al dan niet gewenst - bij uw gegevens 'zouden kunnen komen', omdat raamwerk ICT contracten (vaak) in een overkoepelende holding zijn ondergebracht. Zoals bijvoorbeeld administraties, maar ook clouddiensten voor media- en productiebestanden.