Veilig bestanden delen: wat de AVG van je vraagt

Bestanden delen doe je de hele dag door, vaak zonder erbij na te denken. Een pdf naar een klant, een contract naar een collega, een foto van een paspoort naar de boekhouder. Juist omdat het zo gewoon is, gaat het geregeld mis. En als er persoonsgegevens in dat bestand staan, ben je volgens de AVG verantwoordelijk voor wat ermee gebeurt.

Waar het meestal misgaat

Je hoeft geen hacker te vrezen om een probleem te hebben. De meeste incidenten zijn doodgewone menselijke slordigheden:

• De verkeerde ontvanger. Je typt een naam, je mailprogramma vult iets aan, en het bestand ligt bij iemand anders. Terughalen kan niet meer.
• Links die eeuwig blijven werken. Een deellink die je een jaar geleden maakte, werkt vaak nog steeds. Iedereen die hem ooit kreeg, kan er nog bij.
• Alles kunnen zien in plaats van alleen dat ene bestand. Deel je een hele map terwijl het om één document gaat, dan geef je meer weg dan de bedoeling was.
• Geen idee wie wat opende. Zonder overzicht weet je bij een incident niet eens wie het bestand heeft gezien.

De AVG vraagt niet dat je een beveiligingsexpert wordt. Ze vraagt dat je "passende maatregelen" neemt: dat je niet meer deelt dan nodig, dat toegang weer stopt, en dat je kunt uitleggen wat er gebeurde. Met de juiste aanpak gaat dat vanzelf.

De vijf regels voor veilig delen

Onthoud deze vijf en je zit voor de dagelijkse praktijk goed:

1. Deel zo min mogelijk. Alleen dat ene bestand, niet de hele map. Alleen bekijken, geen download als dat niet nodig is.
2. Laat toegang verlopen. Zet een vervaldatum op elke link. Wat je niet meer deelt, kan ook niet lekken.
3. Controleer wie het opent. Voor gevoelige stukken vraag je de ontvanger zich te verifiëren, bijvoorbeeld met een code per mail. Dan weet je zeker dat het bestand bij de juiste persoon terechtkomt.
4. Versleutel het echt gevoelige. Voor documenten die niemand anders mag zien, wil je versleuteling waarbij zelfs de aanbieder niet kan meelezen.
5. Houd een spoor bij. Kunnen terugzien wie wat wanneer deelde, maakt het verschil tussen "we lossen het op" en "we hebben geen idee".

Twee soorten bestanden, twee aanpakken

Niet alles is even gevoelig, en dat hoeft ook niet hetzelfde behandeld te worden. In Xion maken we daarom onderscheid tussen twee plekken.

Bestanden is je gewone werkplek: documenten, pdf's en foto's die je met je team of gezin deelt en aan je projecten en taken koppelt. Deel je hiervan iets naar buiten, dan doe je dat met een verlopende link en, als je wilt, met e-mailverificatie erbij.

De Kluis is voor het echt belangrijke. Die is eind-tot-eind versleuteld: je bestanden worden op jouw eigen apparaat versleuteld voordat ze bij ons aankomen. Wij bewaren alleen de versleutelde brokken en hebben de sleutel niet. Zelfs als iemand onze servers zou inzien, ziet die niets bruikbaars. Dat is precies het niveau dat je wilt voor kopieën van identiteitsbewijzen, contracten en medische stukken.

Wat je vandaag al kunt doen

Je hoeft niet je hele manier van werken om te gooien. Begin met dit: stop met het meesturen van gevoelige bestanden als bijlage naar half onthouden adressen, en deel ze in plaats daarvan met een link die verloopt. Zet voor de echt vertrouwelijke stukken de kluis in. Dat zijn twee kleine gewoontes die het overgrote deel van de risico's wegnemen.

Meer weten over hoe je je spullen overzichtelijk houdt? Lees dan documenten en bestanden op één plek. En wil je klanten iets laten goedkeuren, dan helpt offerte online laten goedkeuren je verder.

Dit artikel is bedoeld als praktische uitleg, niet als juridisch advies. Twijfel je over jouw specifieke situatie, raadpleeg dan een specialist.

Wil je precies weten wie bij welk onderdeel van je gegevens kan, ook waar dat minder goed uitkomt? Dat staat per onderdeel op veiligheid en privacy.