Vrijwel alle privacywetten draaien om één kernprincipe: u moet “redelijke maatregelen” nemen om persoonsgegevens te beschermen wanneer ze worden verzonden, verwerkt en opgeslagen. Daarvoor hebt u zowel beleid voor gegevensbescherming nodig als de technologie om dat beleid uit te voeren.
Deze gids helpt u om uw strategieën voor CCPA- en GDPR-compliance te verbeteren. Daarnaast zetten we de technologieën en tools op een rij die interne IT-teams en wereldwijde managed service providers (MSP’s) doorgaans inzetten om de persoonsgegevens die zij verwerken te beschermen en te voldoen aan privacywetten zoals de California Consumer Privacy Act (CCPA) en de General Data Protection Regulation (GDPR).
Wat houden GDPR- en CCPA-compliance in en waarom zijn ze nodig?
CCPA en GDPR zijn twee afzonderlijke privacywetten die de persoonsgegevens beschermen van inwoners van respectievelijk Californië en de Europese Unie. Ze hebben een vergelijkbaar doel maar verschillen op belangrijke punten. Wat ze wel gemeen hebben: u moet bepaalde maatregelen nemen om persoonsgegevens of persoonlijk identificeerbare informatie (PII) te beschermen en op niet-naleving staan zware sancties.
Ook als u niet in de EU, Californië of een andere regio met eigen privacywetgeving gevestigd bent of als u de omzetdrempels of andere drempels niet haalt, is naleving vaak toch in uw voordeel. Veel privacykaders gaan namelijk uit van de locatie van de betrokkene wiens gegevens worden beschermd en niet van de locatie van het bedrijf dat die gegevens verwerkt. Wie zich niet aan privacywetten houdt, loopt bovendien het risico niet meer te kunnen samenwerken met bedrijven die dat wél moeten doen.
En als u het beleid, de processen en de infrastructuur al op orde hebt om te voldoen aan internationale privacywetten zoals CCPA en GDPR, dan bent u meteen voorbereid op het moment dat u wel wilt uitbreiden en opschalen. Het verwaarlozen van uw verantwoordelijkheden rond gegevensbescherming kan daarnaast het vertrouwen van uw klanten schaden.
Wat hebt u nodig voor GDPR- en CCPA-compliance?
Om beleid op te stellen waarmee uw bedrijf aan internationale privacywetten voldoet, moet u elke wet kennen, weten in welke juridische omgeving uw bedrijf opereert en begrijpen hoe uw relatie met uw gebruikers eruitziet (welke gegevens u voor hen verwerkt en in hoeverre zij op de hoogte zijn van en toestemming hebben gegeven voor uw gegevensgebruik). Dit beleid gaat doorgaans over zaken als gegevensclassificatie, bewaartermijnen en toegang.
Zodra het beleid dat de geldende wettelijke eisen afdekt er ligt, zijn IT-beheerders en managed service providers het best gepositioneerd om het in te voeren en te handhaven. Zij weten immers het beste waar en hoe die gegevens worden gebruikt. Dat vraagt om IT-tools met functies die compliance ondersteunen, om een juiste configuratie van die software, om voorlichting aan medewerkers over hun eigen verantwoordelijkheden en om monitoring op mogelijke datalekken of misstanden.
De sleutel tot dit alles is inzicht: u moet weten waar alle gegevens over een betrokkene zich bevinden (on-premises, in de cloud of opgeslagen in een back-up), zodat ze kunnen worden opgehaald, verwijderd, gecorrigeerd of anderszins behandeld volgens de privacywetten in hun regio.
Kerncategorieën van technologie voor privacycompliance
Dit alles doen voor meerdere jurisdicties en verschillende soorten persoonsgegevens (zeker wanneer er gezondheidsgegevens bij komen kijken) wordt al snel een complexe technische uitdaging. Dat geldt in het bijzonder voor MSP’s met klanten in uiteenlopende markten die zelf ook een wereldwijd klantenbestand kunnen hebben.
De volgende kerncategorieën van technologie worden ingezet om aan deze voortdurend veranderende eisen te voldoen:
- Gegevensdetectie en -classificatie: Voor het lokaliseren en categoriseren van persoonsgegevens in verschillende omgevingen, zoals on-premises en cloudopslag, en in verschillende SaaS-platforms
- Toegangsbeheer (IAM/MFA): Legt identiteitsgebaseerde beperkingen op zodat alleen wie de gegevens nodig heeft voor zijn functie er toegang toe krijgt
- Data loss prevention (DLP): Voorkomt dat privégegevens ongeoorloofd worden gedeeld, overgedragen of blootgesteld
- Versleuteling en sleutelbeheer: Beveiligt gegevens in rust en onderweg, met auditklaar sleutelbeheer
- Toestemmings- en voorkeursbeheer: Houdt opt-ins, opt-outs en de toestemmingshistorie van gebruikers bij voor transparantie en audits
- Auditlogging en rapportage: Zorgt voor traceerbaarheid van toegang, wijzigingen en verzoeken van gebruikers over hun gegevens
- Automatisering van verzoeken van betrokkenen (DSR/SAR): Helpt bij het afhandelen van inzage-, verwijderings- en correctieverzoeken van betrokkenen binnen de wettelijke termijnen
Het is uw eigen verantwoordelijkheid om tools te onderzoeken en te implementeren die aansluiten op de eisen van uw bedrijf en op uw juridische verplichtingen. Vaak betekent dat producten van verschillende leveranciers combineren (nadat u een risicobeoordeling van leveranciers hebt uitgevoerd en de bijbehorende verwerkersovereenkomsten hebt afgesloten) tot een kostenefficiënte oplossing op maat die integreert met uw bestaande tools en bedrijfsprocessen.
Gegevensdetectie en -classificatie
Om te zorgen dat alle privégegevens beschermd zijn en om alle kopieën van de gegevens van een betrokkene te kunnen vinden wanneer die om inzage of wijziging vraagt, moeten die gegevens vindbaar zijn. Ze kunnen op netwerkshares staan, in e-mails, in databases en op SaaS-platforms (zoals CRM-systemen of webshops).
Dat alles bijhouden vraagt om documentatie van hoe en waar gegevens worden gebruikt, in combinatie met tools voor gegevensdetectie en -classificatie. Die tools scannen op identificatiegegevens (zoals namen, adressen en overheidsnummers), labelen en classificeren gegevens op basis van doel en gevoeligheid en integreren met tools voor data loss prevention.
Tools hiervoor zijn onder meer Microsoft Purview, OneTrust, BigID en Varonis.
Dataminimalisatie is een vereiste voor GDPR-compliance en een aanbeveling onder de CCPA: door alleen de strikt noodzakelijke gegevens voor de toegestane activiteit te bewaren, beperkt u de hoeveelheid gegevens die u moet beschermen. Anonimisering en pseudonimisering verlagen de risico’s rond gevoelige gegevens verder.
Identity and access management (IAM)
IAM omvat de mechanismen voor authenticatie (wie iemand is) en autorisatie (wat diegene mag zien of doen) bij toegang tot uw IT-infrastructuur en de gevoelige gegevens daarin. IAM moet integreren met uw IT-toolchain en in uw lokale en cloudinfrastructuur zorgen voor rolgebaseerde toegangscontrole (RBAC), multi-factor authenticatie (MFA) en lifecycle-beheer van gebruikers (gebruikers aanmaken en intrekken wanneer ze in dienst komen, vertrekken of van functie veranderen).
Populaire tools in deze categorie zijn Microsoft Entra ID (voorheen Azure AD), Okta en Ping Identity.
Zero trust en het principe van minste voorrecht (PoLP) zijn belangrijke concepten om mee te wegen bij de keuze en implementatie van uw IAM-oplossing.
Data loss prevention (DLP)
DLP-platforms voorkomen dat beschermde gegevens buiten de controle van uw organisatie terechtkomen, bijvoorbeeld door uitgaande e-mail, bestandsoverdrachten en cloudactiviteit te inspecteren op mogelijke datalekken. Wordt er een mogelijk lek gedetecteerd, dan kan de activiteit automatisch worden geblokkeerd en krijgen belanghebbenden een melding zodat er actie kan worden ondernomen.
Microsoft Purview Data Loss Prevention, Forcepoint, Symantec DLP en Proofpoint zijn allemaal populaire DLP-platforms.
Met bewaarschema’s kunt u automatische verwijdering afdwingen zodra de lifecycle van gegevens is verstreken. Zo beperkt u de hoeveelheid gegevens die kan uitlekken en die DLP moet bewaken.
Versleuteling en sleutelbeheer
Veilig versleutelde gegevens zijn zonder de sleutel voor niemand leesbaar en daarmee is versleuteling absoluut onmisbaar voor elke effectieve vorm van gegevensbescherming. Dat geldt des te meer voor gegevens in de cloud, omdat u zo zelf bepaalt wie ze kan lezen.
Privacywetten schrijven feitelijk voor dat gegevens versleuteld moeten zijn in rust (dus wanneer ze op een harde schijf staan) en onderweg (dus wanneer ze van het ene device naar het andere worden verzonden, bijvoorbeeld van uw on-premises opslag naar cloudopslag). Daar gelden diverse technische eisen voor, waaronder TLS– en AES-versleuteling, die door veel opslag- en netwerkoplossingen worden ondersteund.
Versleutelde gegevens zijn nooit veiliger dan de geheimen waarmee ze beveiligd zijn. Daarom worden tools als AWS KMS, Azure Key Vault en Thales CipherTrust veel ingezet voor sleutelbeheer.
Met tools voor sleutelbeheer roteert u sleutels eenvoudiger op regelmatige basis zonder dat de dienstverlening wordt verstoord, wat helpt om datalekken te voorkomen.
Toestemmings- en voorkeursbeheer
Gebruikers hebben een manier nodig om toestemming te geven voor het verzamelen en gebruiken van hun gegevens door uw bedrijf en die toestemming moet worden vastgelegd voor compliance-doeleinden.
Meestal gaat het om een gebruikersinterface waarmee men zich kan aan- of afmelden voor verwerkingsactiviteiten, plus back-endservices die deze toestemming vastleggen en loggen. Dat verschijnt doorgaans in de vorm van de bekende cookiebanners, pop-ups voor marketingtoestemming en privacy-instellingen in gebruikersprofielen.
Deze functionaliteit wordt vaak handmatig gebouwd, maar platforms als TrustArc, Cookiebot en OneTrust CMP bieden haar als dienst aan. Dat scheelt flink wat ontwikkelwerk en de dienst wordt bijgewerkt zodra wetgeving verandert.
Automatisering van verzoeken van betrokkenen (DSR/SAR)
Onder de GDPR en de CCPA hebben gebruikers het recht om te zien welke gegevens u over hen hebt en om te vragen die in al uw systemen bij te werken of te verwijderen (ook als ze op meerdere plekken staan en in sommige gevallen in historische back-ups).
DSR/SAR-automatisering kan systeembreed zoeken naar gegevens over een betrokkene en helpt u binnen de wettelijke termijn te reageren (30 dagen voor de GDPR, 45 dagen voor de CCPA). Verzoeken en uitkomsten kunnen worden gelogd om compliance aan te tonen en geautomatiseerde reacties te controleren.
DataGrail, OneTrust en Microsoft Purview Compliance Manager kunnen deze rol allemaal vervullen.
Logging, rapportage en audit trails
U moet uw compliance vastleggen in documentatie en auditlogs, zodat u kunt aantonen dat de vereiste technische en procesmatige maatregelen voor gegevensbeveiliging zijn doorgevoerd. Ook moet u mogelijke inbreuken documenteren en zorgen dat gebruikers die om inzage of correctie van hun gegevens vragen een passende reactie hebben gekregen.
Tools om deze activiteiten vast te leggen moeten kunnen bijhouden wie toegang heeft gehad tot beschermde gegevens, configuratiewijzigingen kunnen monitoren en rapportages kunnen genereren over DSR-reacties, DLP-incidenten en gebruikerstoestemming. Gegevens (zoals e-mails) moeten soms ook juridisch worden vastgehouden of bewaard voor onderzoeken als daar opdracht toe wordt gegeven.
Tools voor deze rapportagetaken zijn onder meer Splunk, Microsoft Defender for Cloud, Elastic SIEM en AuditBoard. Veel platforms en tools hebben daarnaast hun eigen instelbare functies voor bewaartermijnen en logging (denk aan litigation holds bij cloud-e-mailproviders die voorkomen dat e-mails definitief worden verwijderd).
Compliance begint bij uw IT-managementtools
De keuze van tools is cruciaal, maar met één enkele tool bent u niet meteen compliant met de CCPA, de GDPR of welke andere privacywet dan ook. Vergelijk tools en kies de tools met functies die rechtstreeks aansluiten op de eisen van uw gebruikers en op het beleid dat u daarvoor opstelt.
Zo verlicht u de druk op uw IT-teams en bent u klaar voor toekomstige groei naar nieuwe gebieden of voor nieuwe wetgeving in regio’s waar u al actief bent.
NinjaOne biedt een reeks GDPR- en CCPA-compliant IT-managementtools als onderdeel van een compleet MSP-platform met onder meer remote access, Backup, endpoint- en mobile device management en helpdeskportals. We voldoen ook aan HIPAA, ISO27001, NIS2 en andere opkomende kaders voor gegevensprivacy en -beveiliging en we houden onze platforms up-to-date met nieuwe eisen wanneer wetgeving verandert – bekijk hier ons volledige overzicht van compliance en trust.
Bent u verantwoordelijk voor de beveiliging van PII of andere gevoelige bedrijfsgegevens? Neem contact op met NinjaOne om te bespreken hoe wij u kunnen helpen uw IT-activiteiten compliant te maken.
