AVG en Microsoft 365: hoe u de werkomgeving veilig en compliant inricht

Ja, Microsoft 365 kan AVG-proof gebruikt worden, maar alleen als uw organisatie de verantwoordelijkheid neemt, een verwerkersovereenkomst sluit en specifieke technische en organisatorische maatregelen activeert. U blijft verwerkingsverantwoordelijke, Microsoft treedt op als verwerker, en bewijsvoering via MFA, logging en een getekende DPA bepaalt of u daadwerkelijk in controle bent.

Kort samengevat:

• Een getekende, actuele verwerkersovereenkomst moet vastleggen welke gegevens Microsoft verwerkt, met welk doel, hoelang die worden bewaard en wat er gebeurt bij een datalek.
• Toegang op afstand vanuit een derde land kan gelden als doorgifte, ook als gegevens fysiek in de Europese Unie blijven; controleer welke diensten gecertificeerd zijn.
• Schakel MFA in voor alle accounts en begin meteen met auditlogging; achteraf kunt u geen logs terughalen die niet werden vastgelegd.
• Beperk toegang met Conditional Access, beheer ook privéapparaten via Intune en stel regels voor gegevensverliespreventie en labels in voor gevoelige documenten.
• Leg vast wie logs beheert en incidenten opvolgt; voer bij grootschalige verwerking van gevoelige gegevens of inzet van kunstmatige intelligentie een gegevensbeschermingseffectbeoordeling uit.

Inhoudsopgave

• Wie is verantwoordelijk: verwerkingsverantwoordelijke, verwerker en de rol van toezichthouders
• Wanneer is er sprake van doorgifte buiten de EER?
• Welke Microsoft-functionaliteit ondersteunt AVG-naleving?
• Stap voor stap naar een AVG-proof inrichting
• Welke documenten en rollen horen bij aantoonbare naleving?
• Hoe ondersteunt een Nederlandse IT-partner bij de uitvoering?
• Onze kijk op haalbaarheid en prioriteiten
• Microsoft 365-beheer uitbesteden via ASTIA
• Veelgestelde vragen
• Bronnen

Wie is verantwoordelijk: verwerkingsverantwoordelijke, verwerker en de rol van toezichthouders

Zodra u persoonsgegevens verwerkt in Microsoft 365, zoals klantgegevens in Outlook of personeelsdossiers in SharePoint, bent u verwerkingsverantwoordelijke. Microsoft treedt op als verwerker: het bedrijf verwerkt gegevens namens u, maar bepaalt niet het doel ervan. De Autoriteit Persoonsgegevens maakt dit onderscheid expliciet en benadrukt dat u als verwerkingsverantwoordelijke eindverantwoordelijk blijft, ook wanneer u de techniek uitbesteedt.

Een verwerkersovereenkomst is daarbij geen formaliteit maar een wettelijke verplichting onder artikel 28 van de AVG. Zonder getekende DPA ontbreekt de juridische basis voor de verwerking door Microsoft.

Toezichthouders kijken niet alleen naar contracten. De Autoriteit Persoonsgegevens toetst de feitelijke situatie: wie heeft daadwerkelijk toegang, wie logt in, wie kan gegevens exporteren. Denk aan:

• Een support medewerker die op afstand meekijkt in uw tenant.
• Een beheerder die vanuit een ander land inlogt op een beheeraccount.
• Een geautomatiseerde back-up die buiten de EER wordt opgeslagen.

Elke situatie kan tellen als doorgifte, ongeacht wat er in het contract staat.

Wanneer is er sprake van doorgifte buiten de EER?

Niet elke interactie met Microsoft-servers is een doorgifte, maar meer situaties vallen eronder dan de meeste organisaties verwachten. De EDPB hanteert drie cumulatieve criteria om vast te stellen of iets een doorgifte naar een derde land is:

• Een verwerkingsverantwoordelijke of verwerker is onderworpen aan de AVG voor de verwerking in kwestie.
• Deze partij stuurt of maakt de persoonsgegevens beschikbaar aan een andere partij.
• Die ontvangende partij bevindt zich in een derde land, ongeacht of de gegevens daar fysiek worden opgeslagen.

Dat laatste punt is cruciaal: ook remote toegang vanuit een derde land kan als transfer gelden, zelfs als de data zelf in de EU blijft staan.

Het EU-VS Data Privacy Framework kan een wettelijke basis bieden voor doorgifte naar bepaalde gecertificeerde Amerikaanse organisaties, maar dekt niet automatisch elke Microsoft-dienst of elk supportkanaal. Controleer welke specifieke Microsoft-entiteiten gecertificeerd zijn en voor welke gegevensstromen dat geldt, en documenteer supportscenario’s zoals remote beheer als potentiële transfers. De EDPB adviseert bovendien aanvullende maatregelen wanneer contractuele garanties alleen onvoldoende bescherming bieden.

Welke Microsoft-functionaliteit ondersteunt AVG-naleving?

Microsoft 365 bevat een reeks tools die naleving mogelijk maken, maar geen enkele daarvan werkt automatisch. U moet ze actief inrichten en onderhouden.

• Microsoft Purview classificeert gegevens, past labels toe en handhaaft DLP-beleid tegen ongewenst delen van gevoelige informatie.
• Microsoft Entra ID regelt identiteit, inlogbeleid en Conditional Access, zodat alleen geverifieerde gebruikers en apparaten toegang krijgen.
• Microsoft Defender detecteert en blokkeert dreigingen zoals phishing en malware voordat die bij gebruikersdata komen.
• Microsoft Intune beheert apparaten op afstand, dwingt versleuteling af en maakt het mogelijk zakelijke data te wissen van verloren toestellen.

Secure Score en auditlogs leveren het bewijs dat toezichthouders vragen: een score die de beveiligingsstatus samenvat, en logs die precies tonen wie wanneer bij welke data kon.

Pro-tip: Activeer auditlogging vanaf dag één, ook als u nog geen incident verwacht: logs die niet aanstonden, kunt u achteraf niet alsnog aanmaken.

Deze functies ondersteunen naleving, maar vervangen geen governance. Zonder beleid, rollen en periodieke controle blijven het losse knoppen zonder samenhang. De Microsoft-documentatie over beveiligde inrichting bevestigt dat dit een continu proces is, geen eenmalige installatie.

Stap voor stap naar een AVG-proof inrichting

De volgorde waarin u maatregelen invoert, bepaalt hoe snel u risico’s wegneemt. Microsoft beschrijft een praktische route voor kleinere organisaties die met weinig inspanning veel oplevert.

1. Schakel MFA in en hardén beheeraccounts, want dit blokkeert het merendeel van ongeautoriseerde toegangspogingen.
2. Stel Conditional Access-beleid in en schakel verouderde authenticatiemethoden uit.
3. Schrijf apparaten in via Intune, ook bij bring-your-own-device situaties.
4. Richt DLP-beleid en labels in voor uw meest gevoelige documentgroepen.
5. Configureer bewaarbeleid en zorg dat auditlogs lang genoeg bewaard blijven.
6. Voer periodiek een controle uit via Secure Score en logreviews.

Voor kleine teams volstaat vaak een beperkte set beleidsregels; groeiende organisaties hebben baat bij een apart verwerkingsregister en vaste interne rollen voor wie logs beheert en wie incidenten opvolgt.

Welke documenten en rollen horen bij aantoonbare naleving?

Technische maatregelen zijn pas waardevol als u ze ook kunt aantonen. Dat begint bij de verwerkersovereenkomst zelf: leg vast welke gegevens verwerkt worden, met welk doel, hoe lang ze bewaard blijven en wat er gebeurt bij een datalek.

• Controleer of uw DPA met Microsoft actueel is en pas bij uw verwerkingen.
• Voer een DPIA uit zodra u op grote schaal gevoelige gegevens verwerkt of nieuwe technologie zoals AI-functies inzet.
• Wijs intern iemand aan die verantwoordelijk is voor het verwerkingsregister.
• Spreek vooraf af wie bij een incident de Autoriteit Persoonsgegevens informeert en binnen welke termijn.

Een verwerkingsregister hoort bij vrijwel elke organisatie die structureel persoonsgegevens verwerkt, en vormt samen met de DPA de basis van uw bewijsvoering.

Hoe ondersteunt een Nederlandse IT-partner bij de uitvoering?

Bij veel MKB-organisaties ligt de uitdaging bij de technische vertaling van AVG naar hun Microsoft-omgeving. Wij bieden ondersteuning daarbij.

• Wij richten MFA, Conditional Access en Intune in en stemmen deze af op uw organisatie.
• Wij configureren DLP-beleid en labels voor uw gevoelige documentgroepen.
• Wij begeleiden migraties en houden auditlogs en Secure Score structureel in de gaten.

Deze ondersteuning wordt aangeboden via een beheercontract met vooraf bekende prijzen.

Onze kijk op haalbaarheid en prioriteiten

Technisch gezien is een AVG-proof Microsoft 365-omgeving voor vrijwel elke organisatie haalbaar. De knelpunten zitten zelden in de techniek, maar in governance: wie houdt bij dat MFA overal aanstaat, wie bewaart het bewijs, wie controleert de logs.

Begin met de drie zaken die het meeste risico wegnemen: een actuele DPA, verplichte MFA voor alle accounts en structurele logverzameling. Alles daarna is verfijning.

— Mick

Microsoft 365-beheer uitbesteden via ASTIA

Het opzetten en beheren van een AVG-proof Microsoft 365-omgeving kost tijd. Wij bieden ondersteuning daarbij, inclusief telefonische ondersteuning zonder ticketsysteem en met vaste prijzen per werkplek.

Onze dienst Cloud & Samenwerken omvat onder meer:

• Inrichting en beheer van Microsoft 365, inclusief MFA en Conditional Access.
• Migratie zonder stilstand voor uw huidige omgeving.
• Doorlopende monitoring van beveiliging en auditlogs.

Wilt u weten hoe uw huidige inrichting ervoor staat? Neem een kijkje op onze pagina over IT uitbesteden en plan een kennismaking.

Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde advocaat. Raadpleeg een gekwalificeerde juridische professional over uw eigen situatie voordat u op basis van deze inhoud handelt.

Veelgestelde vragen

Wat zijn de belangrijkste privacyregels in Nederland?

De AVG is de centrale privacywet, aangevuld met nationale uitvoeringsregels, en wordt in Nederland gehandhaafd door de Autoriteit Persoonsgegevens. Organisaties moeten kunnen aantonen wie verwerkingsverantwoordelijke is, welke verwerkers zij inschakelen en of een verwerkersovereenkomst aanwezig is, zoals de AP uitlegt.

Is Microsoft 365 noodzakelijk voor AVG-naleving?

Nee, Microsoft 365 is geen wettelijke verplichting, maar een praktisch hulpmiddel waarmee veel organisaties hun gegevensverwerking kunnen beveiligen. Of u nu kiest voor Microsoft 365, een eigen server of een Europees alternatief, de AVG-verplichtingen blijven hetzelfde.

Is een Microsoft-beveiligingswaarschuwing spam?

Een beveiligingswaarschuwing van Microsoft, bijvoorbeeld over een verdachte inlogpoging, is doorgaans een legitiem signaal en geen spam. Negeer dit soort meldingen niet: ze wijzen vaak op een poging tot ongeautoriseerde toegang en vragen om directe actie, zoals het controleren van uw MFA-instellingen.

Is er een Europees alternatief voor Microsoft 365?

Ja, er bestaan Europese softwareoplossingen die specifiek inzetten op EU-hosting en AVG-gerichte verwerking, zoals Exantur voor coachingorganisaties. De keuze tussen Microsoft 365 en een Europees alternatief hangt af van uw functionele behoeften, niet alleen van de locatie van de server.

Wat moet ik regelen als er een datalek optreedt via Microsoft 365?

U moet een datalek binnen de wettelijke termijn melden bij de Autoriteit Persoonsgegevens en, afhankelijk van de impact, de betrokkenen informeren. Vooraf vastgelegde interne rollen en een werkend auditlogsysteem bepalen hoe snel u kunt vaststellen wat er is gebeurd, en de aansprakelijkheid die daarbij hoort wordt onder meer besproken door Zakelijkeverzekering.

Bronnen

• Autoriteit Persoonsgegevens — Verantwoordelijke en verwerker
• EDPB — Guidelines 05/2021 (interplay Article 3 & Chapter V)

Aanbevelingen

• Microsoft 365-implementatie: praktische aanpak voor het MKB
• Microsoft 365 migratie: praktische gids voor IT-verantwoordelijken
• M365 audit log voor IT-beheerders: snel starten
• MFA voor Microsoft 365 instellen: uw eerste stap vandaag