17 augustus 2026
Een storageoplossing voldoet aan de AVG (Algemene verordening gegevensbescherming) en de GDPR wanneer persoonsgegevens versleuteld worden opgeslagen, de toegang beperkt is tot geautoriseerde gebruikers, de data binnen de Europese Economische Ruimte blijft en je een aantoonbaar beleid hebt voor bewaartermijnen en verwijdering. Technische én organisatorische maatregelen werken samen: goede hardware alleen is niet genoeg als de processen eromheen niet kloppen.
Veel organisaties richten hun AVG-inspanningen op applicaties en processen, maar vergeten dat de onderliggende storage-infrastructuur net zo goed binnen de scope valt bij een audit of datalek. Een onversleutelde schijf die defect raakt en naar een reparateur gaat, een NAS zonder toegangslogging of een oud opslagsysteem zonder mogelijkheid tot gegevensverwijdering: het zijn allemaal concrete risico’s die toezichthouders, zoals de Autoriteit Persoonsgegevens, serieus nemen. De oplossing begint bij het kiezen van storagehardware die encryptie, toegangscontrole en auditlogging standaard ondersteunt, en bij het daadwerkelijk inrichten van die functies.
Organisaties die geen grip hebben op hoe lang persoonsgegevens op hun storagesystemen staan, lopen niet alleen het risico op een AVG-boete. Ze slaan ook onnodige data op, wat de opslagkosten verhoogt en het risico bij een eventueel datalek vergroot. Hoe meer data je hebt, hoe groter de schade bij een incident. De praktische oplossing is een retentiebeleid dat je technisch afdwingt: stel in je storageomgeving automatische verwijdertermijnen in per datacategorie en documenteer wie verantwoordelijk is voor de controle. Dat is niet alleen goed voor compliance; het scheelt ook ruimte en beheerlast.
De AVG stelt dat persoonsgegevens veilig, vertrouwelijk en integer moeten worden opgeslagen. Concreet betekent dit: passende technische beveiligingsmaatregelen, beperkte toegang op basis van noodzaak, aantoonbare bewaartermijnen en de mogelijkheid om data te verwijderen of te corrigeren op verzoek van de betrokkene.
De AVG schrijft geen specifieke technologieën voor, maar verwacht wel dat je als organisatie een risicogebaseerde aanpak hanteert. Dat betekent dat je de gevoeligheid van de data afweegt tegen de maatregelen die je treft. Bijzondere categorieën persoonsgegevens, zoals medische gegevens of biometrische informatie, vereisen zwaarder beveiligde storageomgevingen dan bijvoorbeeld contactgegevens voor een nieuwsbrief.
Organisatorische maatregelen horen er ook bij: wie heeft toegang tot welke data, hoe log je dat en wat doe je bij een datalek? De technische storage-infrastructuur moet die processen ondersteunen en niet in de weg staan.
Een AVG-conforme storageoplossing bevat minimaal encryptie van data in rust en in transit, rolgebaseerde toegangscontrole, auditlogging van wie wanneer toegang had en de technische mogelijkheid om data te verwijderen of te anonimiseren. Zonder deze functies is compliance op papier mogelijk, maar in de praktijk kwetsbaar.
Encryptie is het fundament. Encryptie van data at rest zorgt ervoor dat een gestolen of verloren schijf onleesbaar is zonder de juiste sleutel. Encryptie van data in transit beschermt gegevens die tussen systemen worden overgedragen. Moderne storagesystemen ondersteunen beide standaard, maar je moet ze wel actief inschakelen en het sleutelbeheer goed regelen.
Toegangscontrole via role-based access control (RBAC) beperkt wie welke data kan lezen, schrijven of verwijderen. Gekoppeld aan auditlogging weet je precies wie wanneer wat heeft gedaan. Dit is niet alleen nuttig voor compliance, maar ook bij het onderzoeken van incidenten.
Daarnaast is het belangrijk dat je storagesysteem data-isolatie ondersteunt: persoonsgegevens van verschillende klanten of afdelingen moeten gescheiden kunnen worden opgeslagen, zodat een lek in één omgeving niet automatisch andere data raakt.
Onder de AVG moeten persoonsgegevens van EU-burgers in principe worden opgeslagen binnen de Europese Economische Ruimte (EER). Opslag buiten de EER is alleen toegestaan als het ontvangende land een adequaatheidsbesluit heeft van de Europese Commissie, of als je aanvullende waarborgen treft, zoals standaardcontractbepalingen.
Dit is een punt waar veel organisaties tegenaan lopen bij cloudopslag. Publieke cloudproviders met datacenters buiten Europa kunnen technisch gezien data buiten de EER opslaan, tenzij je dit expliciet configureert en contractueel vastlegt. Controleer altijd de verwerkersovereenkomst en de regionale instellingen van je cloudprovider.
On-premises storage in een Nederlands of Europees datacenter geeft je de meeste controle over de fysieke locatie van je data. Je weet precies waar de schijven staan en je bent niet afhankelijk van de configuratie of het beleid van een externe partij.
Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. De AVG schrijft geen vaste termijnen voor, maar vereist dat je als organisatie zelf bewaartermijnen vaststelt, documenteert en technisch afdwingt. Na het verstrijken van die termijn moeten data worden verwijderd of geanonimiseerd.
In de praktijk verschilt de bewaartermijn per type data en per sector. Financiële gegevens hebben vaak een wettelijke bewaarplicht van zeven jaar. Medische dossiers kennen andere termijnen op basis van de Wet op de geneeskundige behandelingsovereenkomst. Marketingdata heeft doorgaans een kortere houdbaarheidsdatum.
Technisch gezien moet je storageomgeving het mogelijk maken om data automatisch te verwijderen na een ingestelde termijn. Systemen zonder die mogelijkheid maken handmatige processen noodzakelijk, wat foutgevoelig is. Zorg er ook voor dat verwijdering aantoonbaar is: een logboek van verwijderacties helpt bij een audit of een verzoek van een betrokkene.
Bij on-premises storage heb je volledige controle over de fysieke locatie, de beveiligingsinstellingen en de toegang tot je data. Bij cloud storage ben je afhankelijk van de afspraken met je cloudprovider. Beide kunnen AVG-compliant zijn, maar de verantwoordelijkheidsverdeling en de vereiste maatregelen verschillen wezenlijk.
Met on-premises storage ben jij zelf verantwoordelijk voor encryptie, toegangscontrole, fysieke beveiliging en disaster recovery. Dat geeft controle, maar vraagt ook capaciteit en expertise. Je weet precies waar je data staat en je bent niet afhankelijk van een derde partij voor compliancegerelateerde instellingen.
Bij cloud storage verschuift een deel van de verantwoordelijkheid naar de provider, maar niet alles. De provider is verantwoordelijk voor de beveiliging van de infrastructuur; jij bent verantwoordelijk voor hoe je de dienst configureert en welke data je erin plaatst. Dat onderscheid, ook wel het gedeelde verantwoordelijkheidsmodel genoemd, is belangrijk om te begrijpen voordat je beslissingen neemt over waar je persoonsgegevens opslaat.
Voor organisaties met strenge compliance-eisen, zoals ziekenhuizen, overheidsinstanties of financiële instellingen, biedt on-premises storage vaak meer zekerheid en aantoonbaarheid. Voor kleinere organisaties zonder eigen datacapaciteit kan een Europese cloudprovider met sterke contractuele waarborgen een werkbare keuze zijn.
Je toont AVG-compliance voor storage aan door een combinatie van technische documentatie, procesafspraken en aantoonbare controles. Denk aan encryptiecertificaten, toegangslogboeken, een gedocumenteerd retentiebeleid, een verwerkersovereenkomst met eventuele leveranciers en een Data Protection Impact Assessment (DPIA) voor risicovolle verwerkingen.
Een DPIA is verplicht wanneer je op grote schaal bijzondere persoonsgegevens verwerkt of wanneer de verwerking waarschijnlijk een hoog risico oplevert voor betrokkenen. In een DPIA beschrijf je welke data je opslaat, waarom, hoe lang, wie er toegang toe heeft en welke maatregelen je hebt getroffen. De storage-infrastructuur speelt daarin een concrete rol.
Auditlogging is een van de meest praktische manieren om compliance aantoonbaar te maken. Als je kunt laten zien wie wanneer toegang had tot welke data, en dat ongeautoriseerde toegang niet heeft plaatsgevonden, sta je sterk bij een controle van de Autoriteit Persoonsgegevens.
Wil je een storageomgeving inrichten die vanaf het begin voldoet aan de AVG-vereisten? Bij ons, NCS International, leveren we Supermicro-storagesystemen die encryptie, toegangscontrole en auditlogging standaard ondersteunen. We configureren elk systeem op maat, zodat het past bij jouw specifieke compliance-eisen, sector en schaal. Neem contact met ons op om te bespreken welke storageoplossing het beste aansluit bij jouw situatie.
Zodra je een onbevoegde toegang constateert, ben je verplicht dit intern te onderzoeken en te beoordelen of het een meldingsplichtig datalek is. Als de inbreuk een risico oplevert voor betrokkenen, moet je dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Zorg dat je auditlogs direct worden veiliggesteld als bewijsmateriaal, en documenteer alle stappen die je neemt. Een goed ingericht storagesysteem met auditlogging maakt deze reconstructie een stuk eenvoudiger.
Dit is een van de meest praktische uitdagingen bij AVG-compliance: je kunt alleen verwijderen wat je kunt vinden. Zorg daarom voor een actueel verwerkingsregister waarin je bijhoudt in welke storagesystemen persoonsgegevens van een specifieke betrokkene terechtkomen. Bij een verwijderverzoek doorloop je systematisch alle relevante systemen, inclusief back-ups en archieven, en leg je elke verwijderactie vast in een logboek. Storagesystemen die data-isolatie en geautomatiseerde verwijdering ondersteunen, maken dit proces aanzienlijk beheersbaarder.
Versleutelde back-ups zijn een goede basis, maar voldoen pas volledig aan de AVG als ook het sleutelbeheer, de toegangscontrole en de bewaartermijnen correct zijn geregeld. Een back-up die langer bewaard wordt dan de originele data, of die toegankelijk is voor meer mensen dan noodzakelijk, creëert alsnog een compliance-risico. Zorg dat je retentiebeleid expliciet ook back-ups omvat, en test regelmatig of verwijdering uit back-ups daadwerkelijk aantoonbaar en volledig is.
Een DPIA is verplicht als je op grote schaal bijzondere persoonsgegevens verwerkt, stelselmatig mensen monitort, of als de verwerking anderszins een hoog privacyrisico oplevert. Vraag jezelf af: wat voor data sla ik op, hoeveel betrokkenen zijn er, en wat zijn de gevolgen als deze data uitlekt of misbruikt wordt? De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is. Twijfel je, laat dan een privacy-adviseur een risicoanalyse uitvoeren voordat je een nieuw storagesysteem in gebruik neemt.
De meest voorkomende fouten zijn: encryptie wel aanschaffen maar niet activeren, sleutelbeheer niet goed regelen waardoor encryptie feitelijk zinloos is, en het vergeten van oudere of secundaire storagesystemen zoals back-upschijven of archiefservers. Ook retentiebeleid blijft vaak op papier staan zonder technische afdwinging, wat bij een audit direct opvalt. Een praktische tip: loop jaarlijks je volledige storage-infrastructuur na op basis van je verwerkingsregister, inclusief systemen die zelden worden gebruikt.
Dat is mogelijk, maar vereist zorgvuldige configuratie en contractuele waarborgen. Kies expliciet voor een Europese regio, sluit een verwerkersovereenkomst af die voldoet aan de AVG-eisen, en controleer of de provider aanvullende garanties biedt via standaardcontractbepalingen of gedragscodes. Houd er rekening mee dat Amerikaanse wetgeving zoals de CLOUD Act in theorie toegang tot data kan afdwingen, ook als die in Europa staat. Voor gevoelige of bijzondere persoonsgegevens is een Europese cloudprovider of on-premises oplossing doorgaans de veiligere keuze.
Elke partij die namens jou persoonsgegevens verwerkt of opslaat, kwalificeert als verwerker onder de AVG en vereist een verwerkersovereenkomst. Daarin leg je vast welke data ze verwerken, voor welk doel, hoe lang, welke beveiligingsmaatregelen ze treffen en hoe ze omgaan met datalekken en verwijderverzoeken. Vraag je leverancier ook naar certificeringen zoals ISO 27001 of NEN 7510 als bewijs van hun beveiligingsniveau. Een leverancier die deze transparantie niet kan bieden, is een risico voor jouw compliance.
Deze inhoud is gegenereerd met behulp van AI en kan fouten bevatten.
Den Sliem 89
7141 JG Groenlo
The Netherlands
+31 544 470 000
info@ncs.nl
GPU-servers verwerken duizenden berekeningen parallel — ontdek wanneer ze onmisbaar zijn voor jouw organisatie.
Wat is een AI-server en wanneer heb je er een nodig? Ontdek de techniek, hardware en toepassingen.
