Waarom is dataprivacy voor een advocatenkantoor zo complex?
Dataprivacy voor een advocatenkantoor is complex omdat er tussen kantoor en data vaak zes tot acht partijen in de keten zitten, en daar heeft het kantoor geen zicht op. Wie e-mail in Exchange Online of dossiers in SharePoint zet, heeft zijn data niet meer alleen bij één verwerker, maar ook bij Microsoft, een bedrijf met een Amerikaanse moeder. Inzicht begint daarom met het in kaart brengen van de keten en het bewust kiezen waar data staat.
Transcript
Ja, en dat is ook de hele keten. Vroeger had je gewoon één partij die verwerkte je data. Maar tegenwoordig zitten er misschien ook wel zes, zeven, acht partijen achter en die maken allemaal onderdeel van die keten.
En ja, dan weet je op een gegeven moment ook niet meer wat er gebeurt. Kijk, heel simpel, als mensen aan mij vragen wat gebeurt er met mijn data bij Microsoft, dan kan ik alleen eigenlijk aantonen wat Microsoft er zelf over zegt. Daar kun je niet bij Microsoft aankloppen, we komen even controleren.
Dus daar zit wel ergens een cap. En kijk, mij is altijd verteld, toen ik Xen al begonnen, toen was er een advocaat, die heeft mij geholpen met een aantal tips en tricks. En één ding wat hij zei was, wat je ook doet, doe je.
De data staat op jouw servers. in Nederland en er zit niemand tussen. Dat was een keiharde eis toen hij als eerste klant wilde worden met zijn kantoor.
Dat heb ik altijd onthouden. Maar dat is natuurlijk nu niet meer zo. Laten we eerlijk zijn, op het moment dat je ervoor kiest om je e-mail bij Exchange online neer te zetten of je data in SharePoint, dan staat dat niet meer bij mij.
Misschien als een schaduwkopie, want dat vind ik altijd wel verstandig, maar het staat ook bij Microsoft. En Microsoft heeft dit ook gezegd, dat is in the end toch een bedrijf dat een Amerikaanse moeder heeft, dus zijn er altijd wel grijze gebieden waar het met je data kan gebeuren.
Hoe krijgt een kantoor weer grip op de keten?
Grip begint met het onderscheid tussen wat aantoonbaar is en wat alleen beloofd wordt. Bij een eigen of Nederlandse IT-partner kan een kantoor controleren waar data staat en wie erbij kan. Bij Microsoft is alleen aantoonbaar wat Microsoft er zelf over zegt, want daar komt geen kantoor controleren. Een schaduwkopie bij de eigen IT-partner, naast de opslag bij Microsoft, is daarbij verstandig.
Hoeveel partijen verwerken kantoordata?
Vroeger verwerkte één partij de data, tegenwoordig zijn dat er vaak zes, zeven of acht. Elke extra schakel maakt het lastiger om te weten wat er met cliëntgegevens gebeurt.
Waar zit het controlegat bij Microsoft?
Bij Exchange Online en SharePoint is alleen aantoonbaar wat Microsoft zelf verklaart. Een fysieke controle of audit door het kantoor zelf is niet mogelijk.
Wat doet een Amerikaanse moeder ermee?
Microsoft heeft een Amerikaans moederbedrijf, wat volgens Microsoft zelf grijze gebieden oplevert. Data in een Europees datacenter valt daardoor niet automatisch alleen onder Europese regels.
Als mensen mij vragen wat er gebeurt met mijn data bij Microsoft, dan kan ik alleen eigenlijk aantonen wat Microsoft er zelf over zegt.
Veelgestelde vragen
Nee, niet volledig. Wie e-mail in Exchange Online of documenten in SharePoint zet, heeft die data bij Microsoft staan. Een IT-partner kan dan alleen doorgeven wat Microsoft zelf over de verwerking verklaart. Het kantoor kan niet bij Microsoft langsgaan om de verwerking zelf te controleren. Daardoor is de mate van controle anders dan bij opslag op servers van een Nederlandse partij.
Meer uit de kennisbank.
- Waarom een eigen advocatenkantoor starten?Advocaten starten vaak een eigen advocatenkantoor omdat veranderingen in de werkwijze bij een groot kantoor te…
- Waar moet je op letten bij het starten van een advocatenkantoor?Een startend advocatenkantoor moet de IT-omgeving direct goed neerzetten, omdat achteraf upgraden bij groei ko…
- Waarom is een IT-factuur voor advocaten zo ondoorzichtig?Advocatenkantoren nemen steeds meer IT-diensten af, van Microsoft 365 tot SIEM, phishing-training en MFA, zond…