In een aanbesteding staat de eis: "verwerking vindt plaats binnen de EU". Drie leveranciers vinken hem aan. De eerste draait op een Europese regio van een Amerikaanse cloud. De tweede is een Europees bedrijf met eigen servers, en bewaart prompts dertig dagen voor foutopsporing. De derde verwerkt in het werkgeheugen en bewaart de tekst niet.
Alle drie kunnen ze uitleggen waarom hun antwoord klopt, en toch loop je bij elk van hen een wezenlijk ander risico. Daarom is de regio maar één van de vragen, en niet eens de belangrijkste.
De drie vragen achter de vraag waar je data staat
Onder welk recht valt de aanbieder? Die vraag wordt meestal gesteld als "waar staat de server", en zo is hij te makkelijk te beantwoorden. Een Amerikaanse aanbieder met een datacentrum in Frankfurt valt nog steeds onder de US CLOUD Act, die hem verplicht gegevens af te geven ook als ze in Europa staan. De vraag die het onderscheid maakt is niet waar de machines staan maar van wie ze zijn: een Europees bedrijf zonder Amerikaans moederbedrijf heeft niemand die zo'n bevel in ontvangst kan nemen.
Hoe lang blijft het daar? Dit is de vraag die het meest uitmaakt en het minst wordt gesteld. Zolang tekst ergens bewaard blijft, bestaat hij: hij valt onder een bewaartermijn, hij kan in een datalek zitten, hij kan worden gevorderd en hij kan later worden teruggelezen. Verdwijnt hij direct na de controle, dan gebeurt niets van dat alles.
Wie kan erbij? Dat is weer een aparte vraag, en die speelt ook binnen de leverancier. Kunnen medewerkers bij de inhoud, en zo ja waarvoor: ondersteuning, kwaliteitscontrole, modeltraining? Is dat technisch afgesloten, of staat het alleen in een beleidsdocument?
Die drie samen bepalen je risico. Een Amerikaanse leverancier met een Europese regio die dertig dagen bewaart en menselijke beoordeling toestaat, is voor je DPIA een zwaarder verhaal dan een Europese leverancier die niets vasthoudt.
Wat vluchtige verwerking precies betekent
Vluchtig verwerken wil zeggen dat de tekst alleen bestaat zolang de controle duurt. Hij komt binnen, wordt in het geheugen van de server verwerkt, en verdwijnt als het antwoord terug is. Hij wordt nooit naar schijf geschreven, dus er is geen bestand, geen back-up en geen gespreksgeschiedenis waar hij later uit te halen valt.
Dat is niet hetzelfde als "we bewaren niets langer dan nodig", een zin die vrijwel alles kan betekenen. Het verschil kun je controleren met twee vragen:
- Welke tabellen bestaan er, welke velden staan erin en hoe lang blijven ze? Een bewaartabel die dit per soort gegeven benoemt, is een ander soort antwoord dan een geruststelling.
- Wat staat er in de logs? Een leverancier die zegt niets te bewaren maar wel volledige verzoeken logt, bewaart alsnog je tekst, alleen op een plek waar niemand hem zoekt.
Voor een DPIA scheelt dit een hele kolom. Verwerking die niet plaatsvindt, hoef je niet te verantwoorden.
Waarom opslag het echte risico is
Bewaarde tekst is niet risicovol omdat iemand kwaad wil. Hij is risicovol omdat hij bestaat.
Wat bestaat, kan in een datalek terechtkomen, ook als de leverancier niets fout deed. Wat bestaat, kan worden opgevraagd door een rechter of een toezichthouder, zoals gebeurde in de zaak rond bewaarde chatlogs. Wat bestaat, kan jaren later worden teruggelezen door iemand die er destijds niets mee te maken had. En wat bestaat, moet je kunnen verwijderen als iemand daarom vraagt, en dat is op zichzelf al werk.
Daarom is de vraag "wat bewaren jullie" belangrijker dan de vraag "hoe beveiligen jullie wat jullie bewaren". Het tweede is een maatregel. Het eerste is een ontwerpkeuze, en die weegt zwaarder.
Statistieken waar geen personen in zitten
Er is nog een plek waar gegevens achterblijven, en die wordt vaak over het hoofd gezien: de rapportage. Een tool kan netjes geen tekst bewaren en toch precies vastleggen wie wat deed.
De vraag is dus ook of aan de cijfers een gebruikers-id hangt. Zit dat erin, dan is elk cijfer achteraf tot een persoon te herleiden, ongeacht wat het dashboard vandaag toont. Zit het er niet in, dan bestaat die mogelijkheid domweg niet, ook niet voor de leverancier.
Vraag dus door op twee punten: hangt er een gebruikers-id aan de gegevens, en is er een weergave per medewerker? Dat is het verschil tussen inzicht in patronen en toezicht op mensen, en precies dat verschil wil je ondernemingsraad horen.
Wat je een leverancier vraagt
Vier vragen die een architectuur van een brochure onderscheiden:
- Welke gegevens worden bewaard, in welke velden, en hoe lang?
- Wordt de inhoud gebruikt voor modeltraining of menselijke beoordeling, en waar ligt dat vast?
- Wie kan er bij de inhoud, ook binnen jullie eigen organisatie?
- Hangt er een gebruikers-id aan de cijfers, en bestaat er een weergave per medewerker?
Wie die vier beantwoordt, heeft een architectuur uitgelegd. Wie alleen zegt "wij verwerken in Europa", heeft een marketingzin uitgesproken.
Hoe wij het doen
Wij krijgen deze vragen zelf ook, dus dit zijn onze antwoorden.
De detectie draait op onze eigen servers bij Europese aanbieders: de applicatie, de database en de opslag bij Scaleway in de regio Amsterdam, en de modellen op een eigen server bij Hetzner in Duitsland. Dat zijn geen Europese regio's van een Amerikaanse cloud maar Europese bedrijven: Scaleway is voor 96 procent eigendom van het Franse Iliad en Hetzner Online GmbH is gevestigd in Gunzenhausen in Duitsland. Er is dus geen Amerikaans moederbedrijf dat een bevel onder de CLOUD Act moet opvolgen. Beide zijn ISO 27001-gecertificeerd; Scaleway heeft daarnaast HDS voor het hosten van zorggegevens. Er komt geen externe AI-dienst aan te pas: niets gaat naar ChatGPT, Google of een andere partij, en het detectiemodel is van onszelf.
De tekst die iemand typt, wordt in het werkgeheugen gecontroleerd en meteen daarna gewist. Hij wordt niet naar schijf geschreven, niet gelogd en niet gebruikt om modellen te trainen. Wat we wel bewaren is een regel per markering: om welk type gevoelige gegevens het ging, het niveau, de app, het moment en wat de gebruiker ermee deed. Geen tekst, en geen gebruikers-id, want de database heeft daar geen kolom voor. In de cloud komt daar alleen een controlewaarde bij die niet terug te rekenen is, om herhalingen binnen hetzelfde uur niet dubbel te tellen. Die cijfers bewaren we maximaal 24 maanden.
Het dashboard toont dus patronen en nooit personen. Er is geen doorklik naar een individuele medewerker, en omdat de cijfers geen gebruikers-id dragen, kunnen ook wij achteraf niet opzoeken wie iets deed. Cijfers verschijnen pas vanaf 5 actieve gebruikers. Dat is geen instelling die je aanzet; zo is het gebouwd.
Wil je het naast je eigen eisen leggen, dan staat het volledige verhaal in het Trust Center: wat we opslaan, hoe lang, met welke subverwerkers en hoe de toegang is geregeld.
