Privacy en data bij overstappen: waar moet je op letten?

Waarom privacy en data bij overstappen meespelen

Bij overstappen wissel je vaak van dienstverlener, leverancier of uitvoerder. In zo’n overgang kunnen gegevens worden overgezet, opnieuw verwerkt of tijdelijk naast elkaar bestaan bij meerdere partijen. Denk aan contactgegevens, contract- en administratieve informatie, gegevens uit communicatie, en soms ook operationele of technische gegevens.

Omdat bij de overstap de datastroom verandert, is het belangrijk om niet alleen naar “wat je overdraagt” te kijken, maar ook naar “waarom”, “wie verwerkt”, en “hoe lang” gegevens worden bewaard. Dat zijn onderwerpen die meestal in privacy- en verwerkersafspraken worden uitgewerkt, maar de exacte invulling kan per situatie verschillen.

Hoe de datastroom bij overstappen vaak werkt

Een handige manier om het te begrijpen is de gegevensreis in vier momenten te bekijken:

Voorbereiding: Je levert informatie aan de nieuwe partij om de relatie te starten (bijvoorbeeld klant- of bedrijfsgegevens).
Overdracht: De oude en nieuwe partij kunnen data uitwisselen om continuïteit te waarborgen. Dat kan bijvoorbeeld gaan om administratieve gegevens of statusinformatie.
Nieuwe verwerking: De nieuwe partij verwerkt gegevens voor dienstverlening, facturatie en beheer. Daarbij kunnen controles, logging en beveiligingsmaatregelen horen.
Afsluiting en nazorg: Na beëindiging moet duidelijk zijn wat er met resterende gegevens gebeurt: teruggeven, wissen, of nog bewaren voor wettelijke of gerechtvaardigde redenen.

Tijdens deze momenten veranderen soms ook de technische koppelingen (import, export, migratiescripts) en de organisatorische afspraken (verantwoordelijkheden, beveiliging, incidentafhandeling). Ook dat kan privacy-risico’s beïnvloeden, bijvoorbeeld door extra kopieën of vertragingen bij het verwijderen.

Afbakening: welke punten zijn relevant (en welke niet)

Niet elke datavraag is even belangrijk. Richt je op controlepunten die direct samenhangen met de overstap:

Welke categorieën gegevens bewegen mee: persoonsgegevens, contractdata, correspondentie, of operationele/technische gegevens.
Wie doet wat: de rollen in de verwerking (verwerkingsverantwoordelijke versus verwerker) en de verantwoordelijkheden die daarbij horen.
Rechtsgrond en transparantie: waarom gegevens verwerkt worden en hoe je kunt weten welke partij wat doet (bijvoorbeeld via privacy-informatie).
Bewaartermijnen en verwijdering: wat er gebeurt nadat de overstap is afgerond, en wanneer gegevens worden gewist of geanonimiseerd.
Beveiliging en toegang: hoe gegevens worden beschermd en wie er toegang heeft tijdens en na migratie.
Dataminimalisatie: of alleen noodzakelijke gegevens worden overgedragen.

Sommige vragen die je soms ziet (zoals het beoordelen van marketingdoelen of campagnes) zijn vooral relevant als de overstap specifiek marketing- of profilingstromen verandert. Als dat niet speelt, kun je die onderdelen buiten beschouwing laten.

Controlepunten voor ondernemers bij het overstappen

Gebruik deze set vragen om de privacy- en datarisico’s praktisch te beperken:

Inventariseer input en output: Welke gegevens lever jij zelf aan voor de overstap, en welke worden (mogelijk) overgedragen door de oude partij?
Vraag om datadetail: Vraag om een concrete beschrijving van datacategorieën die meebewegen en voor welke doeleinden.
Bevestig verwerkingsrollen: Vraag wie voor welke verwerking verantwoordelijk is en welke afspraken er zijn over verwerkerstaken.
Check bewaartermijnen: Vraag wat de bewaartermijn is voor migratiedata en voor dossierdata na beëindiging.
Let op beveiliging bij migratie: Vraag hoe gegevens worden beveiligd tijdens overdracht en import (bijvoorbeeld versleuteling, toegangscontrole en logging). De exacte maatregelen verschillen per situatie.
Beperk delen waar mogelijk: Overweeg of je gegevens kunt verminderen (bijvoorbeeld door alleen noodzakelijke velden te migreren) of herleidbaarheid te beperken waar dat passend is.
Borg je rechten na overstap: Zorg dat je na de overstap toegang hebt tot relevante kanalen om rechten uit te oefenen (inzage, correctie, verwijdering), voor zover dat in de praktijk haalbaar is.

Uitzonderingen en variatie die je vooraf moet inschatten

Zelfs met dezelfde “overstap” kunnen uitkomsten verschillen. Dat komt doordat partijen en situaties niet identiek zijn. Variatie zie je vooral bij:

Contractuele continuïteit: Bij sommige overgangen is er meer status- of dossierinformatie nodig dan bij andere.
Juridische bewaarplichten: Sommige gegevens mogen of moeten langer bewaard blijven vanwege administratieve of wettelijke redenen; dat betekent niet automatisch dat alles blijft “actief beschikbaar” zijn.
Technische migratie: Importprocessen kunnen tijdelijke kopieën creëren. Het relevante punt is dan hoe lang die bestaan en hoe ze worden beschermd.
Incident- en afhandelingsafspraken: Bij een overstap veranderen soms de procedures voor het melden en opvolgen van datalekken of beveiligingsincidenten.

Aanpak in de praktijk

Als je de overstap privacy-proof wilt benaderen, werk dan iteratief en schriftelijk:

Leg vast welke gegevens je bedoelt: categorie, doel, en gewenste eindstatus (overdragen/wissen/anonimiseren).
Koppel dat aan afspraken: privacy- en verwerkersafspraken, inclusief bewaartermijnen, beveiliging en rollen.
Vraag om bewijs van uitvoerbaarheid: niet alleen een document, maar ook hoe migratie en afsluiting in de praktijk worden gedaan.
Maak een eindcheck: controleer na afronding of je de gewenste eindstatus bereikt (bijvoorbeeld dat je niet onnodig dubbele dossiers hebt).

Dit is educatieve uitleg: de precieze antwoorden hangen af van jouw situatie en de betrokken partijen. Als iets onduidelijk blijft, is het verstandig om dat concreet te laten uitzoeken door de partijen die de gegevens verwerken.