AVG voor IT-teams en MSP’s: wat u moet weten en doen

AVG Handhaving is niet langer een theoretisch risico. Alleen al in 2025 hebben Europese gegevensbeschermingsautoriteiten boetes opgelegd voor een totaalbedrag van meer dan 1,2 miljard euro, waarbij de meest voorkomende categorie overtredingen bestond uit ontoereikende technische en organisatorische beveiligingsmaatregelen – precies datgene wat artikel 32 van de verordening van IT-teams en MSP’s verlangt. Het cumulatieve totaal aan boetes sinds 2018 bedraagt inmiddels meer dan 7,1 miljard euro, zo blijkt uit een analyse van de ‘ AVG ’ Enforcement Tracker die begin 2026 is gepubliceerd.

Voor IT-professionals en MSP’s die klanten in de EU of het VK bedienen, is de ‘ AVG ’ een operationele vereiste die volledig onder het IT-beheer valt en niet louter een juridische of compliance-taak is. Het platform van Kaseya wordt wereldwijd door meer dan 50.000 MSP’s en IT-teams gebruikt, waarvan velen tegelijkertijd voor meerdere klanten met precies deze verplichtingen te maken hebben. Deze gids put uit die operationele expertise om te behandelen wat er in de praktijk daadwerkelijk toe doet.

Deze gids richt zich op de technische en organisatorische beveiligingseisen, de meldingsplichten bij datalekken en de rollen op het gebied van gegevensverwerking die ervoor zorgen dat de wet inzake de bescherming van persoonsgegevens ( AVG ) een reëel aandachtspunt vormt voor het IT-beheer.

De naleving van de document AVG -voorschriften bij elke klant vastleggen.

Compliance Manager GRC bevat een ‘ AVG ’-raamwerk met toewijzing van controlemaatregelen, geautomatiseerde verzameling van bewijsmateriaal en auditklare documentatie om MSP’s te helpen aantonen dat ze voldoen aan de beveiligingsvereisten van artikel 32 en daarbuiten.

Ontdek Compliance Manager GRC

Wat „ AVG ” is en voor wie het geldt

De Algemene Verordening Gegevensbescherming ( Algemene verordening gegevensbescherming , EU 2016/679) regelt hoe persoonsgegevens van personen in de EU en de Europese Economische Ruimte (EER) worden verzameld, verwerkt, opgeslagen en doorgegeven. De Britse wet inzake gegevensbescherming ( AVG), die na de brexit is gehandhaafd en aangepast, hanteert vrijwel gelijkwaardige eisen voor gegevensverwerking in het Verenigd Koninkrijk, waarbij de ICO als toezichthoudende autoriteit fungeert.

Persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming ( AVG ) omvatten een breder begrip dan de meeste IT-teams in eerste instantie veronderstellen. IP-adressen, apparaat-ID’s, e-mailadressen en technische logbestanden kunnen allemaal als persoonsgegevens worden aangemerkt als ze aan een persoon kunnen worden gekoppeld. De verordening is van toepassing op alle bewerkingen die op deze gegevens worden uitgevoerd, waaronder het verzamelen, opslaan, opvragen, gebruiken, doorgeven en verwijderen ervan.

AVG Dit geldt voor organisaties die in de EU/EER zijn gevestigd, ongeacht waar de betrokkenen zich bevinden, en voor organisaties buiten de EU/EER die goederen of diensten aanbieden aan personen in de EU/EER of hun gedrag volgen. Er geldt geen minimumdrempel voor de omvang van de organisatie. Een eenmanszaak die persoonsgegevens van personen in de EU verwerkt, heeft dezelfde verplichtingen als een multinational.

Voor B2B-technologiebedrijven, SaaS-aanbieders en MSP’s met klanten in de EU of het VK is de wet inzake de bescherming van consumentenrechten ( AVG ) vrijwel zeker van toepassing.

Artikel 32: de IT-beveiligingseis die centraal staat in AVG

In artikel 32 wordt „ AVG ” een vereiste voor IT-beheer. Het artikel schrijft voor dat verwerkingsverantwoordelijken en verwerkers passende technische en organisatorische maatregelen moeten nemen om een beveiligingsniveau te waarborgen dat in verhouding staat tot het risico. De verordening noemt vier categorieën van maatregelen:

Pseudonimisering en versleuteling. Persoonsgegevens moeten zowel in rust als tijdens het transport worden beschermd. De praktische uitvoering hiervan bestaat uit versleuteling op het endpoints en op back-upniveau, in combinatie met toegangscontroles die beperken wie de onversleutelde gegevens kan inzien.

Vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht. Verwerkingssystemen moeten deze eigenschappen voortdurend kunnen waarborgen. Dit sluit rechtstreeks aan bij Endpoint Detection and Response (EDR) voor vertrouwelijkheid en integriteit, en bij back-up en noodherstel voor beschikbaarheid en veerkracht. Dit zijn geen afzonderlijke beveiligingsproducten die aan een ‘ AVG ’-nalevingsprogramma zijn toegevoegd. Ze vormen het ‘ AVG ’-nalevingsprogramma.

Tijdige herstel van de beschikbaarheid. Na een fysiek of technisch incident moeten organisaties in staat zijn om de toegang tot persoonsgegevens tijdig te herstellen. De hersteltijddoelstelling (Recovery Time Objective, RTO) is een vereiste uit de „ AVG ”, niet louter een operationele voorkeur. Een MSP die klantgegevens beheert en niet kan aantonen dat er een snelle, geteste herstelprocedure vanuit de back-up bestaat, voldoet niet aan artikel 32.

Regelmatige tests en evaluaties. De doeltreffendheid van beveiligingsmaatregelen moet regelmatig worden getest, beoordeeld en geëvalueerd. Naleving is geen eenmalige aangelegenheid. Het vereist voortdurende beoordeling, gedocumenteerd bewijs en een proces om tekortkomingen op te sporen en te verhelpen.

De boete uit 2025 tegen Advanced Computer Software Group, een IT-dienstverlener die door de Britse ICO een boete van 3,07 miljoen pond kreeg opgelegd wegens beveiligingsfouten die de dienstverlening van de NHS verstoorden, was de eerste boete die de ICO rechtstreeks aan een verwerker in plaats van aan een verwerkingsverantwoordelijke oplegde. De ICO constateerde dat het bedrijf had nagelaten passende technische maatregelen uit hoofde van artikel 32 te implementeren, waarbij specifieke tekortkomingen werden genoemd op het gebied van de implementatie van meervoudige authenticatie (MFA), het scannen op kwetsbaarheden en patchbeheer. Dit is geen abstract risico voor MSP's. Het schept een duidelijk precedent dat IT-dienstverleners rechtstreeks aansprakelijk kunnen worden gesteld voor beveiligingsfouten in de systemen die zij beheren.

Een praktische manier om de verplichtingen uit artikel 32 te benaderen: als u vandaag de dag niet met gedocumenteerd bewijs aan een auditor zou kunnen aantonen dat er op alle endpointsen die persoonsgegevens verwerken versleuteling actief is, dat er back-upcontroles zijn uitgevoerd en geslaagd, en dat de procedures voor incidentafhandeling zijn getest, dan is er sprake van een tekortkoming ten aanzien van artikel 32.

Melding van een datalek: de 72-uursregel

Artikel 33 schrijft voor dat verwerkingsverantwoordelijken hun toezichthoudende autoriteit binnen 72 uur op de hoogte moeten stellen zodra zij kennis nemen van een inbreuk op de bescherming van persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor personen met zich meebrengt. De toezichthoudende autoriteit in het Verenigd Koninkrijk is de ICO. In de EU-lidstaten is dit de desbetreffende nationale gegevensbeschermingsautoriteit.

De termijn van 72 uur gaat in op het moment dat de organisatie er redelijk zeker van is dat er bij een beveiligingsincident persoonsgegevens zijn gecompromitteerd. Dit is niet het moment waarop het onderzoek is afgerond, maar het moment waarop men zich ervan bewust is dat er mogelijk persoonsgegevens zijn getroffen. De richtlijn „ AVG ” staat expliciet toe dat de melding in fasen plaatsvindt: een eerste melding met de informatie die op dat moment bekend is, gevolgd door updates naarmate het onderzoek meer details oplevert.

Artikel 34 voegt een afzonderlijke verplichting toe om de betrokken personen rechtstreeks in kennis te stellen wanneer een inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden met zich meebrengt. Gezondheidsgegevens, financiële gegevens, identiteitsdocumenten en gegevens over kinderen zijn categorieën waarbij aan deze drempel vaak wordt voldaan.

De operationele implicatie voor IT-teams en MSP’s is duidelijk: de mogelijkheid om inbreuken snel genoeg te detecteren om een incident binnen enkele uren na het optreden ervan te identificeren en te bevestigen, is een vereiste van de ‘ AVG ’. Alarmmoeheid, trage escalatieprocedures en onduidelijke procedures voor incidentrespons leiden tot overschrijdingen van de 72-uurstermijn. Een goed georganiseerd proces voor de respons op beveiligingsincidenten gaat ervan uit dat de klok begint te lopen op het moment van detectie, niet pas bij de afronding van het onderzoek.

Verwerkers hebben een parallelle verplichting. MSP’s die als gegevensverwerker optreden, moeten de verwerkingsverantwoordelijke onverwijld op de hoogte brengen zodra zij kennis nemen van een inbreuk. De verwerkingsverantwoordelijke stelt vervolgens de toezichthoudende autoriteit binnen de termijn van 72 uur in kennis. Als een MSP op vrijdagavond een inbreuk ontdekt die gevolgen heeft voor klantgegevens en de klant pas op maandagochtend op de hoogte brengt, kan die vertraging ertoe leiden dat de verwerkingsverantwoordelijke de wettelijke termijn niet haalt.

Gegevensbescherming vanaf het ontwerp en standaard

Artikel 25 schrijft voor dat privacymaatregelen vanaf het begin in systemen moeten worden ingebouwd en niet pas achteraf, na de ingebruikname, moeten worden toegevoegd.

„Gegevensbescherming door ontwerp” houdt in dat bij de aanschaf, configuratie of ontwikkeling van systemen de privacyvereisten deel uitmaken van de technische specificaties. Toegangscontroles, versleuteling en gegevensminimalisatie zijn architecturale keuzes, geen achteraf toegevoegde elementen. Voor IT-teams die nieuwe tools evalueren, maakt een privacy-effectbeoordeling deel uit van het proces, en is dit geen afzonderlijke stap die pas achteraf plaatsvindt.

"Gegevensbescherming als standaardinstelling" houdt in dat de standaardinstellingen de optie moeten zijn die de privacy het best beschermt. Als een systeem minder gegevens kan verzamelen, minder gegevens kan delen of minder toegang kan verlenen, moet de standaardinstelling de voorkeur geven aan privacy. Gebruikers zouden actief toestemming moeten geven voor een uitgebreidere gegevensverzameling, in plaats van zich daarvoor te moeten afmelden.

Er moeten gegevensbeschermingseffectbeoordelingen (DPIA’s) worden uitgevoerd vóór verwerkingen die waarschijnlijk een hoog risico met zich meebrengen, waaronder geautomatiseerde besluitvorming, systematische monitoring op grote schaal, grootschalige verwerking van gevoelige categorieën gegevens en gedragsanalyses. Voor IT-teams zijn de aanleidingen hiervoor onder meer op AI gebaseerde monitoringtools, platforms voor de analyse van gebruikersgedrag en biometrische toegangssystemen. Een DPIA is voor deze categorieën niet optioneel. Het is een wettelijke vereiste.

AVG voor MSP's: verwerkingsverantwoordelijke versus verwerker

Inzicht in de rollen binnen het ‘ AVG ’ is een van de belangrijkste praktische aspecten voor MSP’s.

Een verwerkingsverantwoordelijke bepaalt de doeleinden en middelen van de verwerking van persoonsgegevens. De klant van de MSP is doorgaans de verwerkingsverantwoordelijke voor de gegevens van zijn klanten, de gegevens van zijn werknemers en alle persoonsgegevens die in het kader van zijn bedrijfsactiviteiten worden verwerkt.

Een verwerker verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke. Een MSP die IT-systemen beheert waarin persoonsgegevens zijn opgeslagen, e-maildiensten aanbiedt, gegevens host of back-up- en hersteldiensten levert voor de omgevingen van klanten, treedt in de meeste gevallen op als verwerker van de gegevens van die klant.

De verplichtingen van de verwerker op grond van de wet inzake de bescherming van de persoonlijke levenssfeer van de staat van New York ( AVG ) omvatten onder meer:

• Verwerking vindt uitsluitend plaats op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke
• Het nemen van passende technische en organisatorische beveiligingsmaatregelen (artikel 32)
• De verwerkingsverantwoordelijke onverwijld op de hoogte stellen zodra men kennis neemt van een inbreuk op de gegevensbeveiliging
• Het verwijderen of teruggeven van alle persoonsgegevens aan het einde van de dienstverleningsovereenkomst
• Ruimte bieden voor en meewerken aan controles door de verwerkingsverantwoordelijke

Een MSP kan voor bepaalde gegevens (zijn eigen personeelsgegevens, zijn eigen klantrelatiegegevens) als verwerkingsverantwoordelijke optreden en voor andere gegevens (persoonsgegevens van klanten die hij in het kader van de dienstverlening beheert) als verwerker. Beide reeksen verplichtingen gelden tegelijkertijd.

Subverwerkers vormen een extra laag. Wanneer een MSP gebruikmaakt van cloudproviders, back-upleveranciers of andere diensten bij het leveren van IT-diensten aan klanten, kunnen deze derde partijen subverwerkers worden van de persoonsgegevens van de klant. Afspraken met subverwerkers moeten aan de verwerkingsverantwoordelijke worden meegedeeld en door deze worden goedgekeurd. Subverwerkers moeten voldoen aan beveiligingsnormen die gelijkwaardig zijn aan die welke van de primaire verwerker worden verlangd.

Gegevensverwerkingsovereenkomsten: wat MSP’s moeten hebben

Een gegevensverwerkingsovereenkomst (DPA) is een wettelijk verplichte overeenkomst tussen de verwerkingsverantwoordelijke en de verwerker. Elke MSP die persoonsgegevens verwerkt voor klanten in de EU of het VK, moet met elk van die klanten een DPA hebben gesloten. Dit is geen optie en ook geen commerciële beleefdheid. Het is een vereiste van de Algemene Verordening Gegevensbescherming ( AVG ) op grond van artikel 28.

Een DPA moet ten minste het volgende omvatten:

• Het onderwerp, de duur, de aard en het doel van de verwerking
• Het soort persoonsgegevens en de categorieën van betrokkenen
• De gedocumenteerde instructies van de verwerkingsverantwoordelijke aan de verwerker
• De beveiligingsmaatregelen die de verwerker zal nemen (verplichtingen uit hoofde van artikel 32)
• De procedure voor melding van inbreuken door de verwerker aan de verwerkingsverantwoordelijke
• Regelingen inzake subverwerkers en de eis van gelijkwaardige bescherming
• De verplichtingen van de verwerker bij beëindiging van de overeenkomst: verwijdering of teruggave van gegevens
• Controlebevoegdheden van de verwerkingsverantwoordelijke

Voor een MSP die meerdere klanten beheert, is het hebben van gestandaardiseerde DPA-voorwaarden die zijn gecontroleerd en klaar zijn voor gebruik een commerciële voorwaarde, geen administratieve last. MSP’s die geen DPA’s hebben, voldoen niet aan de vereisten als verwerkers, ongeacht hoe goed hun beveiligingsniveau technisch gezien ook is. De DPA is ook het document aan de hand waarvan klanten de beveiligingspraktijken van de MSP beoordelen voordat ze klant worden. Voor middelgrote en grote ondernemingen met hun eigen programma’s voor de naleving van de wet op de bescherming van persoonsgegevens ( AVG ), wordt een duidelijke en goed opgestelde DPA steeds vaker een contractvoorwaarde.

Compliance Manager GRC ondersteunt de beoordeling van de naleving van de AVG en de documentatie van bewijsmateriaal voor alle controles uit artikel 32, waardoor MSP’s op een gestructureerde manier kunnen aantonen en handhaven dat zij de beveiligingsmaatregelen naleven waaraan hun gegevensbeschermingsautoriteiten zich hebben verbonden. Ontdek hoe het nalevingsprogramma’s ondersteunt.

Handhaving en wat dit betekent voor IT-dienstverleners

AVGDe boetestructuur is algemeen bekend. Tot 20 miljoen euro of 4% van de wereldwijde jaaromzet voor de ernstigste overtredingen. Tot 10 miljoen euro of 2% voor procedurele tekortkomingen, waaronder ontoereikende beveiligingsmaatregelen en het niet melden van inbreuken.

De realiteit op het gebied van handhaving in 2025 en 2026 is dat beveiligingstekortkomingen op grond van artikel 32 de meest voorkomende oorzaak van boetes zijn, gemeten naar het aantal gevallen, en niet alleen gezien de krantenkoppen die worden gegenereerd door boetes aan grote technologiebedrijven. De Franse CNIL legde Free Mobile in januari 2026 een boete van 27 miljoen euro op wegens ontoereikende beveiligingsmaatregelen na een datalek. De ICO legde Advanced Computer Software Group in maart 2025 een boete van 3,07 miljoen pond op voor dezelfde tekortkomingen op grond van artikel 32, waaronder lacunes in MFA, kwetsbaarheidsscans en patchbeheer. Spanje en Italië zijn consequent actief geweest in het opleggen van boetes aan zorgverleners, financiële dienstverleners en regionale dienstverlenende bedrijven.

De toezichthouders hebben ook bevestigd dat de handhaving niet beperkt blijft tot grote organisaties. Uit een analyse van de gegevens van de handhavingstracker blijkt dat een aanzienlijk deel van alle boetes is opgelegd aan regionale dienstverleners, kleine SaaS-bedrijven en lokale instanties. De boetes zijn proportioneel gezien lager, maar het blijven boetes.

Voor MSP’s leidt dit handhavingsbeeld tot drie specifieke risico’s: directe aansprakelijkheid als verwerker voor beveiligingsfouten op grond van artikel 32, aansprakelijkheid jegens klanten voor vertragingen bij de melding van inbreuken waardoor de verwerkingsverantwoordelijke de termijn van 72 uur niet haalt, en commerciële risico’s doordat er helemaal geen gegevensbeschermingsovereenkomsten zijn gesloten.

AVG Naleving is ook een commerciële vereiste, niet alleen een wettelijke. Midden- en grootbedrijfsklanten met activiteiten in de EU of het VK eisen doorgaans bewijs van naleving van de richtlijn „ AVG ” als onderdeel van de leveranciersbeoordeling en contractverlenging. Een MSP die geen gedocumenteerde beveiligingsmaatregelen, geteste procedures voor incidentafhandeling en een ondertekende DPA kan overleggen, is in dat marktsegment niet concurrerend.

Voor een uitgebreider overzicht van hoe de vereisten op het gebied van datagovernance aansluiten bij de wet op de bescherming van patiënten en de zorg ( AVG), de HIPAA en de andere regelgevingskaders waarmee MSP’s voor hun klanten te maken hebben, kunt u onze gids over datagovernance voor IT-teams en MSP’s raadplegen.

Belangrijkste punten

• Artikel 32 schrijft versleuteling, beschikbaarheid, veerkracht en regelmatige beveiligingstests rechtstreeks voor. Dit zijn vereisten op het gebied van IT-beheer, geen wettelijke vereisten. De tools waarmee hieraan wordt voldaan – EDR, back-up en herstel, en endpointsbeheer – vormen samen het AVG .
• De meldingsplicht bij inbreuken binnen 72 uur vereist detectiecapaciteit die snel genoeg is om meldingsplichtige incidenten binnen enkele uren, en niet pas na enkele dagen, te identificeren. Verwerkers moeten de verwerkingsverantwoordelijken zonder onnodige vertraging op de hoogte stellen, en die vertraging wordt in mindering gebracht op de termijn van 72 uur waarover de verwerkingsverantwoordelijke beschikt.
• MSP’s die als verwerkers optreden, moeten met alle klanten in de EU en het VK gegevensverwerkingsovereenkomsten hebben gesloten. Zonder een dergelijke overeenkomst voldoet de MSP niet aan de vereisten als verwerker, ongeacht zijn technische beveiligingsniveau.
• „Gegevensbescherming door ontwerp“ houdt in dat privacymaatregelen al in de systeemarchitectuur en het aankoopproces zijn ingebouwd, en niet pas achteraf worden toegevoegd. De standaardinstellingen moeten de privacy bevorderen. DPIAs zijn een wettelijke voorwaarde voor verwerkingen met een hoog risico.
• AVG Handhaving tegen IT-dienstverleners is een reëel risico. De boete die de ICO in maart 2025 aan Advanced Computer Software Group heeft opgelegd wegens tekortkomingen op grond van artikel 32 – waaronder het ontbreken van meervoudige authenticatie (MFA) en ontoereikend patchbeheer – vormt een direct precedent voor de aansprakelijkheid van MSP’s.