GDPR risico's en Microsoft

In deze blog leg ik uit wat wel en niet verstandig is om de privacy van uzelf, uw personeel en uw klanten te waarborgen.

Veel bedrijven werken nog steeds met Windows. Het probleem is niet dat Windows “bestaat”, maar dat Windows en het Microsoft-ecosysteem steeds vaker leidt tot verwerking van gegevens. En dat wil je als bedrijf of privépersoon, juist zoveel mogelijk beperken. Dus geen: diagnostische data (telemetrie), cloud-synchronisatie en nieuwe functies die scherm- en gebruikersactiviteiten vastleggen.


Telemetrie: weinig transparantie, beperkte controle
Windows 11 (en ook andere versies) verstuurt diagnostische gegevens naar Microsoft. In de praktijk kunt u als normale organisatie niet controleren welke inhoud er exact wordt verzonden, omdat veel verkeer versleuteld is en de telemetrie niet volledig transparant of onafhankelijk te auditen is. In de meeste Windows-edities kunt u telemetrie bovendien niet volledig uitschakelen. Voor privacy en compliance is dat een probleem, want u moet kunnen uitleggen welke gegevens worden verwerkt, waarom, en hoe u dat doet.


Toestemming via knoppen en licenties is geen privacystrategie
Microsoft vraagt regelmatig om toestemming voor functies die u “handig” moet vinden. In de praktijk is het voor veel bedrijven lastig om daar een volwassen afweging over te maken. Dit komt omdat de impact op data en privacy niet altijd glashelder is. Ook kan het gedrag veranderen en kunnen instellingen worden gewijzigd.


GDPR: doel en dataminimalisatie
GDPR vereist dat verwerking van data een legitiem doel heeft, en dat u niet méér verwerkt dan nodig is. Daarom is een ontwerpkeuze die “alles vastleggen en achteraf filteren” enorm risicoverhogend. Als een organisatie gegevens wil kunnen terugvinden, dan hoort dat in de basis te gebeuren via een normale en veilige werkwijze. Denk aan gestructureerde opslag, goed documentbeheer, duidelijke rechten, logging en zoekfunctionaliteit op documenten die daarvoor bedoeld zijn. Het periodiek vastleggen van scherminhoud is geen veilige oplossing voor informatiebeheer, maar een risicovolle omweg die al snel meer vastlegt dan nodig is.


Recall en Windows 11: screenshots van uw scherm als nieuw risico
Zodra u Recall aanzet, kan Windows 11 periodiek snapshots van uw scherm opslaan om later te kunnen terugzoeken wat u eerder deed. Dat betekent in de praktijk dat er ook momenten vastgelegd worden waarop gevoelige informatie zichtbaar is: namen en persoonsgegevens, contracten, e-mails, bestellingen, betalingen, klantdossiers, interne systemen, gebruikersnamen en soms zelfs wachtwoorden die kort in beeld komen voor verificatie.
En ook als er filters bestaan, blijft het principe: u vergroot het aantal plekken waar gevoelige informatie kan belanden en dus ook het risico bij een beveiligingsincident.


Mijn kernpunt
Het gaat mij niet om “nieuwe handige functies”, maar om het middel. Een systeem dat standaard richting méér vastleggen, méér synchroniseren en minder controle gaat, is in veel bedrijven simpelweg niet te verdedigen als u privacy en security serieus neemt.


Verantwoordelijk omgaan met data en software
Ga serieus om met data en software. 
Zolang alles goed gaat, is er niets aan de hand. Maar zodra het misgaat, heeft u een groot probleem.

• U doet het goed als u achteraf kunt laten zien dat u een bewuste afweging heeft gemaakt en passende maatregelen heeft genomen.
• “Ach, het zal wel” is geen afweging, dat is gokken met andermans data.

Conclusies

• Verwerkt u persoonsgegevens, zet functies zoals Recall uit.
• Beperk cloud-synchronisatie via Microsoft, zoals OneDrive, of stop er volledig mee. Kies een alternatief: een eigen NAS, of een dienst zoals Tresorit. Wilt u end-to-end versleutelde synchronisatie, kijk dan ook naar Proton Drive.
• Of kies een platform dat u wél transparant en controleerbaar kunt inrichten: Linux.