Zijn de privacygevoelige gegevens van ouders en kinderen écht AVG-proof opgeslagen?

privacy

In de kinderopvang verwerken de organisaties dagelijks gevoelige informatie. Denk aan BSN-nummers, medische bijzonderheden, zorgstructuren en contactgegevens van ouders. Gegevens die we absoluut zorgvuldig willen en móéten beschermen — in het belang van het kind én in lijn met de Algemene Verordening Gegevensbescherming (AVG).

Maar de grote vraag is: waar worden die gegevens eigenlijk opgeslagen? En is dat wel veilig genoeg?

Teams en Microsoft 365: gemak boven inzicht?

Veel kinderopvangorganisaties maken gebruik van software als Microsoft 365 en Teams. Logisch, want het werkt prettig, is breed bekend en integreert met veel andere systemen. Maar we zien dat dit gemak vaak ten koste gaat van een fundamentele vraag: Heb je als organisatie nog écht controle over waar jouw data wordt opgeslagen en wie erbij kan?

Helaas is het eerlijke antwoord in veel gevallen: nee.

Amerikaanse jurisdictie en de CLOUD Act

Ook al stelt Microsoft dat gegevens van Europese klanten worden opgeslagen op servers in de EU (zoals in Nederland of Ierland), blijft het risico bestaan dat deze gegevens onder Amerikaanse wetgeving vallen. Microsoft is namelijk een Amerikaans bedrijf. En dat betekent dat het bedrijf wettelijk verplicht is om data over te dragen aan Amerikaanse autoriteiten — zelfs als die data in Europa staat opgeslagen.

Deze verplichting is vastgelegd in de U.S. CLOUD Act.

Kort gezegd: Jouw data lijkt veilig opgeslagen, maar kan via de achterdeur alsnog worden opgevraagd door buitenlandse overheden — zonder dat jij het weet.

Waarom dit problematisch, enkele sprekende voorbeelden

In Amerika gelden andere normen op het gebied van privacy dan in de Europese Unie. Waar wij de AVG hanteren, met nadruk op toestemming, transparantie en minimale gegevensverwerking, zijn de Amerikaanse regels veel soepeler — en vaak gericht op veiligheid en toezicht in plaats van bescherming van de burger.

Dat dit geen theoretisch probleem is, bleek bijvoorbeeld in 2024, toen de Microsoft-mailaccounts van hoge medewerkers van het Internationaal Strafhof (ICC), waaronder de hoofdaanklager, werden geblokkeerd. Reden? De aanklager was betrokken bij het onderzoek naar mogelijke oorlogsmisdaden van de Israëlische premier Netanyahu. De VS, die deze vervolging afwijst, gebruikte de afhankelijkheid van Microsoft als drukmiddel tegen een onafhankelijke rechterlijke instantie.

Of neem de (toen nog hypothetische, inmiddels reëel gebleken) gril van president Trump om de “Golf van Mexico” te hernoemen naar de “Golf van Amerika”. Het illustreert hoe politieke willekeur in de VS — hoe absurd ook — direct invloed kan hebben op beleid, wetgeving én toegang tot digitale infrastructuur wereldwijd.

Deze voorbeelden laten zien: Zolang je afhankelijk bent van buitenlandse Big Tech, ben je ook kwetsbaar voor hun politieke, juridische en commerciële agenda’s.

Het belang van digitale soevereiniteit

Dit raakt aan een bredere uitdaging: digitale soevereiniteit.

Digitale soevereiniteit betekent dat jij als organisatie zelf bepaalt waar jouw data staat, wie erbij kan, en onder welke wetgeving dit valt. Op dit moment is die controle vaak uit handen gegeven aan buitenlandse techbedrijven met andere belangen en minder transparante praktijken. Dit ondermijnt de autonomie van jouw organisatie én kan op termijn leiden tot datalekken, juridische conflicten of onbedoelde afhankelijkheid.

Voor de kinderopvang is digitale soevereiniteit geen abstract begrip. Het is een voorwaarde voor:

  • Vertrouwen van ouders
  • Veiligheid van kinderen
  • Voldoen aan wet- en regelgeving
  • Onafhankelijke, stabiele bedrijfsvoering

Gebruik je ook een privacyvriendelijke browser?

Het gaat niet alleen om waar je data wordt opgeslagen, maar ook om hoe je het internet gebruikt. Veel medewerkers in de kinderopvang gebruiken browsers zoals Google Chrome of Microsoft Edge. Deze zijn gebruiksvriendelijk, maar verzamelen wél actief surfgedrag, voorkeuren en zelfs locatiegegevens — allemaal voor commerciële doeleinden.

Voor wie met gevoelige informatie werkt, zijn er gelukkig privacyvriendelijke alternatieven zoals:

  • Mozilla Firefox (met strenge privacyinstellingen)
  • Brave (blokkeert standaard advertenties en trackers, lijkt qua werking heel erg op Google Chrome)
  • DuckDuckGo Browser (voor mobiel, met sterke bescherming)

Gebruik van deze browsers helpt om:

  • Onbedoelde datalekken via tracking te voorkomen
  • AVG-compliance beter te waarborgen
  • Informatie over kinderen en ouders beter af te schermen tegen advertentienetwerken

Wat kun je als organisatie doen?

Gelukkig zijn er alternatieven en stappen die je wél kunt zetten om grip te houden op je data:

1. Inventariseer waar je data staat

Vraag je ICT-leverancier of applicatiebeheerder: Op welke servers wordt onze data opgeslagen, en onder welk rechtsgebied vallen die?

2. Let op voor vendor lock-in

Veel commerciële platforms (zoals Microsoft 365, Google Workspace of sectorsoftware) maken het lastig om over te stappen. Bestanden zijn opgeslagen in gesloten formats, integraties werken alleen binnen hun ecosysteem, en exportmogelijkheden zijn beperkt of onhandig. Dit noemen we vendor lock-in: je bent afhankelijk van één leverancier, die vervolgens de voorwaarden (en prijzen) bepaalt.

Bij overstappen naar een andere oplossing kun je dan tegen hoge kosten, verlies van functionaliteit of zelfs juridische obstakels aanlopen. Juist in de kinderopvang — waar marges krap zijn en continuïteit cruciaal — is het belangrijk om software te kiezen die open standaarden ondersteunt (zoals ODF of CalDAV), en waarin je zelf eigenaar blijft van je data.

3. Gebruik privacyvriendelijke software

Overweeg veilige alternatieven voor communicatie en opslag, zoals:

4. Werk met Europese leveranciers

Kies voor software die wordt gehost in de EU, onder Europese wetgeving én zonder verborgen Amerikaanse belangen.

5. Zorg voor beleid en bewustwording

Maak privacy, digitale autonomie én leveranciersonafhankelijkheid onderdeel van je databeleid. Niet alleen technisch, maar ook organisatorisch.

ICT is vaak geen prioriteit — maar wél van groot belang

ICT heeft vaak niet de hoogste prioriteit heeft binnen veel kinderopvangorganisaties, deze specifieke kennis is meestal niet intern aanwezig bij de organisaties. De aandacht gaat logischerwijs uit naar pedagogische kwaliteit, personeelstekorten en oudercommunicatie. Toch is het belangrijk om te beseffen dat een lek of fout met digitale gegevens grote gevolgen kan hebben — juridisch, financieel en reputatie-technisch.

Door nu bewuste keuzes te maken op het gebied van privacy, beveiliging en software, voorkom je problemen in de toekomst én bouw je aan vertrouwen bij ouders, personeel en toezichthouders.

Risico’s

Het gebruik van Microsoft 365 en Teams is handig, maar brengt — zonder aanpassing of maatwerk — serieuze privacyrisico’s met zich mee. Zeker in een sector waar het gaat om kinderen en gezinnen. Als kinderopvangorganisatie heb je de verantwoordelijkheid om gegevens niet alleen functioneel, maar ook juridisch en ethisch veilig op te slaan.

Digitale soevereiniteit, leveranciersonafhankelijkheid en het gebruik van privacyvriendelijke browsers en software zijn daarbij essentieel. Niet alleen om aan de AVG te voldoen, maar ook om als organisatie bewust, veilig en toekomstgericht te blijven werken. En bijkomend voordeel: het is vaak goedkoper.