Veilig bestanden versturen volgens de AVG: wat de wet echt vraagt

U verstuurt bestanden veilig volgens de AVG als u persoonsgegevens alleen verstuurt wanneer dat nodig is, ze beschermt met passende beveiliging zoals versleuteling, ze niet langer bewaart dan nodig, een aanbieder gebruikt met wie u een verwerkersovereenkomst hebt, en elke doorgifte buiten de Europese Economische Ruimte (EER) juridisch afdekt. De AVG keurt geen tools goed: ze legt verplichtingen op aan de organisatie die de gegevens verstuurt, en de juiste dienst maakt het een stuk makkelijker om daaraan te voldoen.

Deze gids zet de artikelen van Verordening (EU) 2016/679, in het Nederlands de Algemene verordening gegevensbescherming (AVG), op een rij die gelden als u bestanden met persoonsgegevens verstuurt: cv’s, loonstroken, medische verslagen, foto’s van mensen of klantenlijsten. Daarna leest u wat de toezichthouders in Nederland en België verwachten, met een checklist om af te sluiten. Het gaat om algemene informatie per oktober 2026, geen juridisch advies; uw functionaris gegevensbescherming (FG) of jurist heeft voor uw situatie het laatste woord.

Wanneer geldt de AVG bij het versturen van bestanden?

Zodra de bestanden persoonsgegevens bevatten, dus informatie over een identificeerbaar persoon, en uw organisatie in de EU is gevestigd of diensten aanbiedt aan mensen in de EU. Een contract met namen en adressen, een spreadsheet met klanten, een scan van een identiteitsbewijs, een foto waarop mensen herkenbaar zijn: het telt allemaal. Het versturen is een “verwerking”, en de tijdelijke opslag door de transferdienst ook.

De AVG-artikelen die tellen bij het versturen van bestanden

Uw transferdienst is een verwerker: de verwerkersovereenkomst

Bewaart een transferdienst bestanden in uw opdracht, dan is die dienst uw verwerker en bent u de verwerkingsverantwoordelijke. De Autoriteit Persoonsgegevens (AP) noemt een clouddienst die persoonsgegevens opslaat zelfs letterlijk als voorbeeld. Artikel 28 verlangt dat u alleen verwerkers inschakelt die “voldoende garanties” bieden, en dat u de afspraken vastlegt in een schriftelijke overeenkomst. Volgens de AP zijn beide partijen in overtreding als die verwerkersovereenkomst ontbreekt.

Volgens de AP horen er in elk geval deze onderwerpen in: een beschrijving van de verwerking (onderwerp, duur, aard, doel, soort gegevens, categorieën betrokkenen), verwerking alleen op uw schriftelijke instructies, geheimhouding, passende beveiliging, subverwerkers alleen met uw voorafgaande schriftelijke toestemming, hulp bij privacyrechten en datalekken, het verwijderen of teruggeven van de gegevens na afloop, en medewerking aan audits. In aanbevelingen uit november 2025 voegt de AP daaraan toe: maak de afspraken zo concreet mogelijk, houd grip op de hele leveranciersketen en houd de overeenkomst actueel.

Is versleuteling verplicht volgens de AVG?

Niet in absolute zin: artikel 32 vraagt om een beveiligingsniveau “afgestemd op het risico” en noemt pseudonimisering en versleuteling van persoonsgegevens als voorbeelden. In de praktijk is versleuteling de verwachte basis als u persoonsgegevens over internet verstuurt, en het levert een concreet voordeel op bij een incident. Volgens artikel 34, lid 3, onder a, hoeft u betrokkenen niet over een datalek te informeren als de gegevens onbegrijpelijk zijn gemaakt voor onbevoegden, “zoals versleuteling”.

De AP gaat daarin nog een stap verder: u hoeft een datalek ook niet bij de AP te melden als de gelekte gegevens vooraf goed waren versleuteld of door een hashwaarde vervangen. Maar alleen als aan drie voorwaarden is voldaan: de gegevens zijn nog volledig intact, u hebt er nog volledige controle over (u beschikt over een recente back-up), en de sleutel heeft bij het lek geen gevaar gelopen en is ook met beschikbare technologie niet te vinden voor onbevoegden. Het Europees Comité voor gegevensbescherming (EDPB) benadrukt hetzelfde: het verlies van de enige kopie van versleutelde gegevens blijft een lek van de beschikbaarheid. End-to-end versleuteling, waarbij zelfs de aanbieder de bestanden niet kan lezen, is de sterkste vorm; zie end-to-end versleuteling uitgelegd.

Opslagbeperking: waarom links met een vervaldatum helpen

Een gedeelde map die jarenlang openstaat, botst met het principe dat persoonsgegevens niet langer worden bewaard dan nodig. Transferlinks die na een paar dagen verlopen, en bestanden die bij het verlopen worden verwijderd, passen artikel 5, lid 1, onder e, en artikel 25 “standaard” toe, zonder dat iemand eraan hoeft te denken om op te ruimen. Ons artikel over een link met wachtwoord en vervaldatum geeft termijnen per situatie.

Datalek melden in Nederland: de 72 uur van de AP

In Nederland is de AP de toezichthoudende autoriteit; dat staat in artikel 6 van de Uitvoeringswet AVG (UAVG). De AP beschrijft de meldprocedure zo:

• Binnen 72 uur na kennisname. Kennisname betekent dat u redelijk zeker weet dat een incident de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens heeft aangetast. Een vermoeden is nog geen kennisname, maar u moet het incident wel meteen onderzoeken.
• Alleen via het Meldformulier datalekken op de site van de AP. Bellen, een brief of een e-mail telt niet als melding.
• Niet wachten op het volledige onderzoek. Bij een complexe inbreuk doet u binnen 72 uur een eerste, voorlopige melding en vult u die later aan met een vervolgmelding. Bewaar daarvoor uw meldingsnummer.
• Te laat? Dan moet u dat motiveren. Weekend, vakantie, ziekte of drukte accepteert de AP uitdrukkelijk niet als reden.
• De verwerkingsverantwoordelijke meldt, niet de FG. Wel is het zinvol de FG te betrekken.

Of u moet melden, hangt af van het risico voor de betrokkenen: u meldt bij de AP, tenzij het niet waarschijnlijk is dat het lek een risico oplevert, en u informeert de betrokkenen zelf als het risico waarschijnlijk hoog is. Bij twijfel adviseert de AP het zekere voor het onzekere te nemen en wél te melden. Voor kopieën van identiteitsbewijzen, gezondheidsgegevens of een burgerservicenummer (bsn) in combinatie met andere gegevens noemt de AP het risico doorgaans hoog. De UAVG kent nog een eigen uitzondering: financiële ondernemingen onder de Wet op het financieel toezicht hoeven betrokkenen niet te informeren (artikel 42 UAVG), maar melden wel bij de AP. Los daarvan schrijft artikel 33, lid 5, van de AVG voor dat u elk datalek intern documenteert, ook als u het niet hoeft te melden.

En in België: de Gegevensbeschermingsautoriteit

In België is de Gegevensbeschermingsautoriteit (GBA) de toezichthouder. Ook daar meldt de verwerkingsverantwoordelijke een gegevensinbreuk zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur na kennisname, tenzij het niet waarschijnlijk is dat er een risico is. Melden gebeurt via het GBA-portaal; meldingen per e-mail worden volgens de GBA niet behandeld. De melding doet u in het Nederlands, Frans of Duits, en technische bijlagen mogen ook in het Engels. Controleer eerst of de GBA wel bevoegd is: voor politiediensten is dat bijvoorbeeld het Controleorgaan op de Politionele Informatie (COC).

Gegevens buiten de EU: hoe zit het met Amerikaanse diensten?

Hoofdstuk V van de AVG (artikelen 44 tot en met 49) staat doorgifte buiten de EER alleen toe met een grondslag, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Voor de Verenigde Staten nam de Europese Commissie op 10 juli 2023 het adequaatheidsbesluit over het EU-US Data Privacy Framework aan; het geldt voor Amerikaanse bedrijven die zich onder dat kader zelf certificeren. Het Gerecht van de EU verwierp op 3 september 2025 een beroep ertegen, en per oktober 2026 loopt er nog een hoger beroep bij het Hof van Justitie. Het kader is vandaag geldig, maar de voorgeschiedenis (twee eerdere regelingen werden vernietigd) verklaart waarom veel organisaties liever een aanbieder kiezen die gegevens in Europa bewaart.

Checklist: een AVG-vriendelijke transferdienst kiezen

• Een duidelijke privacyverklaring en verwerkersvoorwaarden voor zakelijke klanten, met een lijst van subverwerkers.
• Een vermelde opslaglocatie, bij voorkeur in de EER, of een geldig doorgiftemechanisme.
• Versleuteling onderweg en in rust, en end-to-end versleuteling voor gevoelige bestanden.
• Vervaldata met automatische verwijdering, wachtwoorden en downloadlimieten.
• Toegangsbeheer aan de kant van de afzender: tweestapsverificatie, rollen in het team.
• Een manier om een transfer direct te verwijderen als hij naar de verkeerde persoon ging.

Checklist: de dienst AVG-proof gebruiken

1. 1

   Stap 1

   Minimaliseren

   Stuur alleen de documenten en gegevens die de ontvanger nodig heeft, en lak de rest echt weg: een zwart vlak over tekst in een pdf is volgens de AP niet genoeg.

2. 2

   Stap 2

   Beschermen

   Gebruik een wachtwoord dat u via een ander kanaal doorgeeft, en end-to-end versleuteling voor bijzondere persoonsgegevens (zoals gezondheidsgegevens) of identiteitsbewijzen.

3. 3

   Stap 3

   Beperken in tijd

   Kies een korte vervaldatum en een downloadlimiet die past bij het aantal ontvangers.

4. 4

   Stap 4

   Ontvanger controleren

   Controleer het adres; een e-mail naar de verkeerde ontvanger is een klassiek datalek.

5. 5

   Stap 5

   Opruimen

   Verwijder lokale kopieën en verzonden bijlagen die u niet meer nodig hebt.

6. 6

   Stap 6

   Vastleggen

   Neem de tool op in uw verwerkingsregister en houd uw interne afspraak kort en bekend.

Bestand naar de verkeerde persoon gestuurd: wat nu?

Trek de link meteen in, kijk of de bestanden zijn gedownload en schat het risico voor de betrokkenen in. Kan het lek waarschijnlijk een risico opleveren voor hun rechten en vrijheden, dan meldt u het zonder onredelijke vertraging en zo mogelijk binnen 72 uur bij de AP of, in België, bij de GBA. Ging het naar een ontvanger die u objectief betrouwbaar kunt noemen, zoals een collega binnen uw eigen organisatie of een partij met een wettelijk beroepsgeheim, dan mag u dat volgens de AP meewegen in uw risico-inschatting. Een voorstel van de Europese Commissie (de “Digital Omnibus” van november 2025) zou deze regels veranderen, onder meer met een termijn van 96 uur, maar was per oktober 2026 nog niet aangenomen. Onze checklist om bestanden veilig te versturen helpt het te voorkomen.

Veelvoorkomende situaties

Zoekt u een dienst om dit allemaal mee te doen, dan vergelijkt onze pagina over bestanden veilig versturen met Transfr de beveiligingslagen, en de beste sites om grote bestanden te versturen zet de gratis alternatieven voor WeTransfer naast elkaar.