Waar gegevens stromen zonder dat je het ziet

Koppelingen, logbestanden, back-ups en AI-prompts verplaatsen persoonsgegevens buiten je procestekening om; dat raakt grondslag, register en contracten.

Luis Gravestein, Oprichter · 25 augustus 2026 · 5 min

Bij elke automatisering wordt een tekening gemaakt: hier komt de aanvraag binnen, daar gaat hij heen, zo rolt de output eruit. Die tekening klopt meestal. Alleen beschrijft hij het proces, niet de infrastructuur eronder. En juist die infrastructuur verplaatst persoonsgegevens op plekken die niemand heeft opgeschreven.

Wat niet in je register staat, heeft ook geen grondslag en geen bewaartermijn. Bij een datalek telt de meldtermijn in uren; bij een inzageverzoek heb je een maand (artikel 12 lid 3 AVG), met verlenging van maximaal twee maanden bij complexiteit of aantal verzoeken. Beide vragen hetzelfde: dat je weet waar de gegevens van één persoon overal staan. Vier plekken vallen daarbij structureel buiten beeld.

Koppelingen nemen meer mee dan je hebt gevraagd

Een koppeling tussen ATS en boekhouding heeft een naam en een factuurregel nodig. Wat er in de praktijk overgaat is het hele kandidaatobject, omdat de API dat teruggeeft en het filteren aan de ontvangende kant is overgeslagen. Geboortedatum, nationaliteit, cv-tekst: allemaal mee, allemaal opgeslagen, allemaal buiten het doel waarvoor je de koppeling bouwde.

Dataminimalisatie (artikel 5 lid 1 sub c AVG) klopt hier op de tekening en niet in het bericht dat er daadwerkelijk overgaat. Filter aan de bron, niet in de weergave. Een veld dat je niet ophaalt, hoef je niet te verantwoorden, niet te beveiligen en niet te wissen.

Logbestanden zijn een tweede administratie

Automatiseringen loggen. Dat moet ook: zonder logging kun je niet aantonen dat een koppeling heeft gedraaid en kun je een fout niet terugvinden. Het probleem is wát er in de logregel staat. Een foutmelding die het hele binnengekomen verzoek meeschrijft, zet burgerservicenummers, salarissen of medische opmerkingen in een tekstbestand dat vaak langer bewaard blijft dan het bronsysteem zelf, en waar veel meer mensen bij kunnen.

Log identifiers, geen inhoud. Een verwijzing naar het record is genoeg om een storing te reconstrueren. Staan er nu al persoonsgegevens in je logbestanden, dan is de logging zelf een verwerking met een eigen grondslag en een eigen bewaartermijn, meestal veel korter dan de standaardinstelling van je monitoringtool.

Back-ups verwijderen niet mee

Een verwijderverzoek onder artikel 17 AVG wordt in het systeem netjes uitgevoerd. In de back-up van gisteren staat de persoon er nog. In de back-up van vorig jaar ook. Dat is niet per se onrechtmatig, maar je moet het weten en kunnen uitleggen. Twee vragen: welke bewaartermijn hebben je back-ups, en wat gebeurt er met een verwijderverzoek als een back-up wordt teruggezet?

Leg dat vast als beleid, niet als incident. Bewaartermijnen botsen hier bovendien met elkaar: de fiscale bewaarplicht van zeven jaar geldt voor je administratie, niet voor de cv's die toevallig in dezelfde back-up staan.

AI-prompts zijn een verstrekking

Een prompt met klantgegevens erin is een verstrekking aan de partij die het model draait. Dat is een verwerking met een grondslag, een verwerkersovereenkomst en, als de verwerking buiten de EER plaatsvindt, een doorgiftegrond uit hoofdstuk V AVG: een adequaatheidsbesluit of standaardcontractbepalingen. Waar de gegevens landen is een contractvraag, geen keuze in een instellingenscherm.

Let daarnaast op wat er met de prompt gebeurt na het antwoord. Bewaring voor misbruikdetectie, gebruik voor modeltraining en de vraag of medewerkers van de leverancier kunnen meelezen staan in de voorwaarden, niet in de interface. Wie een AI-stap in een proces bouwt zonder die drie punten schriftelijk te hebben, heeft een gat in het dossier.

Wat dit betekent voor je papieren

• Grondslag (artikel 6): per stroom, niet per project. De koppeling naar de boekhouding kan een andere grondslag hebben dan de AI-stap ervoor.
• Verwerkingsregister (artikel 30): koppelingen, logging, back-ups en AI-diensten zijn verwerkingen. Ze horen erin met doel, categorieën gegevens, ontvangers en bewaartermijn.
• Verwerkersovereenkomst (artikel 28): met elke partij die voor jou verwerkt, van hostingpartij en monitoringtool tot back-upleverancier en AI-aanbieder. Inclusief toestemming voor subverwerkers.
• Doorgifte (hoofdstuk V): vastleggen wáár verwerkt wordt, niet waar de leverancier gevestigd is.
• Datalekprocedure (artikel 33): een inbreuk die waarschijnlijk een risico voor betrokkenen oplevert, meld je bij de Autoriteit Persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 72 uur nadat je ervan weet. Dat haal je alleen als je vooraf weet welke systemen welke gegevens bevatten.

Wat níet loont: een register bijhouden in een spreadsheet die los staat van de bouw. Die loopt achter zodra de eerste koppeling erbij komt zonder dat iemand het document opent. Beter is één regel in het opleverdocument per koppeling, met welke velden er overgaan, waarheen en hoe lang, die tegelijk de registerregel is. Eén bron, geen synchronisatie. Even zinloos is een risicobeoordeling die alleen het eindproces beschrijft: een DPIA (artikel 35) die zwijgt over logbestanden, back-ups en de AI-leverancier beoordeelt niet het systeem dat je feitelijk gaat draaien.

Meten kan hier ook. Neem één willekeurige persoon uit je administratie en tel hoeveel plekken er nodig zijn om alle gegevens over hem terug te vinden, en hoeveel tijd dat kost. Tel bij de eerstvolgende oplevering ook hoeveel koppelingen er draaien en hoeveel er in het register staan. Doe dat vóór de automatisering en opnieuw erna. Als het aantal plekken stijgt en de tijd niet daalt, heb je het proces versneld en de verantwoording verzwaard.

Wat je nu kunt doen: pak één bestaande automatisering en schrijf voor die ene stroom op welke velden er daadwerkelijk overgaan, wat er in de logbestanden terechtkomt, hoe lang de back-up loopt en met welke partij een verwerkersovereenkomst is getekend. Vergelijk dat met je register. Het verschil tussen die twee lijstjes is precies het werk dat er ligt. Dit is een toets, geen juridisch advies: voor de weging van een specifiek geval blijft een jurist nodig.