Een scale-up uit Barcelona host bij een Europese provider. De Italiaanse DPO van de groep vraagt om het subleveringscontract, de datacenter-sede en de lijst met subverwerkers – tevergeefs als de dienstverlener alleen een “GDPR-compatibele” pagina levert.
Italië en Spanje passen dezelfde AVG toe met actieve autoriteiten (Garante Privacy, AEPD). Het verwachte bewijsmateriaal gaat verder dan de slogan: contractuele documentatie en technische mapping. Een pan-Europese gastheer kan voldoende zijn; een lokale speler kan uitwisselingen faciliteren; in beide gevallen heeft de kwaliteit van de bijlagen voorrang op de landcode van het datacenter die op de commerciële dia wordt weergegeven.
Er zijn minimaal vijf documenten vereist
| Document | Verwachte inhoud | Gebruik controleren |
|---|---|---|
| DPA / AVV / encargo-contract | Doel, duur, maatregelen, onderaannemers | Kunst. 28 AVG |
| Registro / registro-actividades | Host met doel geciteerd | Verantwoordelijkheid |
| DC-locatie | Italië, Spanje, EU — per dienst | Overboekingen |
| Lijst onderaannemers | Namen, landen, rol | Keten |
| Certificaten | ISO, enz. met omtrek | Zorgvuldigheid |
Bijzonderheden Italië versus Spanje (hostweergave)
Italië: hoge gevoeligheid voor cookies en marketing (linee guida Garante), DPO frequent voor kmo's buiten de EU-drempels, contracten vaak vereist in Italiaans voor lokale markten.
Spanje: AEPD actief op het gebied van overdrachten en rechten, aandacht LSSI voor elektronische communicatie (los van de AVG maar gekoppeld aan de gehoste site), delegado de protection de data als drempels worden bereikt.
In beide gevallen zijn taal en ondersteuning net zo belangrijk als de responstijd van de server.
Lokale versus pan-Europese hosts
IT/ES-actoren in de overzicht (Aruba, SiteGround ES, OVH ES, enz.) of FR/DE/NL-wolken: vergelijk hetzelfde bewijsraster, niet alleen de nationaliteit.
Een tweetalige DPA vereisen of indien nodig vertaald, een gedocumenteerd EU datacentrum voor EU-klantgegevens, melding in het geval van een nieuwe verwerker, en gedocumenteerde hulp voor de uitoefening van rechten (esercizio diritti / ejercicio de derechos).
Due diligence: verder dan alleen documenten
Vraag ook wie er op beveiligingsvragenlijsten reageert, wat de gemiddelde tijd is voor het leveren van bewijsmateriaal en of de host klantaudits op locatie of op afstand accepteert. Een lokale IT/ES-speler kan uitwisselingen in het Italiaans of Spaans faciliteren; een pan-Europese cloud kan voldoende zijn als de documentatie compleet en actueel is. Vergelijk de twee op hetzelfde raster – niet alleen op basis van geografische nabijheid. In het geval van een project dat onderworpen is aan SecNumCloud of een strikt anti-extraterritorialiteitsbeleid, is de Nederlandse lokalisatie een bouwsteen – niet het volledige antwoord. Kruisverwijzing met Schrems II als bij stromen of onderaannemers derde landen betrokken zijn.
De top: conformità senza documenteni non esiste
Beslis en ga vooruit zonder blinde vlek
Stel een identiek bewijsraster op voor alle kandidaten vóór de shortlist en onderteken de DPA vóór elke productie met persoonlijke gegevens. Werk het IT/ES-register bij met de host en het exacte doel, en lees de ISO-scope als deze wordt geclaimd. Vergelijk via de vergelijker en herlees Transfers non-EU als de keten derde landen omvat – schriftelijk bewijs heeft voorrang op de vlag van het datacenter. Bewaar de ingevulde leveranciersvragenlijsten: deze dienen als model voor toekomstige Iberische of transalpine aanbestedingen.
Veelgestelde vragen
Is GDPR voldoende in Italië en Spanje?
Ja op Europese basis, maar de Garante en de AEPD vereisen solide documentatie die verder gaat dan het compliance-logo: register, DPA, onderaannemers en locatie die bruikbaar is bij audits.
Welk bewijs moet je van de gastheer vragen?
Ondertekende DPA, lijst van onderaannemers, locatie van datacenters, beveiligingsmaatregelen, inbreukprocedure, rechtenbijstand en ISO-certificaten met precieze reikwijdte indien geclaimd.
Heb ik een lokale IT/ES-host nodig?
Nee als de EU-garanties voldoende zijn; een lokale actor faciliteert soms contractuele regelingen, taalgebruik en steun van de nationale autoriteiten.
Zorgaccommodatie of publieke sector?
Er zijn aanvullende raamwerken van toepassing. Verwar traditionele webhosting niet met AGID-vereisten of het Spaanse equivalent voor de publieke sector.
Vraag de cinco documentos vóór de livegang – niet na de klacht bij de autoriteit. Houd de uitwisselingen met de Garante of de AEPD aan als u al controles heeft gehad: zij geven vaak de onderdelen aan die daadwerkelijk worden aangevraagd, buiten de “AVG-conforme” marketing. Een volledig dossier versnelt ook de respons bij Italiaanse of Spaanse zakelijke klanten bij due diligence. Houd een kopie van de lijsten met gegevensbeschermingsautoriteiten en onderaannemers up-to-date in een gedeelde juridische-inframap, niet verspreid in e-mailthreads.