Inhoudsopgave
Snel Antwoord
In 30 seconden: GDPR certificering voor transcriptie software betekent: EU data opslag (geen VS), encryptie (AES-256), verwerkersovereenkomst, facilitatie van privacy rechten (inzage, correctie, verwijdering), automatische bewaartermijnen, en data breach protocol. De Autoriteit Persoonsgegevens (AP) handelt hierop toezicht.
Gebruik je een transcriptie tool met US-hosting? Je riskeert €20 miljoen aan GDPR-boetes. De Nederlandse Autoriteit Persoonsgegevens (AP) handhaaft compliance actief, en ‘cloud storage’ in de VS voldoet niet aan EU-dataresidency eisen.
In 2024 ontdekten honderden Nederlandse bedrijven dit op de harde manier tijdens audits, toen ze moesten toegeven dat hun data buiten de EU was opgeslagen.
Klaar voor GDPR-complianten transcriptie? Bekijk onze functies met EU-opslag en encryptie. Start gratis - 120 minuten transcriptie zonder risico.
Wat is GDPR-certificering?
Belangrijk: Er bestaat geen officieel “GDPR certificaat” van de overheid. Wanneer bedrijven spreken over “GDPR certificering” bedoelen ze dat hun product voldoet aan alle GDPR-vereisten.
De Autoriteit Persoonsgegevens (AP) is de toezichthouder in Nederland die handhaving toepast. Bij niet-naleving kunnen boetes oplopen tot €20 miljoen of 4% van de wereldwijde omzet.
Wanneer is GDPR van toepassing?
GDPR is van toepassing wanneer je:
- ✅ Persoonsgegevens verwerkt van EU-burgers
- ✅ Gevestigd bent in de EU
- ✅ Goederen/diensten aanbiedt aan EU-burgers
Transcriptie van audio bevat vaak persoonsgegevens (stemmen, namen, adressen, medische info), dus GDPR is bijna altijd van toepassing.
Checklist: GDPR-compliance voor transcriptie tools
Gebruik deze checklist om transcriptie software te evalueren.
1. Data opslag locatie
❌ Niet-compliant:
- Data opgeslagen in de Verenigde Staten
- Data opgeslagen in het Verenigd Koninkrijk (na Brexit)
- “Wereldwijd” of “multi-region” opslag zonder specificatie
✅ Compliant:
- Alle data opgeslagen binnen Europese Unie
- Specifieke locatie vermeld (bijv. Frankfurt, Duitsland)
- Geen data-overdracht buiten EU
Waarom dit belangrijk is:
- Privacy Shield (EU-VS) is ongeldig verklaard (2020)
- US Cloud Act geeft Amerikaanse overheid toegang tot data
- Internationale data transfers vereisen complexe aanvullende maatregelen
TalkMark: Alle data op EU servers in Frankfurt, Duitsland.
2. Encryptie standaarden
❌ Niet-compliant:
- Geen encryptie of alleen “standaard” encryptie
- HTTPS zonder specificatie
- Encryptie tijdens transport maar niet bij opslag
✅ Compliant:
- In transit: TLS 1.3 of hoger
- At rest: AES-256 of vergelijkbaar
- End-to-end encryptie voor gevoelige data
- Versleutelde backups
Vraag de leverancier:
“Welke encryptie gebruiken jullie voor data in rust en data tijdens transport?“
3. Verwerkersovereenkomst (DPA)
❌ Niet-compliant:
- Geen DPA beschikbaar
- Alleen “accepteer onze terms of service”
- DPA alleen op aanvraag (niet standaard)
✅ Compliant:
- Standaard Data Processing Agreement
- DPA ondertekend voorafgaand aan verwerking
- Sub-verwerkers expliciet genoemd
- Clear beëindigingsbepalingen
Elementen die in een DPA moeten staan:
- Rechtsgrond voor verwerking
- Doel van verwerking
- Duur van verwerking
- Beveiliging maatregelen
- Procedure bij datalekken
- Rechten van betrokkenen
- Teruggave of verwijdering bij beëindiging
TalkMark: Standaard DPA beschikbaar voor alle BUSINESS klanten.
4. Privacy rechten facilitering
❌ Niet-compliant:
- Geen export functie
- Geen delete functie
- Alleen via support verzoeken indienen
- Meer dan 30 dagen reactietijd
✅ Compliant:
- Recht op inzage: Gebruiker kan eigen transcripties inzien
- Recht op correctie: Transcripties kunnen bewerkt worden
- Recht op verwijdering: “Permanent verwijderen” functie
- Recht op data portabiliteit: Exporteer JSON/CSV/ZIP
- Recht op beperking: Data markeren als beperkt
- Recht van bezwaar: Verzet tegen verwerking
Technische implementatie:
- Self-service export (geen support ticket nodig)
- Automatische verwijdering binnen 30 dagen
- Bevestiging van verwijdering
- Versiebeheer voor correcties
5. Bewaartermijnen
❌ Niet-compliant:
- Data “voor altijd” bewaard
- Geen bewaartermijn instellingen
- Geen automatische verwijdering
✅ Compliant:
- Configureerbare bewaartermijnen
- Automatische verwijdering na termijn
- Notificatie voorafgaand aan verwijdering
- Uitzonderingen voor wettelijke verplichtingen
Aanbevolen termijnen:
- Klantenservice: 1 jaar na afloop contract
- HR: 2 jaar na uitdiensttreding
- Juridisch: 7 jaar (wettelijke bewaarplicht)
- Medisch: 20 jaar (WGBO)
6. Data lek protocol
❌ Niet-compliant:
- Geen data breach procedure
- Meldden niet verplicht
- Geen logging van data acces
✅ Compliant:
- Gedocumenteerd incident response plan
- Melding bij AP binnen 72 uur (indien verplicht)
- Melding aan betrokkenen (bij hoog risico)
- Logging: wie heeft toegang tot welke data
- Security testing regelmatig uitgevoerd
Wettelijke bewaartermijnen per sector
Juridische sector
- Advocaten/Notarissen: 7 jaar (wettelijk)
- Rechters: Permanent (in sommige gevallen)
- Arbeidsrecht: 2 jaar na einde dienstverband
Financiële sector
- Banken/Verzekeraars: 5-7 jaar (AFW)
- Accountants: 7 jaar (wettelijk)
- Belastingdienst: 7 jaar (fiscaal)
Medische sector
- Ziekenhuizen: 20 jaar (WGBO)
- Huisartsen: 15 jaar (medisch dossier)
- GGZ: 15-20 jaar
Implementatie: stap voor stap
Stap 1: Inventariseer je data
Vragen:
- Welke type transcripties heb ik?
- Bevat deze audio persoonsgegevens?
- Wat is mijn rechtsgrond voor verwerking?
Documentatie:
- Register van verwerkingsactiviteiten (verplicht Art. 30 AVG)
- Categoriseer transcripties per type
- Bepaal bewaartermijn per categorie
Stap 2: Kies een GDPR-compliant tool
Checklist:
- EU data opslag
- AES-256 encryptie
- DPA beschikbaar
- Privacy rechten gefaciliteerd
- Bewaartermijnen instelbaar
- Data breach protocol
Bekijk TalkMark’s GDPR features specifiek voor juridische praktijken.
Stap 3: Implementeer interne procedures
Procedures:
- Toestemming verkrijgen (indien nodig)
- Informeren van betrokkenen
- Data verzoeken afhandelen
- Datalekken melden
- Bewaartermijnen monitoren
Stap 4: Train medewerkers
Training onderwerpen:
- Wat is GDPR en waarom is het belangrijk?
- Wanneer mag je transcriberen?
- Hoe verwerk je data verzoeken?
- Wat te doen bij een datalek?
- Hoe herken je phishing/social engineering?
Veelgemaakte fouten
Fout 1: “We gebruiken US software maar dat is wel GDPR-compliant”
Probleem: US-based tools vallen onder US Cloud Act, wat Amerikaanse overheid toegang geeft tot data. Dit is in strijd met GDPR tenzij zware aanvullende maatregelen.
Oplossing: Kies voor EU-gehoste alternatieven.
Fout 2: “We hebben toestemming, dus alles is goed”
Probleem: Toestemming is één rechtsgrond, maar deze moet vrijwillig, geïnformeerd, specifiek en intrekbaar zijn. Bovendien is toestemming niet altijd de beste rechtsgrond (contractuele basis kan beter zijn).
Oplossing: Analyseer welke rechtsgrond het beste past.
Fout 3: “Onze leverancier zegt dat ze GDPR-compliant zijn”
Probleem: Leveranciers claims zijn geen garantie. Je moet zelf due diligence doen en een DPA hebben.
Oplossing: Vraag om specifieke documentatie:
- Privacy policy
- Security documentatie
- DPA template
- Data breach procedure
Fout 4: “Data bewaren we voor het geval dat…”
Probleem: GDPR vereist dat je data niet langer bewaart dan noodzakelijk.
Oplossing: Stel automatische bewaartermijnen in.
Certificeringen en normen
Hoewel er geen officieel GDPR certificaat is, zijn er wel normen die helpen bij compliance:
ISO 27001 (information security)
Wat is het: Internationale standaard voor information security management
Voordelen:
- Bewezen security practices
- Onafhankelijke audit
- Continu verbeteringsproces
Niet verplicht voor GDPR, maar helpt bij aantonen van passende maatregelen.
ISO 27701 (privacy information management)
Wat is het: Uitbreiding op ISO 27001 specifiek voor privacy
Voordelen:
- GDPR-aligned requirements
- Privacy by design en by default
- Continue monitoring van compliance
SOC 2 type II
Wat is het: Amerikaanse standaard voor security, availability, processing integrity, confidentiality en privacy
Let op: SOC 2 is geen GDPR-certificering, maar toont wel serieuze security practices aan.
Vragen aan je leverancier
Gebruik deze vragenlijst bij het evalueren van transcriptie software:
Data opslag
- Waar worden mijn data opgeslagen (specifieke locatie)?
- Zijn backups versleuteld?
- Wie heeft toegang tot mijn data?
Encryptie
- Welke encryptie gebruiken jullie voor data in rust?
- Welke encryptie gebruiken jullie voor data tijdens transport?
- Zijn encryption keys zelf versleuteld?
Compliance
- Hebben jullie een DPA?
- Faciliteren jullie alle GDPR privacy rechten?
- Hoe gaan jullie om met data verzoeken?
- Wat is jullie data breach melding procedure?
Juridisch
- Zijn jullie geregistreerd bij de Autoriteit Persoonsgegevens?
- Hebben jullie een Functionaris Gegevensbescherming (FG)?
- Zijn jullie verwerkersverantwoordelijke of verwerker?
Bewaartermijnen
- Kan ik bewaartermijnen instellen?
- Verwijderen jullie data automatisch na de termijn?
- Kan ik data eerder verwijderen?
Praktisch voorbeeld: GDPR-compliant transcriptie workflow
Scenario: Advocaat transcribeert cliëntgesprek
Vooraf:
- Informeer cliënt over opname en transcriptie
- Leg uit: doel, rechtsgrond, bewaartermijn
- Vraag toestemming (documenteer!)
- Start opname met context: datum, zaak, aanwezigen
Tijdens:
- Opname versleuteld verzonden
- Transcriptie op EU servers verwerkt
- AI-samenvatting gegenereerd
Na afloop:
- Cliënt kan transcriptie inzien
- Fouten kunnen gecorrigeerd worden
- Na 7 jaar (wettelijke termijn) automatisch verwijderd
- Verwijdering bevestigd aan advocaat
Conclusie
GDPR compliance voor transcriptie software hoeft niet ingewikkeld te zijn. Focus op deze zes elementen: EU opslag (vermijd niet-EU servers), encryptie (AES-256 voor data in rust, TLS 1.3 voor transport), een DPA verwerkersovereenkomst voorafgaand aan verwerking, privacy rechten faciliteren (inzage, correctie, verwijdering), bewaartermijnen (niet langer dan nodig bewaren), en een data breach protocol voor incidenten.
TalkMark is 100% GDPR-compliant met EU servers in Frankfurt, AES-256 encryptie met TLS 1.3, een standaard DPA, alle privacy rechten gefaciliteerd, instelbare bewaartermijnen, en een data breach protocol.
Start GDPR-compliant transcriberen
Meer informatie?
- [Lees de secties hieronder voor de complete checklist]
- Specifiek voor advocaten
- Neem contact op met ons support team
Meer informatie over privacywetgeving is beschikbaar bij de Autoriteit Persoonsgegevens.
Let op: Deze gids is informatief, geen juridisch advies. Raadpleeg een privacy-advocaat voor specifieke situaties.
Over TalkMark: Nederlandse AI-transcriptie service gespecialiseerd in GDPR-compliance. Wij helpen professionals veilig en efficiënt te transcriberen met EU-data opslag en volledige privacy rechten facilitatie.
