Kort antwoord
Een offline GDPR-tool (zoals een lokaal Excel- of Access-dossier) geeft je volledige controle over waar de data staat en vermijdt discussies over doorgifte buiten de EU, maar vraagt meer discipline van jezelf: back-ups, versiebeheer en toegangsbeheer doe je zelf. Een cloudtool werkt overal, update zichzelf en regelt back-ups automatisch, maar maakt je afhankelijk van de beveiliging en de locatie van de leverancier. Geen van beide is per definitie “AVG-conformer”: de AVG verplicht altijd een verwerkersovereenkomst bij elke externe leverancier en passende beveiliging, ongeacht of je offline of cloud werkt.
Inhoudsopgave
- Wat verandert er juridisch tussen een offline en een cloudgebaseerde tool?
- Wanneer heb je wel of geen verwerkersovereenkomst nodig?
- Speelt doorgifte buiten de EU een rol?
- Wat met beveiliging: is offline automatisch veiliger?
- Afwegingskader: welke tool past bij jouw organisatie?
- Vergelijkingstabel: offline versus cloud
- Veelgestelde vragen
Wat verandert er juridisch tussen een offline en een cloudgebaseerde tool?
Juridisch verandert er minder dan je zou denken. De AVG (Verordening (EU) 2016/679) stelt geen eis die een offline tool bevoordeelt boven een cloudtool, of omgekeerd. Artikel 5, lid 1, punt f) (integriteit en vertrouwelijkheid) en artikel 32 (beveiliging van de verwerking) gelden voor beide op dezelfde manier: je moet passende technische en organisatorische maatregelen nemen, afgestemd op het risico. Het verschil zit in wie die maatregelen uitvoert. Bij een offline tool ben jij daar zelf volledig verantwoordelijk voor; bij een cloudtool deel je die verantwoordelijkheid met een leverancier die optreedt als verwerker.
Wanneer heb je wel of geen verwerkersovereenkomst nodig?
Artikel 28 AVG verplicht een verwerkersovereenkomst zodra een derde partij namens jou persoonsgegevens verwerkt. Bij een zuiver offline tool die enkel lokaal op jouw eigen apparaat draait, zonder dat een externe partij de data verwerkt of host, is er doorgaans geen verwerker in het spel en dus ook geen verwerkersovereenkomst nodig – de volledige verantwoordelijkheid (en aansprakelijkheid) ligt dan bij jou als verwerkingsverantwoordelijke. Bij een cloudtool is de leverancier vrijwel altijd verwerker, en ontbreekt een verwerkersovereenkomst, dan is dat op zich al een inbreuk op artikel 28, los van wat er verder met de data gebeurt.
Speelt doorgifte buiten de EU een rol?
Ja, en dit is waar cloudtools het vaakst struikelen. Hoofdstuk V van de AVG (artikelen 44 tot en met 50) regelt onder welke voorwaarden persoonsgegevens de Europese Economische Ruimte mogen verlaten: in principe enkel naar landen met een adequaatheidsbesluit, of met passende waarborgen zoals standaardcontractbepalingen (artikel 46). Host je cloudtool (of de onderliggende serverinfrastructuur van de leverancier) buiten de EER, dan moet je dat traject doorlopen voor je de tool mag gebruiken. Bij een offline tool die nergens data naar een server stuurt, vervalt die hele toets.
Wat met beveiliging: is offline automatisch veiliger?
Nee, en dat is een misvatting die ik vaak hoor. Offline betekent niet automatisch veilig: een lokaal bestand zonder versleuteling, zonder back-up en op een gedeelde laptop kan net zo kwetsbaar zijn als een slecht beveiligde cloudtool. De Geschillenkamer van de Gegevensbeschermingsautoriteit toonde in beslissing ten gronde nr. 166/2024 (tegen een Belgisch ziekenhuis, in beroep verlaagd tot een boete van 50.000 euro) net aan dat een zwak wachtwoordbeleid, geen patchbeheer en geen systematische audits tot een vastgestelde inbreuk op artikel 32 AVG leiden – ongeacht of de onderliggende infrastructuur lokaal of in de cloud stond. De vraag is dus niet “offline of cloud”, maar “wie beheert de toegang, de back-ups en de updates, en doet die partij dat aantoonbaar goed”.
Afwegingskader: welke tool past bij jouw organisatie?
Drie factoren wegen het zwaarst. Eerst de grootte van je team: werk je alleen of met een klein team dat op één locatie werkt, dan is een offline tool met een duidelijke back-updiscipline vaak voldoende en eenvoudiger te overzien. Werken meerdere mensen op verschillende locaties samen aan hetzelfde dossier, dan wordt een cloudtool met gecontroleerde toegangsrechten al snel praktischer dan e-mailen met Excel-versies.
Ten tweede de gevoeligheid van de data: verwerk je vooral administratieve gegevens, dan weegt het onderscheid minder zwaar. Verwerk je op grote schaal bijzondere categorieën (gezondheidsgegevens, biometrie), dan verdient de optie die je het strengst kan beveiligen en het makkelijkst kan auditeren de voorkeur – dat kan in beide richtingen uitvallen, afhankelijk van wie de implementatie doet.
Ten derde je eigen IT-kennis: een offline tool vraagt dat je zelf (of iemand in je team) versleuteling, back-ups en toegangsbeheer correct opzet en onderhoudt. Ontbreekt die kennis, dan neemt een gerenommeerde cloudleverancier met een degelijke verwerkersovereenkomst je dat grotendeels uit handen – mits je zelf controleert waar die leverancier je data host.
Vergelijkingstabel: offline versus cloud
| Criterium | Offline tool | Cloudtool |
|---|---|---|
| Verwerkersovereenkomst nodig | Meestal niet (geen externe verwerker) | Zo goed als altijd (artikel 28 AVG) |
| Doorgifte buiten EU relevant | Nee | Ja, als server buiten de EER staat (artikelen 44-50 AVG) |
| Back-ups en updates | Jouw eigen verantwoordelijkheid | Grotendeels bij de leverancier |
| Samenwerken op afstand | Beperkt, tenzij apart geregeld | Ingebouwd via accounts en rechten |
| Afhankelijkheid van een derde partij | Minimaal | Significant (continuïteit, prijsbeleid, uitval) |
| Nodige IT-kennis in huis | Hoger (zelf beveiligen) | Lager (leverancier beheert infrastructuur) |
Mijn eigen DPO-dossier is bewust een offline tool: voor kleinere teams die de controle over hun data liever zelf in handen houden, zonder een abonnement bij een externe cloudpartij. Werk je met een groter team of wil je net de vergelijking met cloudgebaseerde alternatieven zien, dan vind je die in mijn vergelijking van GDPR-tools voor Belgische kmo’s.
Veelgestelde vragen
Heb ik nooit een verwerkersovereenkomst nodig bij een offline tool?
Zodra er ook maar een externe partij bij betrokken is (bijvoorbeeld een IT-dienstverlener die op afstand je laptop onderhoudt en daarbij toegang heeft tot het bestand), kan die wel degelijk verwerker worden. Zuiver lokaal en zonder externe toegang is de kans het kleinst.
Is een cloudtool verboden als de leverancier in de VS zit?
Niet per definitie verboden, maar je moet dan wel een geldige doorgiftebasis hebben, zoals standaardcontractbepalingen, en nagaan of bijkomende waarborgen nodig zijn. Controleer dit voor je een leverancier kiest, niet achteraf.
Wat als mijn offline Excel-bestand gestolen wordt via een gestolen laptop?
Dan geldt dezelfde meldplicht als bij een cloudlek: binnen 72 uur melden aan de Gegevensbeschermingsautoriteit als er een risico is voor de betrokkenen (artikel 33 AVG). Versleuteling van het bestand en de harde schijf beperkt dat risico aanzienlijk.
Kan ik later overstappen van offline naar cloud of omgekeerd?
Ja, zolang je de migratie zelf documenteert: welke data je overzet, hoe lang je de oude versie nog bewaart, en wanneer je ze veilig verwijdert.
Welke optie is goedkoper?
Een offline tool heeft meestal geen abonnementskost, maar vraagt tijd van jezelf voor onderhoud. Een cloudtool heeft een terugkerende kost, maar bespaart tijd op back-ups en updates. Reken de kost van je eigen tijd mee, niet enkel de licentieprijs.
Over de auteur: Stijn Belmans is EADPP-gecertificeerd Data Protection Officer en beheert als extern DPO de privacy- en beveiligingsdossiers van meer dan 100 organisaties. Hij bouwt en onderhoudt websites sinds meer dan 15 jaar en combineert die technische achtergrond met zijn werk als DPO.
Twijfel je welke aanpak bij jouw organisatie past? Bekijk mijn offline DPO-dossier, of vergelijk het met cloudgebaseerde alternatieven in mijn vergelijking van GDPR-tools voor Belgische kmo’s.
Feiten in dit artikel zijn gebaseerd op de AVG (Verordening (EU) 2016/679), artikelen 5, 28, 32, 33 en 44 tot en met 50, en op beslissing ten gronde nr. 166/2024 van de Geschillenkamer van de Gegevensbeschermingsautoriteit, herzien door het Marktenhof op 3 september 2025. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
Externe DPO, webstrateeg en lesgever aan Thomas More. Meer over mij
