Met een groeiend aantal leveranciers wordt de keuze voor een specifiek product er niet eenvoudiger op. Naast de functionaliteit van een oplossing bepalen ook onderliggende zaken als datastromen, privacy en informatiebeveiliging in hoge mate of een product geschikt is voor de organisatie. Naast kosten zijn de volgende voorwaarden als belangrijke aandachtspunten voortgevloeid uit de ervaringen binnen Tech in Legal en het onderzoek dat aan deze rapportage vooraf is gegaan.

Datastromen

Voordat een organisatie met een leverancier in zee gaat, is het belangrijk te weten waar de data van de organisatie precies naartoe gaat en blijft. Vrijwel alle oplossingen zijn tegenwoordig cloud-oplossingen (de informatie wordt dan niet lokaal opgeslagen en verwerkt). Bij een cloudoplossing is de vervolgvraag in welk land de servers staan en of de gegevens binnen of buiten de EER worden verwerkt. Daarnaast schakelen veel leveranciers externe partijen in die de data verwerken, bijvoorbeeld voor hosting of voor de AI-functionaliteit binnen het product. Elk van deze subverwerkers in de keten is een plek waar data doorheen gaat, en dus een plek die meegenomen moet worden bij de beoordeling.

Vraag bij twijfel om een concreet dataverwerkingsschema: welke informatie gaat naar welke (sub)verwerker? In welk land wordt de informatie verwerkt? Op basis van welke afspraken gebeurt dit? Dit laatste geldt zeker als dat land buiten de EER ligt. Een leverancier die dit schema niet kan overleggen, heeft het zelf vermoedelijk ook niet scherp in beeld.

Privacy

Zodra persoonsgegevens worden verwerkt, geldt de AVG. Verwerkt de leverancier die gegevens in opdracht van de organisatie, dan is de leverancier verwerker en is een verwerkersovereenkomst verplicht. Daarin staat onder andere voor welk doel de leverancier de gegevens mag gebruiken, hoe lang de gegevens bewaard blijven en wat er gebeurt bij het einde van de samenwerking. Een leverancier die zegt ‘AVG-compliant’ te zijn, zegt daarmee nog niets over waar in de keten welke gegevens precies landen: vraag daarom expliciet naar de verwerkersovereenkomst en de lijst van subverwerkers.