GDPR-compliant password sharing in Belgium

België was een van de eerste EU-landen waar de GDPR actief werd gehandhaafd door een nationale toezichthouder. De Gegevensbeschermingsautoriteit (GBA) heeft de afgelopen jaren tientallen beslissingen gepubliceerd over overtredingen, variërend van grote multinationals tot kleine vzw's. Eén van de terugkerende knelpunten: onvoldoende beveiliging van toegangsgegevens.

De GBA en haar aanpak

De Belgische GBA heeft een proactieve reputatie opgebouwd. Ze behandelt niet alleen klachten van betrokkenen, maar voert ook ambtshalve onderzoeken uit. In verschillende beslissingen heeft de GBA geoordeeld dat het onbeveiligd bewaren of versturen van inloggegevens een schending vormt van artikel 5(1)(f) GDPR — het beginsel van integriteit en vertrouwelijkheid — en van artikel 32 GDPR, dat passende technische maatregelen vereist.

Voor Belgische organisaties betekent dit concreet: de manier waarop je wachtwoorden en toegangsgegevens beheert en deelt, valt onder het toezicht van de GBA.

Wat "passende technische maatregelen" betekent in de praktijk

Artikel 32 GDPR spreekt over maatregelen die "een op het risico afgestemd beveiligingsniveau waarborgen." Wat is passend, hangt af van de context — maar voor het delen van wachtwoorden zijn er enkele concrete criteria:

• Versleuteling: Wachtwoorden mogen niet in leesbare tekst worden opgeslagen of verzonden.
• Toegangsbeperking: Alleen de beoogde ontvanger mag het wachtwoord kunnen inzien.
• Beperkte bewaartermijn: Gegevens mogen niet langer worden bewaard dan noodzakelijk.
• Traceerbaarheid: Er moet aantoonbaar zijn welke maatregelen zijn getroffen.

Een wachtwoord versturen via e-mail of Slack voldoet aan geen van deze criteria: het staat in leesbare tekst, is toegankelijk voor meerdere partijen, wordt permanent bewaard, en er is geen mechanisme om de toegang achteraf in te trekken.

GDPR-proof wachtwoorden delen met PassTransfer

PassTransfer is gebouwd rond precies de principes die artikel 32 GDPR voorschrijft:

• Wachtwoorden worden versleuteld opgeslagen met behulp van sterke encryptie.
• De link is eenmalig bruikbaar: na het ophalen van het wachtwoord wordt de opgeslagen waarde verwijderd.
• Je stelt een vervaldatum in, waarna de link automatisch ongeldig wordt — ook als hij nog niet is gebruikt.
• Gegevens worden verwerkt op Europese servers, waardoor er geen sprake is van doorgifte buiten de EER.

Specifieke sectoren in België met verhoogd risico

Advocatenkantoren en notarissen De Belgische juridische sector werkt met bijzonder gevoelige persoonsgegevens. Het overdragen van toegang tot dossiersoftware of cliëntportalen vereist de hoogste mate van beveiliging. De Orde van Vlaamse Balies en de Ordre des barreaux francophones stellen in hun deontologische codes eisen aan de beveiliging van cliëntgegevens.

Accountants en boekhouders Het Instituut van de Accountants en Belastingconsulenten (ITAA) heeft richtlijnen gepubliceerd over gegevensbeveiliging. Wachtwoorden voor boekhoudsoftware als Winbooks, Bob50 of Octopus mogen niet via onbeveiligde kanalen worden gedeeld, zeker niet met klanten of tijdelijke medewerkers.

Zorginstellingen Belgische ziekenhuizen, woonzorgcentra en thuiszorgorganisaties vallen onder sectorspecifieke regelgeving die de GDPR aanvult. Het delen van toegangsgegevens tot patiëntendossiers is een bijzonder gevoelig onderwerp dat aanvullende waarborgen vereist.

Overheids- en publieke instellingen Gemeenten, OCMW's en publieke agentschappen zijn volwaardige verwerkingsverantwoordelijken onder de GDPR. Ze moeten kunnen aantonen dat ze passende maatregelen hebben getroffen, ook voor de interne uitwisseling van toegangsgegevens.

Een verwerkersovereenkomst voor Belgische organisaties

Wanneer een Belgische organisatie een externe tool gebruikt voor het verwerken van gegevens, is een verwerkersovereenkomst (DPA) vereist onder artikel 28 GDPR. PassTransfer biedt een DPA aan voor organisaties die dit formeel willen vastleggen — een vereiste die zeker relevant is voor grotere ondernemingen en overheidsinstanties.

Conclusie

GDPR-compliant wachtwoorden delen in België is geen theoretisch vraagstuk. De GBA handhaaft actief, en organisaties die geen passende maatregelen kunnen aantonen lopen reëel risico. Met PassTransfer beschik je over een tool die technisch voldoet aan de kernvereisten van artikel 32 GDPR, eenvoudig in gebruik is, en aansluit bij de dagelijkse werkpraktijk van Belgische teams.