# Security en AVG bij remote developers

URL: https://brainpowergroup.eu/nl/blog/security-en-avg-bij-remote-developers
Datum: 2025-04-17 (bijgewerkt 2026-10-01)
Door: Erik Schoorl, Brainpower Group

Geef remote developers een beheerde laptop, één account met tweestapsverificatie en geen echte persoonsgegevens. Toegang uit Servië kan onder de AVG doorgifte zijn.

Als remote developers aan je software werken, regel je vooraf een beheerde laptop, één account per persoon met tweestapsverificatie, zo min mogelijk persoonsgegevens binnen hun bereik, een verwerkersovereenkomst en een vaste procedure voor als iemand vertrekt. Dat zijn grotendeels dezelfde maatregelen als voor developers op kantoor, met één verschil: zodra iemand buiten de EER persoonsgegevens kan inzien, kan dat onder de AVG een doorgifte naar een derde land zijn.

## Een beheerde laptop

Laat developers niet op hun eigen laptop aan jouw code werken. Een beheerde laptop heeft schijfversleuteling aan, installeert updates automatisch, vergrendelt het scherm en is op afstand te wissen. Met een MDM-oplossing zie je ook of dat zo blijft.

Bij ons werken developers op beheerde, versleutelde laptops die wij regelen. Werk je met een andere partij, vraag dan hoe die dat doet en wie de laptops beheert.

## Toegang via één account

Elke developer heeft één persoonlijk account in je identity provider, met SSO en tweestapsverificatie. Met dat account logt hij in op de repository, de cloudconsole, de tickets en de chat. Gebruik geen gedeelde accounts. Met één persoonlijk account zet je bij vertrek ook alles in één keer uit.

Geef rechten op basis van wat iemand nodig heeft. Een developer krijgt schrijfrechten op de repository en toegang tot de testomgeving. Productie is voor een klein aantal mensen, per rol en liefst tijdelijk, en je logt wie er wanneer in zat. Secrets horen in een vault en niet in een .env-bestand dat via de chat rondgaat. Meer daarover lees je in [secrets en API-keys veilig beheren](/nl/blog/secrets-en-api-keys-veilig-beheren).

## Houd persoonsgegevens uit de ontwikkelomgeving

De eenvoudigste AVG-maatregel is dat developers geen echte persoonsgegevens nodig hebben. Werk in ontwikkeling en test met synthetische data of met een geanonimiseerde kopie. Artikel 32 van de AVG noemt pseudonimisering en versleuteling als voorbeelden van passende maatregelen.

Soms moet iemand een probleem in productie onderzoeken. Spreek dan af wie dat mag, via welke weg, en dat die toegang gelogd wordt. Met centraal beheerde accounts is dat weinig extra werk.

## Toegang van buiten de EER

De EDPB schrijft in zijn richtlijnen over doorgifte dat ook toegang op afstand vanuit een derde land een doorgifte is, zelfs als iemand de gegevens alleen op een scherm ziet. Dat geldt als aan drie criteria is voldaan. Een daarvan is dat de gegevens beschikbaar komen voor een andere verwerkingsverantwoordelijke of verwerker. Een eigen medewerker die op reis inlogt, valt er volgens dezelfde richtlijnen niet onder.

Servië staat niet op de lijst van landen met een adequaatheidsbesluit van de Europese Commissie. Is er sprake van doorgifte, dan heb je een doorgifte-instrument nodig, meestal de standaardcontractbepalingen die de Commissie in juni 2021 vernieuwde. Of het in jouw situatie om doorgifte gaat, hangt af van wie de developer in dienst heeft en welke rol elke partij speelt. Laat je jurist of functionaris gegevensbescherming dat vastleggen.

## De verwerkersovereenkomst

Verwerkt een externe partij namens jou persoonsgegevens, dan sluit je een verwerkersovereenkomst. Artikel 28 van de AVG bepaalt wat erin moet. Voor remote developers zijn dit de belangrijkste punten:

- Iedereen die bij de gegevens kan, heeft geheimhouding getekend of is er wettelijk aan gebonden.
- De verwerker neemt de beveiligingsmaatregelen uit artikel 32.
- Subverwerkers komen er alleen bij met jouw schriftelijke toestemming.
- Na afloop verwijdert de verwerker de gegevens of geeft hij ze terug, naar jouw keuze, en wist hij bestaande kopieën.

Spreek ook af hoe snel de verwerker een datalek bij jou meldt. Artikel 33 zegt "zonder onredelijke vertraging", terwijl jij als verwerkingsverantwoordelijke een lek dat risico's oplevert waar mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens moet melden. Leg daarom een concrete termijn vast, bijvoorbeeld binnen 24 uur.

## Als je onder NIS2 valt

Valt je organisatie onder NIS2, dan horen remote developers bij je toeleveringsketen. Artikel 21 van de richtlijn noemt onder meer beveiliging van de toeleveringsketen, toegangsbeleid en, waar passend, meerfactorauthenticatie. Vraag je leverancier dus hoe die dat geregeld heeft, en leg het vast. Wat NIS2 verder voor een developmentteam betekent, staat in [NIS2 en je developmentteam](/nl/blog/nis2-en-je-developmentteam).

## Als iemand vertrekt

Bij ons kun je per maand op- of afschalen, dus een developer die vertrekt, hoort bij het normale werk. Maak er een checklist van die je dezelfde dag afwerkt:

1. Zet het account in de identity provider uit. Via SSO gaan de meeste systemen dan tegelijk dicht.
2. Trek persoonlijke tokens, SSH-sleutels en API-keys in die buiten SSO om werken.
3. Roteer gedeelde secrets waar de developer bij kon.
4. Controleer systemen die niet aan SSO hangen, zoals oudere beheerpanelen of accounts bij externe diensten.
5. Laat de laptop inleveren of op afstand wissen.

Loop daarnaast elke maand de lijst met accounts na, want als iemand een account misbruikt dat niemand meer gebruikt, valt dat niemand op. Hoe wij laptops, accounts en toegang regelen, staat bij onze [werkwijze](/nl/werkwijze).

## Bronnen

- [EDPB, Guidelines 05/2021 over de wisselwerking tussen artikel 3 en hoofdstuk V van de AVG](https://www.edpb.europa.eu/documents/guideline/guidelines-052021-on-the-interplay-between-the-application-of-article-3-and-the_en)
- [Europese Commissie, adequaatheidsbesluiten](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en)
- [Europese Commissie, standaardcontractbepalingen](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en)
- [AVG, Verordening (EU) 2016/679, op EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [NIS2-richtlijn, Richtlijn (EU) 2022/2555, op EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

## Veelgestelde vragen

**Is toegang tot persoonsgegevens vanuit Servië een doorgifte onder de AVG?**

Dat kan. Volgens de EDPB telt ook toegang op afstand vanuit een land buiten de EER als doorgifte, als aan de drie criteria uit zijn richtlijnen is voldaan. Servië heeft geen adequaatheidsbesluit van de Europese Commissie, dus dan heb je een doorgifte-instrument nodig, zoals de standaardcontractbepalingen.

**Heb je een verwerkersovereenkomst nodig met een nearshore partij?**

Ja, zodra die partij namens jou persoonsgegevens verwerkt. Artikel 28 van de AVG bepaalt wat erin moet, waaronder geheimhouding, beveiligingsmaatregelen, regels voor subverwerkers en het verwijderen of teruggeven van de gegevens na afloop.

**Wat regel je als een remote developer vertrekt?**

Zet dezelfde dag het account in je identity provider uit, trek tokens en sleutels in, roteer de secrets waar hij bij kon en laat de laptop wissen. Met centraal beheerde accounts is dat een korte checklist.

---

Bron: https://brainpowergroup.eu/nl/blog/security-en-avg-bij-remote-developers
Brainpower Group, contact: https://brainpowergroup.eu/nl/contact, hello@brainpowergroup.eu