Online loonstroken opslaan stelt andere eisen dan het archiveren van vakantiefoto’s. De digitale kluis Arkevia, uitgegeven door Cegedim, richt zich specifiek op de langdurige bewaring van gevoelige HR-documenten. De vraag die zich stelt: welke technische en wettelijke criteria onderscheiden dit type dienst werkelijk van een eenvoudige cloudopslag?
Digitale kluis en cloudopslag: wettelijke onderscheidingscriteria
De verwarring tussen een klassieke opslagruimte en een digitale kluis blijft bestaan omdat de gebruikersinterface vaak op elkaar lijkt. De verschillen liggen onder de oppervlakte, in de technische en juridische garanties.
| Criteria | Klassieke cloudopslag | Digitale kluis (type Arkevia) |
|---|---|---|
| Toegang tot documenten | Host en gebruiker | Alleen gebruiker (en gemachtigden) |
| Versleuteling van inhoud | Variabel, vaak alleen tijdens transport | Versleuteling waardoor gegevens onbegrijpelijk zijn voor niet-gemachtigde derden |
| Archiveringsnorm | Geen specifieke verplichting | NF Z42-020 (integriteit en traceerbaarheid) |
| Gegarandeerde bewaartijd | Afhankelijk van het abonnement | Tot 50 jaar of 75 jaar van de gebruiker |
| Hosting | Frequent internationale servers | Servers gelokaliseerd in Frankrijk |
| Toepasselijk CNIL-kader | Algemene AVG | CNIL-aanbeveling van oktober 2023 over digitale kluizen |
De aanbeveling gepubliceerd door de CNIL in oktober 2023 verduidelijkt dat de term “digitale kluis” specifieke verplichtingen met zich meebrengt. De dienst moet garanderen dat de documenten ontoegankelijk en onbegrijpelijk blijven voor elke niet-gemachtigde derde, inclusief de uitgever zelf. De informatie die aan de gebruiker wordt verstrekt, moet expliciet zijn over het exacte type beschikbare ruimte en de eventuele beperkingen.
Voor alles over Arkevia en zijn kluis, moet men begrijpen dat dit wettelijke onderscheid niet cosmetisch is. Het beïnvloedt de bewijswaarde van de gearchiveerde documenten in geval van een arbeidsconflict of controle.
Norm NF Z42-020 en digitale verzegeling: wat Arkevia werkelijk beschermt
De norm NF Z42-020 regelt de componenten van een digitale kluis in strikte zin. Het definieert de vereisten voor integriteit, traceerbaarheid en teruggave van elektronische documenten op lange termijn.
Arkevia is gebaseerd op een mechanisme van digitale verzegeling dat elke wijziging na indiening voorkomt. Elk ingediend document ontvangt een tijdstempel en een cryptografische handtekening. Als het bestand wordt gewijzigd, zelfs met één byte, komt de handtekening niet meer overeen en is de anomalie detecteerbaar.
Dit systeem verschilt fundamenteel van een eenvoudige versiebeheer van bestanden. In een standaard cloudomgeving kan een document worden overschreven, hernoemd of verwijderd door de gebruiker of de beheerder. In een kluis die voldoet aan NF Z42-020, kan het verzegelde document niet worden gewijzigd of verwijderd vóór de wettelijke termijn.
Beperkingen van de verzegeling in de praktijk
De verzegeling garandeert de integriteit van het ingediende bestand, niet de kwaliteit van het oorspronkelijke document. Als de werkgever een loonstrook indient met een fout, behoudt de kluis deze fout trouw. Correctie vereist een nieuwe indiening, terwijl de oude gearchiveerd blijft met zijn oorspronkelijke tijdstempel.
De omkeerbaarheid van gegevens is een ander opmerkelijk technisch punt. Als het bedrijf van leverancier verandert of zijn activiteiten stopzet, moet de werknemer in staat zijn om al zijn documenten terug te krijgen. Arkevia behoudt de toegang tot de bestanden, zelfs na het vertrek van de werknemer uit het bedrijf, gedurende de hele wettelijke bewaartijd.
Langdurige bewaring van loonstroken: verplichtingen van de werkgever en rechten van de werknemer
De automatisering van de stroom tussen de salarissoftware en de digitale kluis elimineert de handmatige tussenkomst. De loonstroken komen elke maand rechtstreeks in de persoonlijke ruimte van de werknemer, zonder dat hij actie hoeft te ondernemen. Deze werkwijze vermindert de risico’s van verlies die verband houden met papieren distributie of onveilige e-mailverzending.
Drie elementen bepalen de betrouwbaarheid van deze bewaring:
- De wettelijke bewaartijd van 50 jaar (of tot 75 jaar van de werknemer) is van toepassing ongeacht de contractuele relatie tussen de werkgever en de uitgever van de kluis
- De werknemer behoudt een persoonlijke toegang via unieke identificatiegegevens, zelfs na het verlaten van het bedrijf
- Persoonlijke documenten (identiteitsbewijzen, contracten, attesten) kunnen ook worden opgeslagen in een aparte ruimte, gescheiden van de werkgeversruimte
Dit laatste punt wordt vaak onderschat. De gratis persoonlijke ruimte die is geïntegreerd in Arkevia stelt de werknemer in staat om zijn eigen administratieve documenten te centraliseren naast zijn loonstroken. De scheiding tussen de twee ruimtes garandeert dat de werkgever geen toegang heeft tot de persoonlijke bestanden van de werknemer.
CNIL-aanbeveling 2023: concrete impact op digitale HR-kluizen
De aanbeveling van de CNIL van oktober 2023 over digitale kluisdiensten voor particulieren introduceert vereisten die de bestaande inhoud op Arkevia niet in detail beschrijft.
De dienstverlener moet de gebruiker duidelijk informeren over de exacte voorwaarden van de dienst. Dit omvat de gebruikte versleutelingsmethoden, de personen die technisch toegang kunnen krijgen tot de gegevens, en de scenario’s voor teruggave in geval van sluiting van de dienst.
Deze transparantie is niet optioneel. Een dienst die zich presenteert als “digitale kluis” zonder aan deze informatievereisten te voldoen, loopt het risico op herkwalificatie. In de praktijk betekent dit dat de benaming zelf de dienstverlener juridisch bindt op een niveau van bescherming dat hoger is dan eenvoudige opslag.
Isolatie en versleuteling aan de serverzijde
De aanbeveling benadrukt de sterke isolatie tussen gebruikers. In een HR-context waar duizenden werknemers dezelfde technische infrastructuur delen, voorkomt deze isolatie dat een kwetsbaarheid op één account de documenten van een andere werknemer compromitteert.
De versleuteling moet de inhoud onbegrijpelijk maken, zelfs voor het technische personeel van de dienstverlener. Dit niveau van vereiste overstijgt wat de meeste oplossingen voor online opslag voor consumenten aanbieden, waar de host doorgaans de technische mogelijkheid behoudt om de bestanden te lezen.
De bescherming van gevoelige HR-documenten is dus minder afhankelijk van de gebruikersinterface dan van de onderliggende technische architectuur. Een conforme digitale kluis beschermt de bestanden zelfs tegen zijn eigen uitgever, wat het meest betrouwbare criterium blijft om de soliditeit van een oplossing zoals Arkevia te evalueren.