Bij het vervangen van een contactcentersysteem zijn de belangrijkste beveiligingseisen: encryptie van klantgegevens (zowel in transit als in opslag), strikte toegangscontrole met meervoudige authenticatie, naleving van de AVG, en aantoonbare certificering van de leverancier op het gebied van informatiebeveiliging. Deze eisen zijn niet optioneel: contactcenters verwerken dagelijks gevoelige persoonsgegevens, en een systeemwissel vergroot tijdelijk het risico op datalekken of compliance-overtredingen. In dit artikel vind je per deelvraag een concreet antwoord, zodat je de beveiliging van je nieuwe systeem goed kunt beoordelen en borgen.
Welke beveiligingsstandaarden zijn van toepassing op contactcentersoftware?
De meest relevante beveiligingsstandaard voor contactcentersoftware is ISO 27001, de internationale norm voor informatiebeveiliging. Daarnaast zijn de AVG (Algemene Verordening Gegevensbescherming), de NEN 7510 (voor zorgorganisaties) en eventueel PCI DSS (als er betalingsgegevens worden verwerkt) van toepassing. Welke standaarden precies gelden, hangt af van jouw sector en het type gegevens dat je verwerkt.
ISO 27001 is de basisnorm die je van elke serieuze contactcenterleverancier mag verwachten. Deze certificering toont aan dat de leverancier een aantoonbaar managementsysteem voor informatiebeveiliging heeft ingericht, inclusief risicoanalyses, incidentbeheer en periodieke audits. Voor organisaties in de publieke sector of nutsvoorzieningen kunnen aanvullende normen zoals de Baseline Informatiebeveiliging Overheid (BIO) relevant zijn.
Naast certificeringen zijn er technische standaarden waaraan de software zelf moet voldoen: TLS-encryptie voor gegevensoverdracht, veilige API-koppelingen, en logging van alle systeemactiviteiten. Controleer of de leverancier transparant is over welke standaarden hij naleeft en of hij bereid is dit aantoonbaar te maken via documentatie of audits.
Hoe worden klantgegevens beschermd tijdens een systeemmigratie?
Tijdens een systeemmigratie worden klantgegevens beschermd door een combinatie van versleuteling, strikte toegangsrechten, gecontroleerde datamigratieprocessen en een duidelijk terugvalplan. De migratiefase is een kwetsbaar moment: gegevens worden verplaatst tussen systemen, en zonder goede beheersmaatregelen vergroot je het risico op onbedoelde blootstelling of verlies.
Concrete maatregelen die je tijdens een migratie moet borgen:
- Encryptie in transit en in opslag: alle data die wordt overgezet, moet versleuteld zijn, zowel tijdens transport als wanneer die tijdelijk wordt opgeslagen.
- Beperkte toegang: alleen geautoriseerde medewerkers en systemen mogen toegang hebben tot de migratieomgeving.
- Dataminimalisatie: migreer alleen de gegevens die echt nodig zijn in het nieuwe systeem. Oude, overbodige data hoef je niet mee te nemen.
- Audit trail: houd bij wie wat wanneer heeft gedaan tijdens de migratie, zodat je bij een incident kunt reconstrueren wat er is gebeurd.
- Testomgeving: voer de migratie eerst uit in een afgeschermde testomgeving voordat je live gaat.
Zorg ook voor een helder terugvalplan. Als de migratie misgaat, moet je snel terug kunnen naar de oude situatie zonder dat klantgegevens verloren gaan of onbeschermd achterblijven.
Wat zijn de AVG-verplichtingen bij het wisselen van contactcenterleverancier?
Bij het wisselen van contactcenterleverancier ben je als verwerkingsverantwoordelijke verplicht om een nieuwe verwerkersovereenkomst af te sluiten, de gegevensoverdracht AVG-conform te regelen, en te controleren of de nieuwe leverancier voldoende waarborgen biedt voor de bescherming van persoonsgegevens. Vergeet ook niet de bestaande verwerkersovereenkomst met de oude leverancier correct te beëindigen en afspraken te maken over de verwijdering van gegevens.
Concreet betekent dit dat je bij een leverancierswissel de volgende stappen doorloopt:
- Sluit een nieuwe verwerkersovereenkomst af met de nieuwe leverancier voordat gegevens worden overgedragen.
- Controleer of de nieuwe leverancier gegevens buiten de EU verwerkt, en zo ja, of er passende waarborgen zijn (zoals standaardcontractbepalingen).
- Leg vast hoe lang de oude leverancier gegevens bewaart na beëindiging en zorg dat hij ze daarna aantoonbaar verwijdert of retourneert.
- Actualiseer je verwerkingsregister om de nieuwe leverancier op te nemen.
- Voer indien nodig een Data Protection Impact Assessment (DPIA) uit, zeker als het nieuwe systeem nieuwe verwerkingen introduceert.
De AVG legt de verantwoordelijkheid bij jou als organisatie, niet bij de leverancier. Zorg dat je dit proces documenteert, zodat je bij een eventuele toezichthoudercontrole kunt aantonen dat de leverancierswissel AVG-conform is verlopen.
Welke toegangs- en authenticatie-eisen moet een nieuw systeem ondersteunen?
Een nieuw contactcentersysteem moet minimaal ondersteuning bieden voor meervoudige authenticatie (MFA), rolgebaseerde toegangscontrole (RBAC), Single Sign-On (SSO) en gedetailleerde logging van gebruikersactiviteiten. Deze eisen zijn essentieel om ongeautoriseerde toegang tot klantgegevens te voorkomen en om te voldoen aan de eisen van de AVG en ISO 27001.
Meervoudige authenticatie is tegenwoordig een basisvereiste, geen extra. Medewerkers die toegang hebben tot klantgegevens moeten hun identiteit kunnen bevestigen via een tweede factor, zoals een authenticator-app. Dit geldt zeker voor thuiswerkers en medewerkers die via externe netwerken inloggen.
Rolgebaseerde toegangscontrole zorgt ervoor dat medewerkers alleen de gegevens en functionaliteiten kunnen zien die ze voor hun werk nodig hebben. Een medewerker in de eerstelijnsopvang hoeft geen toegang te hebben tot rapportages over personeelsprestaties of historische klantdossiers van andere afdelingen.
Controleer ook of het systeem integreert met je bestaande identiteitsbeheeroplossing, zoals Microsoft Entra ID (voorheen Azure AD). SSO vermindert het risico van zwakke wachtwoorden en maakt het eenvoudiger om toegang in te trekken als een medewerker de organisatie verlaat.
Hoe beoordeel je de beveiliging van een nieuwe contactcenterleverancier?
Je beoordeelt de beveiliging van een nieuwe contactcenterleverancier door te kijken naar zijn certificeringen, het beveiligingsbeleid, de locatie van dataopslag, de beschikbaarheid van auditrapportages en zijn trackrecord bij incidenten. Vraag altijd om concrete documentatie en neem geen genoegen met algemene beloften.
Een gestructureerde beoordeling loopt langs de volgende punten:
- Certificeringen: heeft de leverancier een geldig ISO 27001-certificaat? Vraag naar het certificeringsbereik en de meest recente auditdatum.
- Datalocatie: waar worden gegevens opgeslagen en verwerkt? Bij voorkeur binnen de EU, tenzij er passende AVG-waarborgen zijn voor verwerking buiten de EU.
- Penetratietesten: laat de leverancier regelmatig onafhankelijke beveiligingstesten uitvoeren? Vraag naar de frequentie en of samenvattingen beschikbaar zijn.
- Incidentrespons: hoe snel meldt de leverancier een datalek aan jou? De AVG vereist dat jij als verwerkingsverantwoordelijke een datalek binnen 72 uur meldt bij de Autoriteit Persoonsgegevens.
- Subverwerkers: welke derde partijen heeft de leverancier ingeschakeld, en zijn die ook AVG-conform?
Neem bij twijfel contact op met referenties van vergelijkbare organisaties die al met de leverancier werken. Praktijkervaringen geven vaak meer inzicht dan documentatie alleen.
Wat moet er in een verwerkersovereenkomst met een contactcenterleverancier staan?
Een verwerkersovereenkomst met een contactcenterleverancier moet minimaal bevatten: het doel en de rechtsgrond van de verwerking, de categorieën persoonsgegevens en betrokkenen, de beveiligingsmaatregelen die de verwerker treft, afspraken over subverwerkers, de bewaartermijnen en de procedure bij datalekken. Dit is geen formaliteit: een ontbrekende of onvolledige verwerkersovereenkomst is een AVG-overtreding.
Zorg dat de overeenkomst ook de volgende elementen bevat:
- Instructierecht: de verwerker handelt uitsluitend op jouw instructie en mag gegevens niet voor eigen doeleinden gebruiken.
- Geheimhoudingsplicht: medewerkers van de leverancier die toegang hebben tot klantgegevens zijn gebonden aan geheimhouding.
- Auditrecht: jij hebt het recht om de naleving van de overeenkomst te controleren, direct of via een onafhankelijke auditor.
- Meldplicht datalekken: de leverancier meldt een beveiligingsincident zo snel mogelijk aan jou, zodat jij de wettelijke meldtermijn van 72 uur kunt halen.
- Verwijdering of retournering van gegevens: na beëindiging van de overeenkomst worden alle persoonsgegevens aantoonbaar verwijderd of aan jou teruggegeven.
Laat de verwerkersovereenkomst altijd beoordelen door een jurist met AVG-expertise voordat je tekent. Een standaardovereenkomst van de leverancier is een goed startpunt, maar controleer altijd of deze volledig aansluit op jouw situatie en verwerkingen.
Hoe Pegamento helpt bij een veilige overgang naar een nieuw contactcentersysteem
Een contactcentersysteem vervangen is niet alleen een technisch project, maar ook een beveiligings- en compliance-vraagstuk. Wij begeleiden organisaties door het volledige traject: van de eerste analyse van beveiligingseisen en AVG-verplichtingen tot de implementatie, integratie en doorlopende optimalisatie van je nieuwe omgeving. Alles onder één dak, zonder complex leveranciersmanagement of versnipperde verantwoordelijkheden.
Wat we voor je regelen:
- Beoordeling van de beveiligingseisen en compliance-verplichtingen die voor jouw organisatie gelden
- Selectie en implementatie van een contactcentersysteem dat voldoet aan ISO 27001, AVG en sectorspecifieke normen
- Inrichting van toegangscontrole, MFA en SSO-integraties die passen bij jouw IT-omgeving
- Begeleiding bij het opstellen en beoordelen van verwerkersovereenkomsten
- Een gecontroleerd migratieproces waarbij klantgegevens veilig worden overgezet naar de nieuwe omgeving
- Integratie met bestaande kanalen via omnichannelcommunicatie, zodat beveiliging en bereikbaarheid hand in hand gaan
We werken met bewezen modules die we slim combineren op basis van jouw processen en doelstellingen. Geen kostbaar maatwerk, maar een samenhangende oplossing met één aanspreekpunt voor het totaalpakket. Wil je weten hoe een veilige en gecontroleerde systeemwissel eruitziet voor jouw organisatie? Neem contact met ons op voor een vrijblijvend gesprek.
Veelgestelde vragen
Hoe lang duurt het gemiddeld om een contactcentersysteem veilig te migreren?
De doorlooptijd van een veilige migratie hangt af van de complexiteit van je huidige omgeving, het aantal integraties en de hoeveelheid te migreren gegevens. Gemiddeld rekenen organisaties op een doorlooptijd van drie tot zes maanden, inclusief de voorbereidingsfase, testomgeving en livegang. Haast is de grootste vijand van een veilige migratie: plan voldoende tijd in voor het testen van beveiligingsmaatregelen en het uitvoeren van een gecontroleerde overdracht.
Wat zijn de meest voorkomende beveiligingsfouten bij het wisselen van contactcenterleverancier?
De meest gemaakte fouten zijn: het te laat afsluiten van een verwerkersovereenkomst, het niet aantoonbaar verwijderen van gegevens bij de oude leverancier, en het overslaan van een DPIA terwijl het nieuwe systeem nieuwe verwerkingen introduceert. Ook wordt MFA regelmatig pas achteraf ingesteld in plaats van direct bij de livegang. Door deze stappen proactief in je migratieplan op te nemen, voorkom je compliance-overtredingen en beveiligingslekken.
Moet ik klanten of medewerkers informeren als ik overstap naar een nieuw contactcentersysteem?
In de meeste gevallen ben je niet wettelijk verplicht om klanten actief te informeren over een leverancierswissel, mits de verwerking van hun gegevens inhoudelijk niet verandert en je privacyverklaring actueel is. Wel moet je je verwerkingsregister bijwerken en controleren of de nieuwe verwerking al gedekt is door je bestaande privacyverklaring. Voor medewerkers geldt dat je hen tijdig moet informeren over nieuwe inlogprocedures, MFA-vereisten en eventuele wijzigingen in hun toegangsrechten.
Wat moet ik doen als de nieuwe contactcenterleverancier gegevens buiten de EU opslaat?
Als de leverancier gegevens verwerkt of opslaat buiten de Europese Economische Ruimte (EER), ben je als verwerkingsverantwoordelijke verplicht om passende AVG-waarborgen te treffen. De meest gebruikte maatregel zijn de EU Standard Contractual Clauses (SCC’s), die je samen met de leverancier ondertekent. Controleer daarnaast of het betreffende land door de Europese Commissie als adequaat is erkend, en voer zo nodig een Transfer Impact Assessment (TIA) uit om de risico’s in kaart te brengen.
Hoe weet ik of mijn organisatie een DPIA moet uitvoeren bij de overstap naar een nieuw contactcentersysteem?
Een Data Protection Impact Assessment (DPIA) is verplicht als het nieuwe systeem een hoog privacyrisico introduceert, bijvoorbeeld door grootschalige verwerking van gevoelige persoonsgegevens, systematische monitoring van medewerkers of klanten, of het gebruik van nieuwe technologieën zoals AI-gestuurde gespreksanalyse. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is. Bij twijfel is het verstandig om een beknopte pre-screening uit te voeren met een AVG-jurist voordat je definitief besluit of een volledige DPIA nodig is.
Hoe regel ik de intrekking van toegangsrechten bij de oude leverancier na de migratie?
Zorg dat je in de beëindigingsafspraken met de oude leverancier vastlegt op welke datum alle toegangsrechten worden ingetrokken en hoe dit aantoonbaar wordt bevestigd. Vraag om een schriftelijke bevestiging dat alle persoonsgegevens zijn verwijderd of aan jou zijn teruggegeven, en leg dit vast in je verwerkingsregister. Vergeet ook interne accounts niet: medewerkers die toegang hadden tot het oude systeem moeten tijdig worden uitgeschreven, zodat er geen sluimerende toegangsrechten achterblijven.
Welke vragen moet ik stellen aan een contactcenterleverancier tijdens het selectieproces om de beveiliging goed te beoordelen?
Stel in ieder geval de volgende vragen: Welke ISO 27001-certificering heeft u, en wat is het certificeringsbereik? Waar worden klantgegevens opgeslagen en verwerkt? Hoe snel meldt u een beveiligingsincident aan ons? Welke subverwerkers schakelt u in, en zijn die AVG-conform? En: kunt u een samenvatting van uw meest recente penetratietest overleggen? Leveranciers die op deze vragen geen concrete antwoorden kunnen geven of documentatie weigeren te delen, zijn een risicosignaal.
Gerelateerde artikelen
- Hoe organiseer je een gefaseerde overstap naar een nieuw contactcentersysteem?
- Hoe start je een VoC strategie binnen je organisatie?
- Hoe implementeer je verantwoorde AI in je contactcenter stap voor stap?
- Waarom daalt je NPS – en wat kun je er concreet aan doen?
- Welke voordelen biedt RPA voor bedrijven?
