Lokale vs cloud-redactie van persoonsgegevens: wat is veiliger voor vertrouwelijke bestanden?
De meeste online redactietools vragen u iets vreemds: om de vertrouwelijke gegevens uit een bestand te verwijderen, uploadt u eerst het hele vertrouwelijke bestand naar hun servers. Dat is de cloudparadox. Hieronder vindt u een eerlijke vergelijking van redactie van persoonsgegevens op het apparaat versus in de cloud — waar elk in uitblinkt, hoe het zit met naleving, en hoe u kiest.
De cloudparadox
Online redactietools verwerken aan de serverkant: u stuurt het volledige, ongeredigeerde document — de gevoeligste versie ervan — naar de aanbieder, die de identificatoren verwijdert en een schone kopie terugstuurt. In de seconden tot uren daartussen staat uw geheim op de infrastructuur van iemand anders, onder diens bewaarbeleid, diens subverwerkers en diens datalocatie. (Bron: RedactVault.) Tools op het apparaat keren dat om: het bestand wordt verwerkt waar het al staat en er wordt niets geüpload.
Wat de populaire online tools echt met uw bestand doen
“Ze verwijderen het meteen” is geen eenduidige belofte — het hangt volledig af van de tool en het abonnement. iLovePDF zegt dat geüploade bestanden binnen ongeveer twee uur na verwerking worden verwijderd (documenten met e-handtekening blijven langer bewaard). (Bron: iLovePDF.) Smallpdf verwijdert bestanden zonder account ongeveer een uur na verwerking, maar gedeelde en e-ondertekende bestanden blijven 14 dagen bewaard (de teller begint bij elke keer openen opnieuw) en Pro File Storage bewaart ze onbeperkt totdat u ze zelf verwijdert. (Bron: Smallpdf.) Hoe dan ook is het ruwe bestand geüpload — de enige vraag is hoelang het blijft staan.
De nalevingsblootstelling: AVG en HIPAA
Hier weegt de cloud zwaarder voor gereguleerd werk. Onder de AVG is een cloudtool die voor u persoonsgegevens verwerkt een verwerker, en dus vereist artikel 28 een schriftelijke verwerkersovereenkomst voordat de verwerking begint. Een in de VS gevestigde dienst brengt bovendien de doorgifteregels van Hoofdstuk V in werking — standaardcontractbepalingen plus een doorgifte-effectbeoordeling. Onder HIPAA is een cloudaanbieder die ePHI verwerkt een business associate, en die heeft een ondertekende BAA nodig — zelfs een versleutelde “no-view”-dienst waarbij de aanbieder uw platte tekst nooit ziet. (Bron: HHS.) Verwerkt u lokaal, dan is er helemaal geen verwerker — en dus voor de redactiestap geen verwerkersovereenkomst en geen BAA. Bekijk AI gebruiken zonder de AVG te schenden voor het bredere plaatje.
Het toenemende risico van derde partijen
Elke cloud-redactietool is een schakel in een toeleveringsketen — de aanbieder plus diens cloudhost en de OCR- en AI-subverwerkers — en dat is precies de risicocategorie die het snelst groeit. Het Data Breach Investigations Report 2025 van Verizon stelde vast dat het aandeel datalekken waarbij een derde partij betrokken was op jaarbasis verdubbelde van ongeveer 15% naar 30%. (Bron: Verizon 2025 DBIR.) Verwerking op het apparaat laat die schakels simpelweg wegvallen.
Waar de cloud werkelijk wint
Het verhaal is niet eenzijdig. Voor gecentraliseerd werk met hoge volumes is cloud-DLP krachtig: Sensitive Data Protection van Google Cloud de-identificeert op elastische schaal via één API-aanroep — maskeren, cryptografische tokenisatie, datumverschuiving en bucketing over honderden detectoren en OCR van serverklasse, zonder dat u iets hoeft te installeren. (Bron: Google Cloud.) Zakelijke cloud kan ook aan de regels voldoen — Google biedt een HIPAA-BAA die dat product dekt. (Bron: Google Cloud.) De eerlijke kanttekening is structureel: elk van die voordelen komt tot stand doordat uw inhoud naar de aanbieder wordt gestuurd. Veelzeggend is dat zelfs zakelijke on-premise-leveranciers no-upload als premiumkenmerk verkopen — Private AI (nu Limina) promoot een container waarin “uw gegevens uw infrastructuur nooit verlaten.” (Bron: Limina.)
Direct tegenover elkaar
| Dimensie | Lokaal (op het apparaat) | Clouddienst |
|---|---|---|
| Waar bestanden worden verwerkt | Op uw eigen computer | Geüpload naar de servers van de aanbieder |
| Wie uw ruwe persoonsgegevens in handen heeft | Alleen u | U, de aanbieder en diens subverwerkers |
| Upload van het ruwe bestand | Geen | Nodig om te verwerken |
| Werkt offline | Ja, na activering | Nee — een verbinding is vereist |
| Bewaartermijn die u moet vertrouwen | Geen | Het venster van de aanbieder (≈1–2 u tot onbepaald, afhankelijk van het abonnement) |
| AVG- / HIPAA-blootstelling | Geen verwerker; geen verwerkersovereenkomst of BAA voor de redactiestap | Verwerker → verwerkersovereenkomst; PHI → BAA; Amerikaanse host → doorgifteregels |
| Kostenmodel | Eenmalige licentie | Per bestand, abonnement of API-gebruik |
| Schaal en doorvoer | Uw eigen machine | Elastisch, van serverklasse |
| OCR en modellen van serverklasse | Draait lokaal | Krachtig, vaak geüpdatet |
| Omkeerbaar herstel | Ja, via een lokale koppeling | Verschilt per aanbieder |
| Beste toepassing | Vertrouwelijk of gereguleerd werk; individuen en kleine teams | Zeer hoog volume, gecentraliseerde pijplijnen |
Hoe u kiest voor uw situatie
- Kies lokaal als uw bestanden vertrouwelijk of gereguleerd zijn (juridisch, medisch, financieel), als u een individu of klein team bent, als u een verwerkersovereenkomst of BAA en grensoverschrijdende doorgiftes voor de redactiestap wilt vermijden, of als u offline moet kunnen werken — en dat is precies wat Occlira doet: op het apparaat, zonder upload, met echte PDF-redactie (probeer het gratis).
- Kies cloud als u zeer hoge volumes redigeert in een gecentraliseerde pijplijn, u OCR van serverklasse en API-integratie nodig hebt, en u de zakelijke verwerkersovereenkomst of BAA en doorgiftewaarborgen op orde hebt om dit rechtmatig te doen.
Waar Occlira past
Occlira is een lokale app voor redactie van persoonsgegevens voor Windows en macOS. De app spoort persoonsgegevens op en verwijdert ze uit documenten, spreadsheets, e-mail, audio en afbeeldingen op uw eigen computer, brandt echte PDF-redacties in die de onderliggende tekst wissen, en kan omkeerbaar anonimiseren door de koppeling op uw apparaat te bewaren — zonder cloud en zonder account. Zo is er geen upload om te beveiligen, geen bewaarvenster, geen schakel van subverwerkers en ontstaat er ook geen verwerker. Eén eerlijke kanttekening: omkeerbaar anonimiseren is pseudonimiseren, dus die koppeling blijft een persoonsgegeven (dat lokaal wordt bewaard). Bekijk precies wat op uw apparaat blijft op de pagina Data & Privacy Practices.
Veelgestelde vragen
Bij cloud-redactie wordt uw bestand ter verwerking geüpload naar de servers van een aanbieder, waardoor uw ruwe persoonsgegevens uit uw beheer raken. Bij lokale redactie (op het apparaat) gebeurt alles op uw eigen computer, zodat het bestand en de persoonsgegevens die erin staan uw machine nooit verlaten.
Ja. Browsergebaseerde en online redactietools sturen het volledige bestand ter verwerking naar de aanbieder — en dat is nu juist de cloudparadox: om de vertrouwelijke gegevens te verwijderen, uploadt u eerst het hele vertrouwelijke bestand. Sommige tools doen het werk in de browser, maar de meeste verwerken aan de serverkant.
Dat verschilt per tool en per abonnement. iLovePDF zegt verwerkte bestanden binnen ongeveer twee uur te verwijderen (documenten met e-handtekening worden onder aparte voorwaarden langer bewaard). Smallpdf verwijdert bestanden zonder account ongeveer een uur na verwerking, maar gedeelde en e-ondertekende bestanden blijven 14 dagen bewaard, en Pro-opslag houdt ze totdat u ze zelf verwijdert. “Meteen verwijderd” is dus geen eenduidige belofte.
Voor echt vertrouwelijke of gereguleerde bestanden is verwerking op het apparaat de veiligere keuze: bij een online tool staat het ruwe bestand gedurende het bewaarvenster op de servers van een derde partij, blootgesteld aan het datalek- en subverwerkersrisico van die aanbieder. Moet u er toch een gebruiken, controleer dan vooraf de bewaartermijn, de beveiligingscertificeringen en de datalocatie.
Ja. Elke cloudtool die voor u persoonsgegevens verwerkt, is een verwerker, en artikel 28 van de AVG vereist een schriftelijke verwerkersovereenkomst voordat de verwerking begint. Een in de VS gevestigde dienst brengt daarnaast de doorgifteregels van Hoofdstuk V in werking (standaardcontractbepalingen plus een doorgiftebeoordeling). Bij lokale verwerking ontstaat er geen verwerker, dus geen van beide geldt voor de redactiestap.
Ja. Volgens de richtlijnen van HHS is een clouddienst die ePHI verwerkt een business associate, en die heeft een ondertekende BAA nodig — zelfs een versleutelde “no-view”-dienst waarbij de aanbieder uw platte tekst nooit ziet. Een online redactietool op PHI gebruiken zonder BAA is een overtreding, ongeacht de versleuteling.
Ja — voor zeer hoge volumes en gecentraliseerde pijplijnen bieden clouddiensten elastische doorvoer, OCR van serverklasse, niets om te installeren en zakelijke BAA’s en verwerkersovereenkomsten. De keerzijde is dat dit allemaal werkt doordat uw inhoud naar de aanbieder wordt gestuurd. Voor individuen en kleine professionele teams met vertrouwelijke bestanden is verwerking op het apparaat doorgaans de betere afweging.
Ja. Een desktopapp zoals Occlira spoort persoonsgegevens op en maakt ze onleesbaar, volledig op uw computer, en brandt echte PDF-redacties in die de onderliggende tekst verwijderen — zonder upload en zonder account. Bekijk hoe u Word, PDF en Excel onleesbaar maakt.
Houd redactie op uw eigen machine
Maak vertrouwelijke bestanden lokaal onleesbaar en anonimiseer ze, zonder upload. 14 dagen gratis op Windows en macOS.
Meer: wat zijn persoonsgegevens? · audio onleesbaar maken · voor advocatenkantoren · hoe uw gegevens worden verwerkt