Bestanden veilig delen: instellingen, AVG en kosten voor mkb

Wat veilig delen met Google Workspace per jaar kost voor 1, 5 of 10 gebruikers, staat in de kostentabel. Welke aanpak bij jouw bedrijf past, zie je in de tabel per situatie. Zes documentomgevingen naast elkaar, met prijs, opslag, versiebeheer en samenwerking, vind je in de vergelijking van documentbeheersoftware, en wat je hele softwarepakket per maand kost reken je uit met de tool-stack-planner.

Waarom is een gedeelde link veiliger dan een e-mailbijlage?

Met een bijlage stuur je een kopie van het hele bestand mee. Die kopie staat daarna bij de ontvanger, en je kunt hem niet meer terughalen of laten verlopen. Bij een link blijft het bestand op één plek staan. Het NCSC beschrijft hoe dat werkt bij file-transferdiensten: je uploadt het bestand, de dienst bewaart het online en de ontvanger krijgt alleen een downloadlink, niet het bestand zelf (bron: ncsc.nl, “File transferring services”).

Het voordeel zit in wat je daarna nog kunt doen. In een zakelijke cloudomgeving kies je wie de link mag openen, zet je een vervaldatum en trek je de toegang in als iemand die niet meer nodig heeft. Dat is precies wat bij een bijlage ontbreekt. Het NCSC waarschuwt wel dat een link ook risico’s heeft: zonder inlog of wachtwoord kan iedereen die de link doorgestuurd krijgt het bestand openen.

Werk je al in de cloud, kijk dan eerst naar je eigen pakket. Volgens het NCSC kan je huidige softwarepakket vaak al (grote) bestanden delen, en zit dat vaak in de prijs inbegrepen. Een losse transferdienst heb je dan vaak niet nodig.

Waar moet zakelijke deelsoftware aan voldoen?

Het NCSC geeft in zijn informatie over de cloud een duidelijke ondergrens: de applicaties zijn minstens afgeschermd met een gebruikersnaam, een wachtwoord en tweefactorauthenticatie. Daarnaast moet je helder hebben wie welke toegang heeft en aandacht besteden aan auditlogs, die onder meer bijhouden wie wanneer inlogt en welke acties die persoon uitvoert (bron: ncsc.nl, “Geavanceerde informatie over de cloud”). Wachtwoorden alleen zijn volgens het NCSC niet voldoende: wie een wachtwoord in handen krijgt, kan zich voordoen als de eigenaar van het account (bron: NCSC-factsheet “Gebruik tweefactorauthenticatie”).

Bij de keuze van een cloudleverancier noemt het NCSC verder afspraken over versleuteling, wie er bij je informatie kan, back-ups met een hersteltest, wat er gebeurt bij een verstoring en in welk land je data staat (bron: ncsc.nl, “Kiezen van een cloudleverancier”). De rechten per persoon en de vervaldatum komen uit de handleidingen van de pakketten zelf. Zo ontstaat deze lijst:

Hoe Google Workspace en Microsoft 365 op beveiliging en datalocatie verschillen, lees je in Google Workspace vs Microsoft 365.

Hoe deel je een bestand veilig, stap voor stap?

1. Controleer het bestand voordat je het deelt

De Autoriteit Persoonsgegevens raadt aan elk document vóór het delen te controleren. Let vooral op bijzondere persoonsgegevens en grote hoeveelheden gegevens, want dan is het risico op schade groter. Persoonsgegevens kunnen verborgen zitten in metadata (zoals de auteur), in bijgehouden wijzigingen en opmerkingen, en in EXIF-gegevens van foto’s, zoals de plek waar een foto is gemaakt. Een bestand dat groter is dan je zou verwachten, kan volgens de AP op verborgen informatie wijzen.

Bij spreadsheets is het risico volgens de AP in het algemeen groot. Rijen, kolommen of werkbladen verbergen haalt de gegevens niet weg, net zo min als ze naar een afgelegen kolom verplaatsen. Ook draaitabellen kunnen nog gekoppeld zijn aan de oorspronkelijke gegevens. Gebruik de functie “Document controleren” in Word en Excel om verborgen inhoud te vinden, en stuur alleen de gegevens mee die de ontvanger nodig heeft.

2. Deel met personen, niet met iedereen die de link heeft

Een link die voor iedereen werkt, is in Google Drive letterlijk zo ingesteld: iedereen op internet die de link heeft, kan het bestand openen zonder in te loggen (bron: support.google.com, “Bestanden en mappen in Google Drive delen”). Kies voor vertrouwelijke stukken daarom “Beperkt” en voeg de ontvangers met hun e-mailadres toe. Wordt de link dan doorgestuurd, dan kan de nieuwe ontvanger hem niet openen.

3. Geef alleen de rechten die nodig zijn

Kijken, reageren of bewerken: kies de laagste rol die volstaat. In Google Drive kunnen bewerkers standaard ook rechten wijzigen en het bestand met anderen delen. Dat zet je uit in de instellingen van het delen. Je kunt daar ook downloaden, kopiëren en afdrukken uitzetten, voor kijkers en reageerders en ook voor bewerkers. Let op: rechten op een map gelden voor alle bestanden erin, en je kunt iemand op één bestand geen lagere rol geven dan op de map. Zet een gevoelig bestand daarom in een eigen map.

4. Zet een vervaldatum op de toegang

Toegang die niemand intrekt, blijft bestaan. In Google Drive voeg je per persoon een vervaldatum toe, met een datum binnen één jaar. Dat kan met een werk- of schoolaccount, dus met Google Workspace, en bij mappen alleen voor de rol Kijker (Google Drive Help). Kies een datum die past bij het project of de termijn van de offerte.

5. Stuur een wachtwoord via een ander kanaal

Gebruik je een dienst waarbij de ontvanger een wachtwoord nodig heeft, deel dat wachtwoord dan nooit in hetzelfde bericht als de link. Het NCSC raadt een ander kanaal aan dan e-mail, zoals een sms. Gaat de link per ongeluk naar de verkeerde persoon, dan heeft die nog steeds geen toegang.

6. Ruim op na afloop

Trek de toegang in zodra het bestand is ontvangen of het project klaar is: in Google Drive via het menu Delen, bij de persoon “Toegang intrekken”. In het detailvenster van een bestand zie je onder “Toegang beheren” wie er nog bij kan. Vertrekt een medewerker, neem dit dan mee in je vertrekprocedure. Hoe je die opzet voor accounts en wachtwoorden, staat in wachtwoorden veilig beheren.

Hoe stel je veilig delen in bij Google Workspace?

Als beheerder regel je de meeste punten voor het hele bedrijf tegelijk, zodat het niet afhangt van wat iemand op vrijdagmiddag aanklikt. Drie instellingen in de Google Beheerdersconsole:

• Extern delen beperken. Je bepaalt of medewerkers bestanden kunnen delen met mensen buiten je organisatie, je kunt een waarschuwing laten tonen voordat ze dat doen, en je kunt extern delen beperken tot vertrouwde domeinen. Dit kan in alle versies van Google Workspace (bron: support.google.com, “Extern delen beheren voor uw organisatie”). Zet je extern delen uit, dan verliezen externe gebruikers ook de toegang tot wat eerder met ze is gedeeld.
• Tweestapsverificatie afdwingen. Je kunt tweestapsverificatie verplicht stellen voor alle gebruikers of voor bepaalde groepen, met een startdatum. Voor beheerdersaccounts dwingt Google het zelf al af (bron: support.google.com, “Tweestapsverificatie implementeren”).
• Gegevensregio kiezen. Met een gegevensregio laat je bepaalde gegevens opslaan in de Europese Unie. Dat kan vanaf Business Standard, niet in Business Starter (bron: support.google.com, “Een geografische locatie kiezen voor je gegevens”).

Plannen, opslag per gebruiker en wat Google per onderdeel biedt, staan in de Google Workspace review.

Hoe beveilig je cloudbestanden die al online staan?

Veilig delen gaat over één bestand. De bestanden die al in je cloud staan, verdienen dezelfde aandacht: wie één account overneemt, kan bij alles wat dat account mag openen.

Tweefactorauthenticatie voor iedereen. De NCSC-ondergrens geldt voor elk account met toegang tot bedrijfsbestanden, niet alleen voor de directie. Geef externen zoals een boekhouder of freelancer een eigen account in plaats van een gedeelde login: het NCSC raadt persoonsgebonden accounts aan en generieke, gedeelde accounts af (basisprincipe 4).

Toegang per functie. Geef medewerkers toegang tot de mappen die ze voor hun werk nodig hebben en loop de rechten na als iemand van functie wisselt of vertrekt. Bij persoonsgegevens verwacht de AP dat al bij een vrij laag risico: een gedetailleerde, actuele autorisatiematrix. Hoe je die opzet, staat in wachtwoorden veilig beheren.

Versleutel het gevoeligste zelf. Het NCSC noemt het zelf versleutelen van belangrijke informatie vóór het opslaan bij een cloudleverancier, met een sleutel die alleen jij hebt. Kies dan software met een sterk algoritme, zoals AES-256. Het nadeel volgens het NCSC: raak je de sleutel kwijt, dan zijn de bestanden voorgoed onleesbaar, ook voor de leverancier.

Back-ups die je hebt getest. Maak volgens het NCSC afspraken over hoe vaak een back-up wordt gemaakt, hoe ver je terug kunt en of er een hersteltest wordt gedaan om zeker te weten dat de back-up werkt.

Weet waar je data staat. Staat de opslag buiten de EU, of komt de leverancier uit een land buiten de EU, dan kan dat volgens het NCSC gevolgen hebben voor de persoonsgegevens die je er opslaat. Het NCSC noemt als voorbeeld dat de Amerikaanse overheid op grond van wetgeving informatie kan vorderen van Amerikaanse bedrijven. Bespreek de locatie met je leverancier en leg die zo nodig vast.

Meer maatregelen voor je hele bedrijf, van updates tot back-ups, vind je in cybersecurity voor het mkb. Werken medewerkers vanuit huis of onderweg, dan kan het NCSC-advies om de clouddienst alleen via bepaalde IP-adressen of een VPN bereikbaar te maken relevant zijn; zakelijke VPN-diensten staan in de VPN-vergelijking.

Hoe verstuur je grote of zeer gevoelige bestanden?

Voor een bouwtekening, een video of een groot exportbestand werkt een link uit je eigen cloudomgeving het best. Kan dat niet en kies je een losse file-transferdienst, let dan op de punten die het NCSC noemt:

• Versleuteling, bij voorkeur end-to-end: het bestand wordt vóór het uploaden versleuteld en pas bij het downloaden weer ontsleuteld.
• Inloggen of een wachtwoord voor het downloaden, zodat een doorgestuurde link niet genoeg is.
• Bewaartermijn: hoe lang de dienst je bestand bewaart, wat er daarna mee gebeurt en of je het zelf kunt verwijderen.
• Privacyvoorwaarden: mag de dienst de inhoud scannen voor advertenties of voor eigen doeleinden gebruiken?
• Inzicht in downloads: sommige diensten laten zien wie het bestand heeft gedownload.

Voor de gevoeligste stukken kun je het bestand ook zelf versleutelen voordat je het uploadt. Dat is volgens het NCSC omslachtiger, maar dan weet je zeker dat alleen jij het wachtwoord hebt. Wil je het wachtwoord van zo’n bestand bewaren en delen zonder mail, gebruik dan een zakelijke wachtwoordmanager.

Wat vraagt de AVG als je bestanden met persoonsgegevens deelt?

De AVG geldt voor de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, dus ook voor een klantbestand in een gedeelde map. Drie punten raken het delen direct.

Passende beveiliging. Artikel 32 AVG vraagt maatregelen die passen bij het risico, waar passend onder meer versleuteling en pseudonimisering, het blijvend waarborgen van vertrouwelijkheid, integriteit en beschikbaarheid, het tijdig kunnen herstellen na een incident en het op gezette tijden testen van je maatregelen. Staan je bestanden bij een cloudleverancier, dan blijf jij volgens het NCSC verantwoordelijk door wet- en regelgeving als de AVG.

Een verwerkersovereenkomst met je leverancier. Verwerkt een cloudleverancier persoonsgegevens voor jou, dan is die leverancier een verwerker. Volgens de Autoriteit Persoonsgegevens moeten jullie dan een schriftelijke verwerkersovereenkomst hebben; zonder die afspraken ben je in overtreding.

Beleid en training. De AP raadt aan het delen en publiceren van documenten op te nemen in je privacybeleid, met de procedures en de bewaartermijnen die je hanteert, en medewerkers daarin te trainen. Dat geldt ook voor gegevens die je met een verzekeraar of arbodienst uitwisselt. Deel daarbij niet meer dan nodig is. Lever je verzuimgegevens aan bij een verzuimverzekeraar, lees dan ook deze uitleg over declareren van een verzuimverzekering. Personeelsdossiers zelf beheer je het best in een systeem met rechten per rol; pakketten daarvoor staan in digitaal personeelsdossier software.

Wat de AVG verder betekent voor documentopslag, lees je in AVG en documentbeheer.

Wat doe je als een bestand bij de verkeerde persoon belandt?

1. Trek de toegang direct in of verwijder het bestand uit de gedeelde map.
2. Stel vast wat er gelekt is. Staan er persoonsgegevens in en heeft een onbevoegde er toegang toe gehad, dan is het een datalek. Met een auditlog of het overzicht van wie toegang had, zie je sneller wat er is gebeurd.
3. Meld het binnen 72 uur nadat je het ontdekte bij de Autoriteit Persoonsgegevens, via het meldloket datalekken, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 AVG). Het NCSC raadt aan bij twijfel toch te melden: dat kan vrijwel nooit kwaad, en blijkt er geen datalek te zijn, dan vul je de melding aan (bron: ncsc.nl, “Melden van een datalek”).
4. Informeer zo nodig de betrokkenen. Levert het lek waarschijnlijk een hoog risico op voor hun rechten en vrijheden, dan moet je ook de mensen van wie de gegevens zijn gelekt onverwijld informeren (artikel 34 AVG).

Was het bestand versleuteld en is de sleutel nog veilig, dan hoef je het volgens het NCSC niet te melden, tenzij je zelf de toegang tot de gegevens kwijt bent. Hoe je medewerkers leert phishingberichten te herkennen, staat in de phishing-checklist.

Welke aanpak past bij jouw bedrijf?

Wat kost veilig delen met Google Workspace?

De deelinstellingen uit deze pagina (delen per persoon, vervaldatum, downloaden blokkeren, extern delen beperken, tweestapsverificatie afdwingen) zitten in elk Business-abonnement van Google Workspace. Het verschil zit in opslag, de gegevensregio en archivering:

Prijzen met een contract van 1 jaar, maandelijks gefactureerd, van de prijspagina van Google, gecontroleerd op 12 november 2026. De pagina vermeldt niet of de bedragen in- of exclusief btw zijn. Nieuwe klanten krijgen op dit moment tijdelijk tot 50% korting op de eerste 3 maanden; die korting zit niet in de tabel. Elk abonnement kun je 14 dagen gratis proberen.

Voor 10 gebruikers betaal je voor Business Standard €816 per jaar meer dan voor Starter. Daarvoor krijg je onder meer de gegevensregio en 2 TB in plaats van 30 GB opslag per gebruiker. Heb je alleen deelrechten en tweestapsverificatie nodig, dan volstaat Starter.

• Kies Business Starter als je bestanden vooral met klanten deelt en de opslag van 30 GB per gebruiker genoeg is.
• Kies Business Standard als je persoonsgegevens in de EU wilt laten opslaan of meer opslag nodig hebt.
• Kies Business Plus als je gegevens moet kunnen bewaren, archiveren en doorzoeken (Vault en eDiscovery).

Een subsidie helpt hier niet: de regeling Mijn Cyberweerbare Zaak sluit algemene abonnementen zoals Google Workspace uit, net als cloudwerkplekken (RVO). Kosten over drie jaar naast Microsoft 365 staan in het rekenvoorbeeld.

Probeer Google Workspace 14 dagen gratis →

Bronnen

Gecontroleerd op 12 november 2026:

• NCSC: File transferring services (ncsc.nl/cloud/file-transferring-services)
• NCSC: Geavanceerde informatie over de cloud (ncsc.nl/cloud/geavanceerde-informatie-over-de-cloud)
• NCSC: Kiezen van een cloudleverancier (ncsc.nl/cloud/kiezen-van-een-cloudleverancier)
• NCSC: Factsheet Gebruik tweefactorauthenticatie (via digitaltrustcenter.nl)
• NCSC: Melden van een datalek (ncsc.nl/wet-en-regelgeving/melden-van-een-datalek)
• NCSC: Basisprincipe 4, beheer toegang tot data en diensten (ncsc.nl/basisprincipes)
• Autoriteit Persoonsgegevens: Toegang tot persoonsgegevens
• Autoriteit Persoonsgegevens: Datalek voorkomen bij documenten publiceren of delen
• Autoriteit Persoonsgegevens: Verwerkersovereenkomst
• EUR-Lex: Verordening (EU) 2016/679 (AVG), artikelen 32 tot en met 34
• RVO: Mijn cyberweerbare zaak (MCZ)
• Google Drive Help: Bestanden en mappen in Google Drive delen en de toegang ertoe beheren (support.google.com)
• Google Workspace Beheerdershulp: Extern delen beheren, Tweestapsverificatie implementeren, Gegevensregio’s (support.google.com)
• Google Workspace: prijzen (prijspagina, standaardweergave jaarcontract)