Zoom en de AVG: wat u moet controleren vóór gebruik

Zoom slaat uw cloudopnamen, transcripties en vergaderberichten standaard op in de Verenigde Staten. Met een betaald account kunt u een andere opslagregio kiezen, waaronder Duitsland of Zwitserland, en de datacenters kiezen die de livevergaderingsstroom verwerken. Account- en operationele gegevens blijven in de Verenigde Staten. In zijn privacyverklaring belooft Zoom zijn AI-modellen niet met uw inhoud te trainen en het toont een portfolio aan certificeringen, waaronder ISO 27001, ISO 27701 en SOC 2 Type 2. Zoom is een uitgever naar Amerikaans recht. Deze pagina is opgesteld door Leexi, waarvan de AI-notitietool met Zoom wordt gebruikt, en vermeldt alleen wat de officiële Zoom-pagina's documenteren.

Waar Zoom uw gegevens host en verwerkt

Standaard in de Verenigde Staten. In Europa via een instelling, voor een deel van de gegevens en met een betaald account.

De AVG-pagina van Zoom zegt het zonder omhaal.

Zoom, pagina « GDPR », gedateerd op 8 augustus 2024 « Customer Content, Account Data, and Diagnostic Data are still stored in the U.S. »

Zoom biedt twee afzonderlijke instellingen aan. Dat is het punt dat de marktpagina's door elkaar halen.

De eerste betreft opslag. Volgens de pagina « Managing Data & Storage location » kunnen « all paid customers (including Pro) » de opslaglocatie van bepaalde gegevens kiezen: cloudopnamen, transcripties, berichten en bestanden die tijdens vergaderingen worden uitgewisseld, whiteboards en gegevens van Zoom Phone en Zoom Contact Center. De beschikbare regio's zijn Australië, Brazilië, Canada, Duitsland, Japan, Singapore, Mexico, Zwitserland en de Verenigde Staten. Gegevens die niet onder deze instelling vallen, blijven in de regio waarin het account is ingericht. Account- en operationele gegevens blijven in de Verenigde Staten.

De tweede betreft de verwerking van de livevergaderingsstroom. Via de pagina « Selecting data center for meetings, webinars, whiteboards, notes and docs » kunt u de datacenters kiezen die « participants' real-time meeting and webinar video, audio, whiteboard, notes, docs » verwerken. Het document bevat daarbij een voorbehoud.

Zoom, « Selecting data center for meetings, webinars, whiteboards, notes and docs » « Zoom may route through traffic between data centers using industry standard network routing protocols while traversing Zoom private network connections (i.e., edge-routing). »

Wat betekent dit voor u? Stel uw Zoom-beheerder twee vragen. Welke opslagregio is ingesteld voor cloudopnamen? Welke datacenters zijn geactiveerd voor liveverwerking? Een gratis account biedt geen toegang tot een van beide instellingen.

Wat Zoom met uw gesprekken doet

Zoom belooft zijn eigen AI-modellen en die van derden niet met uw inhoud te trainen.

Deze toezegging staat in de privacyverklaring, niet alleen op een blog.

Zoom, privacyverklaring, bijgewerkt op 27 juli 2026 « Zoom does not use any of your audio, video, chat, screen sharing, attachments or other communications-like Customer Content… to train Zoom's or its third-party artificial intelligence models. »

Wat de rol van Zoom betreft, vermeldt de AVG-pagina dat Zoom optreedt als verwerker voor zijn klanten en zijn verwerkersovereenkomst voor alle klanten in zijn algemene voorwaarden opneemt. Dat is de verplichting uit de AVG.

AVG, artikel 28, lid 3, punt a) « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement »

Over doorgiften vermeldt dezelfde pagina dat Zoom de standaardcontractbepalingen van 2021 heeft ingevoerd voor doorgiften buiten de Europese Economische Ruimte en als actieve deelnemer aan het EU-VS Data Privacy Framework is geregistreerd. De privacyverklaring bevestigt dit: Zoom verwerkt persoonsgegevens wereldwijd, ook in de Verenigde Staten.

Wat betekent dit voor u? De toezegging om niet te trainen staat in het contractuele document. Wat er niet in staat, is de standaardbewaartermijn van uw cloudopnamen. Die hangt af van uw instellingen en de bewaarnorm van Zoom en moet u in uw account controleren.

De certificeringen van Zoom

Het portfolio is omvangrijk en openbaar.

De pagina « Legal & compliance » van het Zoom Trust Center vermeldt voor het commerciële aanbod: ISO 27001, ISO 27017 en 27018, ISO 27701, SOC 2 Type 2, SOC 2 + HITRUST, CSA STAR niveau 2, BSI C5, ENS, UK Cyber Essentials Plus en HDS, de Franse certificering voor de hosting van gezondheidsgegevens. Daar komen Amerikaanse overheidscertificeringen bij (FedRAMP Moderate, DoD IL4).

Dat verdient erkenning: weinig aanbieders van videoconferencing tonen tegelijk het Duitse C5, het Spaanse ENS en het Franse HDS. Wat de pagina niet vermeldt, zijn de reikwijdte en data van elk certificaat. Vraag die op, samen met het SOC 2-rapport.

De juridische vestigingsplaats van de aanbieder

Zoom is een aanbieder naar Amerikaans recht en zijn accountgegevens blijven in de Verenigde Staten.

18 U.S. Code § 2713, toegevoegd door Pub. L. 115-141 van 23 maart 2018 « A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »

Wat betekent dit voor u? Duitsland kiezen als opslagregio beantwoordt de vraag « waar ». De vraag « welk recht » blijft gekoppeld aan de vestigingsplaats van de aanbieder. Zoom schrijft zelf dat accountgegevens in de Verenigde Staten blijven. Dit punt hoeft maar één keer te worden gemaakt.

Wat dit verandert voor een Europees team

Bij Zoom vormt Leexi een tweede, afzonderlijke verwerkingsomgeving naast die van Zoom: de bot neemt deel aan de vergadering, waarna de audio wordt getranscribeerd en samengevat op de infrastructuur van Leexi (AWS-regio Parijs, taalmodel uitgevoerd via Azure France in een gesloten circuit, zonder training op uw vergaderingen), met een openbare DPA en tien genoemde subverwerkers. De integratiepagina Zoom beschrijft hoe u Leexi aan Zoom koppelt. Het compliance-dossier en de woordenlijst geven de definities en documenten.

Veelgestelde vragen

Waar worden mijn Zoom-cloudopnamen opgeslagen?

Standaard in de Verenigde Staten. Met een betaald account, inclusief Pro, kunt u een andere regio kiezen voor cloudopnamen, transcripties en vergaderberichten: Australië, Brazilië, Canada, Duitsland, Japan, Singapore, Mexico, Zwitserland of de Verenigde Staten. Account- en operationele gegevens blijven in de Verenigde Staten.

Is het kiezen van een Europees datacenter voldoende om mijn vergaderingen in Europa te houden?

Nee, niet op zichzelf. De keuze van datacenters heeft betrekking op de verwerking van de livevergaderingsstroom. Zoom geeft aan dat verkeer via andere datacenters binnen zijn privénetwerk kan lopen. De opslag van opnamen valt onder een afzonderlijke instelling. U hebt beide nodig, en accountgegevens blijven in alle gevallen in de Verenigde Staten.

Gebruikt Zoom mijn vergaderingen om zijn AI te trainen?

Nee. De privacyverklaring van 27 juli 2026 sluit audio, video, chat, schermdeling en bijlagen uit van de training van de modellen van Zoom en die van zijn derden. De toezegging staat in het contractuele document.

Moeten deelnemers toestemming geven voor de opname?

Zoom vraagt dit aan hen. Bij het starten van een opname of bij het deelnemen aan een vergadering die al wordt opgenomen, krijgt elke deelnemer een verzoek om toestemming en kan diegene kiezen tussen doorgaan en verlaten. De beheerder kan het verzoek beperken tot externe deelnemers of de tekst ervan aanpassen. Dit verzoek vervangt niet de informatie die u volgens de AVG moet verstrekken over het doel en de bewaartermijn.

Is Zoom HDS-gecertificeerd?

De pagina « Legal & compliance » van Zoom vermeldt HDS, de Franse certificering voor de hosting van gezondheidsgegevens, bij zijn commerciële certificeringen. De exacte reikwijdte van het certificaat en de gedekte diensten en regio's moet u vóór gebruik met gezondheidsgegevens bij Zoom opvragen.

Voldoet Zoom aan een strikte soevereiniteitseis?

Nee. Zoom is een aanbieder naar Amerikaans recht en valt ongeacht de opslaglocatie onder 18 U.S. Code § 2713. Zijn accountgegevens blijven in de Verenigde Staten. De regi instellingen lokaliseren een deel van de gegevens, maar veranderen de juridische vestigingsplaats van de aanbieder niet.

Bronnen

Gegevens gecontroleerd op 2 september 2026 aan de hand van de officiële Zoom-pagina's.

• Zoom, « Managing Data & Storage location », helpcentrum
• Zoom, « Selecting data center for meetings, webinars, whiteboards, notes and docs », helpcentrum
• Zoom, « Providing consent to be recorded », helpcentrum
• Zoom, pagina « GDPR », gedateerd op 8 augustus 2024
• Zoom, privacyverklaring, bijgewerkt op 27 juli 2026
• Zoom, Trust Center, pagina « Legal & compliance »
• AVG, artikelen 5 en 28, tekst gepubliceerd door de CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Deze pagina beschrijft het toepasselijke kader. Zij vormt geen juridisch advies.

Probeer Leexi gratis