2.2.1 Tekst en enkele tekstuele opvallendheden

Zowel art. 5 lid 1 onder f AVG als art. 32 AVG gaat over de beveiliging van persoonsgegevens. Art. 5 lid 1 onder f AVG bevat een van de zogenoemde ‘beginselen inzake verwerking van persoonsgegevens’. Deze beginselen vormen “het normatieve hart” van de AVG.1 Art. 5 lid 1 onder f AVG beschrijft het beginsel inzake integriteit en vertrouwelijkheid. Art. 32 AVG maakt onderdeel uit van het AVG-hoofdstuk waarin deze beginselen worden uitgewerkt tot specifieker geformuleerde voorschriften.2 Art. 5 lid 1 aanhef en onder f AVG luidt als volgt.

Deze bepaling is uitgewerkt in art. 32 AVG. Het beginsel inzake integriteit en vertrouwelijkheid is te herkennen in de eerste twee leden van art. 32 AVG. Zij bepalen als volgt:

Verder heeft art. 32 AVG ook een derde en een vierde lid. Lid 3 bepaalt dat verwerkingsverantwoordelijken en verwerkers die zich hebben aangesloten bij een goedgekeurde gedragscode of een goedgekeurd certificerings­mechanisme dit ‘als element’ kunnen gebruiken om aan te tonen dat ze art. 32 lid 1 AVG naleven.4 Lid 4 bepaalt dat verwerkingsverantwoordelijken en verwerkers door middel van maatregelen moeten verzekeren dat natuurlijke personen die onder hun gezag werken en toegang hebben tot persoonsgegevens in beginsel alleen verwerkingshandelingen verrichten in opdracht van de verwerkingsverantwoordelijke.5

Art. 32 AVG is veel uitgebreider dan art. 5 lid 1 onder f AVG. De essenties van deze bepalingen zijn echter min of meer hetzelfde geformuleerd. Beide brengen, kort gezegd, mee dat er beveiligings­maatregelen moeten worden getroffen en dat deze maatregelen een bepaalde mate van beveiliging moeten waarborgen. Toch vertoont de formulering van art. 5 lid 1 onder f en 32 AVG zelfs in deze essentie enkele verschillen. Op deze verschillen en de betekenis daarvan ga ik hieronder in.

Allereerst valt het op dat art. 5 lid 1 onder f AVG bepaalt dat er technische of organisatorische maatregelen moeten worden getroffen, terwijl art. 32 AVG verplicht tot het treffen van technische en organisatorische maatregelen. Over dat zowel technische als organisatorische maatregelen noodzakelijk zijn voor de beveiliging van informatie, bestaat echter geen discussie. Dit is een vaststaand uitgangspunt binnen het informatiebeveiligings­domein en klinkt ook al decennialang door in het persoonsgegevens­beschermings­recht.6 Het is daarom onaannemelijk dat de EU-wetgever met art. 5 AVG heeft willen verplichten tot het treffen van ofwel technische, ofwel organisatorische maatregelen.

Dat art. 5 lid 1 onder f AVG bepaalt dat er technische of organisatorische maatregelen moeten worden getroffen, wijkt ook opvallend af van de rest van de AVG. Deze verordening verplicht verwerkings­verantwoordelijken en verwerkers op verschillende plekken tot het treffen van technische en organisatorische maatregelen,7 maar nooit tot het treffen van technische of organisatorische maatregelen. Naar mijn mening kan dan ook worden geconcludeerd dat deze vaste zinsnede ten onrechte anders in art. 5 AVG terecht is gekomen.8 Dit betekent dat ook op grond van deze bepaling er zowel technische als organisatorische maatregelen moeten worden getroffen.9 Beveiliging dient dus vorm te krijgen aan de hand van verschillende soorten beveiligingsmaatregelen: het treffen van alleen technische maatregelen is bijvoorbeeld niet genoeg. Wat voor maatregelen technisch en wat voor maatregelen organisatorisch zijn, bespreek ik in §3.5.2.

Een ander verschil tussen art. 5 lid 1 onder f AVG enerzijds en art. 32 AVG anderzijds is de duiding van de beveiliging die verwerkings­verantwoordelijken en verwerkers met beveiligings­maatregelen moeten waarborgen. Art. 5 lid 1 onder f AVG spreekt in dit kader over passende beveiliging, art. 32 lid 1 AVG over een op het risico afgestemd beveiligingsniveau, en art. 32 lid 2 AVG over het passende beveiligings­niveau. Hierdoor rijzen er twee vragen: “is het op het risico afgestemde beveiligingsniveau in de zin van art. 32 lid 1 AVG hetzelfde als het passende beveiligingsniveau in de zin van art. 32 lid 2 AVG?”, en “is passende beveiliging in de zin van art. 5 AVG een synoniem voor het passende/op het risico afgestemde beveiligings­niveau in de zin van art. 32 AVG?”10

Bij een vergelijking tussen het beveiligingsniveau dat moet worden gewaarborgd op grond van art. 32 lid 1 AVG enerzijds en art. 32 lid 2 AVG anderzijds, is allereerst de formulering in de Engelse tekstversie van de AVG interessant. Hierin liggen bovengenoemde begrippen qua formulering dichter bij elkaar. Art. 32 lid 1 AVG spreekt over a level of security appropriate to the risk, lid 2 over the appropriate level of security (en art. 5 lid 1 onder f AVG over de appropriate security). Anders dan in de Nederlandse tekstversie, wordt het te waarborgen beveiligingsniveau in beide leden dus beschreven met gebruik van de term appropriate (passend). Daarbij bepaalt lid 1 dat het beveiligingsniveau ‘passend bij het risico’ moet zijn, en lid 2 dat bij de beoordeling van deze passendheid met name rekening moet worden gehouden met verwerkingsrisico’s. Met andere woorden: art. 32 lid 2 AVG vult de term ‘op het risico afgestemd beveiligingsniveau’ uit lid 1 verder in. De term ‘met name’ in lid 2 impliceert echter dat andere factoren dan verwerkingsrisico’s het passende beveiligingsniveau kunnen medebepalen. Welk beveiligingsniveau passend is, is dus (mogelijk) afhankelijk van meer dan alleen deze risico’s. In deze studie spreek ik daarom over het passende beveiligingsniveau, en niet over het op het risico afgestemde beveiligingsniveau. In §7.3.1.2 en §8.3 ga ik in op de betekenis van ‘met name’ en de andere factoren die het te waarborgen beveiligingsniveau beïnvloeden.

Ten slotte valt bij een vergelijking tussen art. 5 lid 1 onder f AVG enerzijds en art. 32 AVG anderzijds op dat de termen ‘passende beveiliging’ en ‘het passende beveiligingsniveau’ niet dezelfde invalshoek lijken te hebben. Art. 5 lid 1 onder f AVG lijkt de nadruk te leggen op de bescherming tegen verwerkingen, art. 32 AVG op de beheersing van risico’s.

In dit kader is allereerst interessant dat art. 5 lid 1 onder f AVG bepaalt dat beveiligingsmaatregelen de passende beveiliging van de gegevens moeten waarborgen en moeten beschermen tegen ongeoorloofde en onrechtmatige verwerkingen en opzettelijk verlies, vernietiging en beschadiging. Dit onderscheid (‘en’) bestaat feitelijk niet: de bescherming tegen verwerkingen is – dankzij de ruime definitie van dit begrip – de kern van persoonsgegevensbeveiliging.11 Dat art. 5 lid 1 onder f AVG hier toch onderscheid tussen maakt, lijkt te komen door een ongelukkige vertaling. De Engelse en Franse tekstversies van de AVG kennen dit onderscheid niet. Daarin worden bovenstaande handelingen niet genoemd naast (‘en’) de passende beveiliging, maar als uitwerking daarvan (‘inclusive’ en ‘compris’). Deze uitwerking betreft allereerst ongeoorloofde en onrechtmatige verwerkingen. In de context van beveiliging vullen de AVG-termen ‘onrechtmatig’ en ‘ongeoorloofd’ elkaar aan, al kunnen zij ook overlappen.12 Tezamen beslaan zij bijna alle handelingen waartegen persoonsgegevens zullen moeten worden beveiligd (zie §1.4.3). De (kleine) restcategorie bestaat uit onopzettelijke handelingen die niet ook onrechtmatig of ongeoorloofd zijn.13 Ook de term onopzettelijk komt terug in art. 5 lid 1 onder f AVG. Daarin is hij gekoppeld aan enkele specifieke verwerkingshandelingen. Nu de uitdrukkelijk genoemde verwerkingen echter slechts voorbeelden zijn, kan deze bepaling – indien de situatie daarom vraagt – ook meebrengen dat persoonsgegevens moeten worden beschermd tegen onopzettelijke verwerkingen die niet zijn genoemd.14 Art. 5 lid 1 onder f AVG beslaat dus alle verwerkingen die verwerkingsverantwoordelijken en verwerkers bij de beveiliging van persoonsgegevens mogelijk moeten tegengegaan – ongeoorloofde, onrechtmatige en onopzettelijke. Overigens moeten de termen ‘onrechtmatig’ en ‘ongeoorloofd’ in de context van art. 5 lid 1 onder f en 32 AVG autonoom worden uitgelegd. Zij betekenen dus niet hetzelfde als binnen het Nederlandse privaatrecht. Zie hierover §1.4.3.

Anders dan art. 5 lid 1 onder f AVG bepaalt art. 32 AVG niet dat beveiligingsmaatregelen moeten worden beschermd tegen verwerkingen. In plaats daarvan relateert art. 32 AVG het passende beveiligingsniveau aan risicobeheersing. Daarbij gaat het ‘met name’ om verwerkingsrisico’s. Er geldt daarbij geen beperking: de risico’s van alle verwerkingen zijn relevant.15 Oftewel: bij zowel art. 5 lid 1 onder f AVG als art. 32 AVG zijn ‘alle’ verwerkingen van belang. In het kader van art. 5 lid 1 onder f AVG gaat het om de verwerkingen zelf, in het kader van art. 32 AVG om de risico’s daarvan. Het tegengaan van verwerkingen is een belangrijk onderdeel van risicobeheersing (zie hierover §3.5.3) maar is daarvoor niet voldoende.16 Op het eerste oog is art. 32 AVG daarom breder dan art. 5 lid 1 onder f AVG. Echter, doordat het deel van art. 5 lid 1 onder f AVG bepaalt dat sommige verwerkingen moeten worden tegengegaan illustratief is, kan ‘passende beveiliging’ in de zin van deze bepaling, net als ‘het passende beveiligingsniveau’ in de zin van art. 32 AVG, meer omvatten dan alleen de verplichting tot het tegengaan van verwerkingen.

Al met al zijn zowel de passende beveiliging in de zin van art. 5 lid 1 onder f AVG als het passende beveiligingsniveau in de zin van art. 32 AVG in ieder geval gericht op het tegengaan van bepaalde handelingen, ten einde de aan deze handelingen gerelateerde risico’s te beheersen. Ook andere maatregelen kunnen bijdragen aan deze risicobeheersing. Beide bepalingen kunnen meebrengen dat ook dergelijke maatregelen moeten worden getroffen. Deze conclusie past bij de benadering van art. 32 AVG als een uitwerking van art. 5 lid 1 onder f AVG. Het is dan ook aannemelijk dat onder ‘beveiliging’ in de context van art. 5 lid 1 onder f AVG hetzelfde moet worden begrepen als onder ‘beveiligingsniveau’ in de zin van art. 32 AVG.17 Omdat de term ‘beveiligingsniveau’ zich iets beter van ‘beveiligingsmaatregelen’ laat onderscheiden dan ‘beveiliging’, spreek ik in deze studie overwegend over de verplichting tot het waarborgen van ‘het passende beveiligingsniveau’.