5.2.1 Inleiding

Een van de doelen van de AVG is de bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen, ‘met name hun recht op bescherming van persoonsgegevens’.1 Deze rechten en vrijheden zijn onmiskenbaar van belang bij de invulling van art. 5 lid 1 onder f en 32 AVG: de passendheid van beveiligingsmaatregelen is immers onder meer afhankelijk van de “de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen”.2 Welke grondrechten en vrijheden hierbij een rol spelen, bepaalt de AVG niet.

Vast staat dat de grondrechten en vrijheden die binnen de EU worden erkend, hun grondslag vinden in het Handvest, de algemene beginselen van het EU-recht en (indirect) in het EVRM.3 In het kader van de AVG is vooral het Handvest van belang.4 Deze grondrechten­catalogus beschrijft alle rechten, vrijheden en beginselen die in de EU worden erkend.5 Het HvJ EU en de nationale rechter moeten de eerbiediging van deze rechten verzekeren (de nationale rechter slechts voor zover hij het EU-recht ten uitvoer legt).6 Zij zullen de AVG dan ook conform het Handvest uitleggen. Daarbij is het uitgangspunt dat de rechten en vrijheden die ook worden erkend in het EVRM qua inhoud en reikwijdte, inclusief de toegestane beperkingen, gelijk zijn aan deze corresponderende EVRM-rechten.7 De Handvest­grondrechten mogen een hoger beschermingsniveau bieden,8 maar geen beperking vormen van of afbreuk doen aan de bescherming die het EVRM biedt.9 De rechten uit het EVRM en de uitleg die het EHRM daaraan geeft, zijn daardoor van betekenis bij de uitleg van de rechten uit het Handvest. Bij de invulling van art. 5 lid 1 onder f en 32 AVG dient hier rekening mee te worden gehouden.10 De algemene beginselen van het EU-recht bevatten geen extra regels ten aanzien van de bescherming van persoonsgegevens.11 De AVG en het HvJ EU brengen de AVG (vermoedelijk daarom) ook niet met deze algemene beginselen in verband. Om deze reden ga ik niet op hen in.12

Binnen de EU worden in ieder geval vijftig verschillende grondrechten en fundamentele vrijheden erkend.13 Omdat veel grondrechten en fundamentele vrijheden niet strikt zijn afgebakend en de AVG-beveiligingsbepalingen niet naar specifieke rechten verwijzen, is niet met zekerheid te zeggen welke grondrechten en fundamentele vrijheden relevant zijn voor de invulling van art. 5 lid 1 onder f en 32 AVG. Wel staat vast dat de AVG als geheel met name is gericht op “de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid”.14 In dit hoofdstuk bespreek ik de rechten en vrijheden die het nauwst aan persoonsgegevensbeveiliging zijn gerelateerd. Het gaat daarbij allereerst om de grondrechten en fundamentele vrijheden die bij een beveiligingsinbreuk mogelijk worden geschonden: het recht op de bescherming van persoonsgegevens, dat bovendien terugkomt in de AVG-doelstelling,15 en het recht op de eerbiediging van het privéleven, dat het HvJ EU ook expliciet met de beveiliging van persoonsgegevens in verband brengt.16 Verder bespreek ik het recht op de vrijheid van ondernemerschap, dat tegenover de eerdergenoemde rechten kan staan, bijvoorbeeld als strenge beveiligingseisen het voor verwerkings­verantwoordelijken en verwerkers financieel onmogelijk maken om hun diensten of producten aan te bieden. Voordat ik inga op deze grondrechten, bespreek ik een aspect dat zij gemeenschappelijk hebben en waarnaar ik in het overige van dit hoofdstuk geregeld zal verwijzen: de algemene beperkingssystematiek van het Handvest. Deze systematiek is van belang, omdat juist uit de beperkingseisen kan worden afgeleid aan welke minimumeisen beveiliging moet voldoen om de relevante grondrechten te waarborgen. Bij de bespreking van de verschillende grondrechten komen de belangrijkste eisen dan ook steeds terug, toegepast op de betreffende grondrechten.

Uit §5.2.2 blijkt de meer algemene achtergrond en inhoud van deze vereisten. Vervolgens ga ik in §5.2.3 in op het recht op de bescherming van persoonsgegevens (art. 8 Hv). In §5.2.4 bespreek ik op het recht op de eerbiediging van het privéleven en het familie- en gezinsleven (art. 7 Hv en art. 8 EVRM, hierna het recht op de eerbiediging van het privéleven). In §5.2.5 staat het recht op de vrijheid van ondernemerschap centraal (art. 16 Hv). Als laatste bespreek ik het vrije verkeer (van diensten) in §5.2.6. Deze bespreking is kort, omdat deze fundamentele vrijheid vooral van belang is in de context van het vrije verkeer van persoonsgegevens en dus in §5.3 aan bod komt.