1.1 Aanleiding, probleemstelling en relevantie

We delen onze gegevens op bijna dagelijkse basis. Vaak gaat het om adres- en betalingsgevens, soms om gevoeligere gegevens zoals medische informatie of een burgerservicenummer. Meestal hebben we liever niet dat de gegevens die we delen verder bekend worden. De hoop, en vaak ook de veronderstelling, is daarom dat partijen die we onze informatie toevertrouwen daar zorgvuldig mee omgaan en zo onder andere tegengaan dat de gegevens bij anderen terecht komen. De Algemene Verordening Gegevens­bescherming (AVG) vereist dat zij dit ook daadwerkelijk doen, in ieder geval tot op zekere hoogte. In dit kader bepalen de artikelen (art.) 5 lid 1 onder f en 32 AVG – kort gezegd – dat er bij persoons­­gegevensverwerkingen passende technische en organisatorische beveiligingsmaatregelen moeten worden getroffen om het passende beveiligingsniveau te waarborgen (zie voor de precieze tekst van deze bepalingen en de uitleg van mijn keuze om ze op deze manier te duiden §2.2.1).

Beveiligingsgebreken hebben potentieel grote gevolgen. Zij kunnen voor verwerkings­verantwoordelijken en verwerkers leiden tot bestuurs­rechtelijke sancties, zoals boetes. Bij betrokken kunnen ze materiële en immateriële schade tot gevolg hebben.1 De beveiliging van persoonsgegevens is echter lang niet altijd op orde. Ongeveer veertig procent van de sanctiebesluiten die de Nederlandse toezichthouder op persoonsgegevens­verwerkingen, de Autoriteit Persoonsgegevens (AP), sinds de van toepassing wording van de AVG heeft gepubliceerd, houdt op het moment van schrijven verband met een beveiligingsgebrek.2 Wetende dat de AVG meer dan vijftig bepalingen kent waarvan toezichthouders een schending kunnen sanctioneren, zijn dit er relatief veel.3 Het aantal voorgevallen beveiligingsinbreuken waarvan het niet onwaarschijnlijk is dat ze een risico meebrengen voor de rechten en vrijheden van natuurlijke personen ligt bovendien nog veel hoger.4 Alleen al in Nederland zijn in de jaren 2018, 2019 en 2020 respectievelijk 20.881, 26.956 en 23.976 van dit soort inbreuken gemeld.5 De AP gaat ervan uit dat er in werkelijkheid nog meer hebben plaatsgevonden.6 Bovendien is het haar verwachting dat het aantal beveiligingsgebreken toeneemt.7 Het lijkt dan ook terecht dat een groot deel van de Nederlandse bevolking zich zorgen maakt over haar persoonsgegevens en de beveiliging daarvan.8

Art. 5 lid 1 onder f en 32 AVG laten veel ruimte voor invulling en interpretatie. Zij schrijven niet voor welke beveiligings­maatregelen verwerkingsverantwoordelijken en verwerkers moeten treffen of welk beveiligingsniveau zij moeten realiseren, maar slechts dat beide passend moeten zijn.9 De AVG benoemt enkele omstandigheden die van belang zijn bij de invulling van de norm, maar verduidelijkt niet wat de term ‘passend’ precies inhoudt en aan welke criteria de beveiliging van persoonsgegevens in dit kader moet voldoen.10 Over de verplichtingen uit de AVG-beveiligingsbepalingen is vooralsnog veel onzeker.11 Mogelijk verklaart dit (mede) het relatief hoge aantal handhavingsbesluiten dat vanwege de schending van deze artikelen is genomen en de vele inbreuken in verband met persoonsgegevens die de afgelopen jaren hebben plaatsgevonden.12 Het is immers goed denkbaar dat verwerkings­verantwoordelijken en verwerkers veelal niet weten wat zij moeten doen om aan de beveiligingsbepalingen te voldoen.

Meer duidelijkheid over de invulling van de AVG-beveiligings­bepalingen is vanuit verschillende perspectieven wenselijk. Allereerst kan inzicht in de wettelijke beveiligingseisen de op dit punt bestaande rechtsonzekerheid verminderen.13 Zowel verwerkings­verant­woordelijken en verwerkers die hun beveiligingssystemen vormgeven als rechters en toezichthouders die de naleving van de AVG-beveiligingsbepalingen in een concreet geval beoordelen, kunnen hier houvast aan ontlenen.Voor datasubjecten kan duidelijkheid over de norm bovendien meer inzicht bieden in hun eigen rechtspositie. Het stelt hen beter in staat in te schatten of ze een verwerkings­verantwoordelijke of verwerker succesvol aansprakelijk kunnen stellen voor de (im)materiële schade die zij hebben geleden door een beveiligingsgebrek.

Verder zal kennis over de inhoud van de AVG-beveiligingsbepalingen bijdragen aan het behalen van de doelen van de AVG.14 Als de eisen die de AVG aan de beveiliging van persoonsgegevens stelt duidelijker worden, verkleint immers de kans dat de lidstaten van de Europese Unie (EU) de term ‘passend’ verschillend interpreteren. Dit draagt bij aan de harmonisatie van het persoonsgegevensbeschermingsrecht en (zodoende) aan de waarborging van het vrije verkeer van persoonsgegevens. Met hoe minder verschil lidstaten de norm toepassen, hoe minder belemmeringen er per slot van rekening bestaan voor dit verkeer.15 Ook aan de realisatie van het andere AVG-doel, de bescherming van grondrechten en fundamentele vrijheden, komt een dergelijke coherente en uniforme bescherming volgens de EU-wetgever ten goede.16 Verder stimuleert kennis over de beveiligingseisen het debat over de inhoud van art. 5 lid 1 onder f en 32 AVG, wat eveneens tot verdere harmonisatie kan leiden.

Met deze studie beoog ik de kennis over de AVG-beveiligingsverplichtingen te vergroten en art. 5 lid 1 onder f en 32 AVG inzichtelijker te maken. Op dit moment zijn er geen bronnen voorhanden op basis waarvan veelomvattende conclusies kunnen worden getrokken over de invulling van de AVG-beveiligingsbepalingen in concrete situaties, zoals rechtspraak of aanwijzingen door de EU-wetgever. Zoals ik hierna in §1.2 en §1.3 uiteenzet, analyseer ik art. 5 lid 1 onder f en 32 AVG daarom vanuit verschillende contexten.17 Daarbij formuleer ik handvatten voor de toepassing en uitleg van het beginsel van integriteit en vertrouwelijkheid en art. 32 AVG (die ik aanknopingspunten noem). Aan de hand van alle geformuleerde aanknopingspunten beoordeel ik vervolgens welke inzichten de contexten tezamen bieden in de AVG-beveiligingsbepalingen. Mijn onderzoeksvraag luidt als volgt: Welke aanknopingspunten en inzichten bieden de tekst en systematiek van art. 5 lid 1 onder f en 32 AVG, de informatie­beveiligingspraktijknormen en -gebruiken, de geschiedenis van het persoonsgegevens­beschermings­recht, de doelstelling van de AVG, het systeem van de AVG en gerelateerd EU-beleid en -recht voor de invulling van art. 5 lid 1 onder f en 32 AVG, in het bijzonder voor de termen ‘het passende beveiligingsniveau’ en ‘passende beveiligingsmaatregelen’?