6.3.1 Algemeen: art. 25 lid 1 AVG

Verwerkings­verantwoordelijken moeten zich bezighouden met gegevens­bescherming vanaf het moment dat zij hun verwerkingsmiddelen vaststellen, zo blijkt uit art. 25 lid 1 AVG. Zij moeten hier dus al in een vroeg stadium aandacht voor hebben en er vervolgens gedurende de verwerking bij stil blijven staan. Dit concept wordt doorgaans aangeduid als data protection by design.1 In dit kader dienen verwerkings­verantwoordelijken passende technische en organisatorische maatregelen te treffen, die erop zijn gericht gegevens­beschermings­beginselen doeltreffend uit te voeren, de naleving van de AVG te garanderen en de bescherming van de rechten van betrokkenen te waarborgen.

Het concept data protection by design vindt zijn oorsprong in het informatie­beveiligingsdomein en wordt daar breed omarmd. Het kent als uitgangspunt dat gegevens­bescherming, om daadwerkelijk effectief te zijn,2 tijdens de gehele levenscyclus van een technologische toepassing in deze toepassing moet zijn ingebed: vanaf het moment van ontwikkeling tot het moment van vernietiging.3 Het brengt daarom mee dat ontwikkelaars en producenten van persoonsgegevensverwerkings- en beveiligingssystemen en maatregelen al bij de ontwikkeling van hun producten en toepassingen rekening moeten houden met gegevensbescherming. Het bovenstaande wil de EU-wetgever met art. 25 lid 1 AVG stimuleren.4 Hij beoogt dat ontwikkelaars en producenten erop toe gaan zien dat verwerkings­verantwoordelijken en verwerkers in staat zijn te voldoen aan hun gegevensbeschermings­verplichtingen.5 Omdat de AVG alleen verwerkingsverantwoordelijken en verwerkers betreft, kunnen er echter geen op deze wens aansluitende juridische verplichtingen uit de AVG voortvloeien.6 De precieze implicaties van art. 25 lid 1 AVG zijn daarom nog onduidelijk.7 In het algemeen wordt aangenomen dat deze bepaling meebrengt dat verwerkingsverant­woordelijken de waarborging van persoonsgegevens­bescherming zelf in acht moeten nemen vanaf het moment dat zij de middelen van een nieuwe verwerking vaststellen.8 Zij moeten hiertoe onder meer maatregelen treffen ten aanzien van de minimalisering van de hoeveelheid te verwerken gegevens, de pseudonimisering van deze gegevens en het creëren en verbeteren van beveiligingskenmerken.9

In de literatuur is veel kritiek geuit op art. 25 AVG. Zo zou deze bepaling vaag en ingewikkeld zijn geformuleerd en weinig effectief zijn doordat zij geen verplichting kan meebrengen voor de ontwikkelaars van software en hardware.10 De meerwaarde van art. 25 AVG wordt met name gezien in de bijdrage die het kan leveren aan de bewustwording van het constante belang van gegevensbescherming.11