5.2.2.1 Het Handvest en de invulling van wettelijke bepalingen

De verplichtingen uit het Handvest rusten op de instellingen, organen en instanties van de EU en op lidstaten wanneer die het recht van de EU ten uitvoer brengen.1 Zij dienen, zo volgt uit art. 51 Hv, de grondrechten te eerbiedigen en de toepassing ervan te bevorderen. Voor private partijen bestaat er geen vergelijkbare plicht. Hoewel het Handvest van belang is bij de invulling van de AVG-beveiligingsbepalingen, betekent dit niet zonder meer dat private partijen andere persoonsgegevens­beveiligingsverplichtingen hebben dan publieke. De vaststelling van de beveiligings­verplichtingen van verwerkings­verantwoordelijken en verwerkers vereist immers de uitleg van een verordening, niet de toepassing van het Handvest. Ook kan het zijn dat er via de weg van de ‘directe horizontale werking’ ook voor private partijen rechten en plichten uit het Handvest voortvloeien.2 De mogelijkheden hiertoe moeten per grondrecht worden beoordeeld.3 Omdat het Handvest bij de invulling van art. 5 lid 1 onder f en 32 AVG echter niet hoeft te worden toegepast, is het vraagstuk van de directe horizontale werking hierbij niet rechtstreeks van belang.

Dat het persoonsgegevensbeschermingsrecht moet worden uitgelegd in het licht van haar doelstelling,4 heeft het HvJ EU nooit toegespitst op publieke partijen.5 Ook voor private partijen is de functie die de AVG vervult bij de eerbiediging van grondrechten van belang. Ten aanzien van de beveiligings­bepalingen blijkt dit ook uit de tekst van art. 32 AVG: bij de vormgeving van beveiliging moet iedere verwerkings­verantwoordelijke en iedere verwerker immers rekening houden met de “qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen”.6 Zij zijn zo allemaal verant­woordelijk voor de bescherming van deze rechten. Dat private partijen in de context van het persoonsgegevensbeschermingsrecht grondrechten moeten eerbiedigen, blijkt ook uit de rechtspraak van het HvJ EU. Zie vooral de uitspraak in de zaak Google Spain:

Private partijen zijn dus verantwoordelijk voor een doelmatige en volledige bescherming van betrokkenen en daardoor – in de context van de AVG – voor de waarborging van de grondrechten uit het Handvest.8 Uit de geciteerde overweging blijkt dit alleen expliciet voor de eerbiediging van het privéleven. Dat niet op dezelfde manier wordt verwezen naar het recht op de bescherming van persoonsgegevens komt waarschijnlijk doordat de uitspraak is gewezen onder de Dataprotectierichtlijn, dat ten doel had in het bijzonder dit recht te eerbiedigen.9 Nu het HvJ EU het recht op de bescherming van persoonsgegevens echter wel noemt, en dit recht de plaats van het recht op de eerbiediging van het privéleven in de doelstelling van de AVG heeft ingenomen, is de conclusie gerechtvaardigd dat onder de AVG private partijen, net als publieke partijen, verantwoordelijk zijn voor het daadwerkelijk tot stand brengen van de bescherming van beide grondrechten. Zowel publieke als private verwerkingsverantwoordelijken en verwerkers zullen de aan grondrechten gerelateerde risico’s dan ook moeten meenemen bij de vormgeving van persoonsgegevensbeveiliging.

Overigens heeft het HvJ EU het recht op de vrijheid van ondernemerschap op dezelfde manier laten meewegen bij de invulling van verplichtingen in horizontale verhoudingen.10 Ook dit recht beïnvloedt dus de verplichtingen van private partijen, los van de vraag of er directe horizontale werking vanuit gaat.