8.2.4 Inhoud: vrijwel geen beperkingen

Tot slot blijkt uit mijn onderzoek dat het toepassingsbereik van de AVG-beveiligingsbepalingen ook inhoudelijk vrijwel niet is beperkt. Dit betekent dat art. 5 lid 1 onder f en 32 AVG alles kunnen voorschrijven wat vanuit het oogpunt van beveiliging noodzakelijk is. Meestal blijkt dit ook expliciet uit de tekst van de AVG of is het af te leiden uit de context daarvan. Dat de AVG-beveiligingsbepalingen geen inhoudelijke beperkingen bevatten, hangt samen met hun open en technologieneutrale formulering (zie hierover verder §8.4.2).

Dat de beveiliging van persoonsgegevens veelomvattend is, heeft waarschijnlijk allereerst te maken met de variatie in beveiligingsrisico’s die, vanuit grondrechtelijk perspectief, relevant zijn voor het te waarborgen beveiligingsniveau.1 Het recht op de bescherming van persoonsgegevens en het recht op de eerbiediging van het privéleven vereisen de waarborging van de vertrouwelijkheid en integriteit van persoonsgegevens in brede zin en kunnen onder omstandigheden meebrengen dat ook de zuivere beschikbaarheid van gegevens moet worden gewaarborgd (zie hierover §8.3). Dit lijkt geïmplementeerd in art. 32 AVG. Nu uit mijn onderzoek is gebleken dat er geen reden is om aan te nemen dat art. 5 lid 1 onder f en 32 AVG verschillende eisen opleggen,2 is beschikbaarheid ook van belang in het kader van ‘het beginsel van integriteit en vertrouwelijkheid’. Het is voor de toezichthouder dan ook mogelijk een extra hoge boete op te leggen vanwege een zuivere beschikbaarheidsschending, maar dit zal waarschijnlijk zelden tot nooit gerechtvaardigd zijn (zie over de relevantie van beschikbaarheidswaarborgen in de context van de AVG (§8.3.3)).

Daarnaast zijn er bij verwerkingen vaak vele onderdelen van (ICT-)infrastructuur betrokken, waarop bovengenoemde risico’s betrekking kunnen hebben.3 Dat het van belang is dat al deze onderdelen met beveiligingsmaatregelen zijn omkleed, blijkt zowel uit het informatiebeveiligingsdomein als uit andere EU-cyberbeveiligings­bepalingen.4 Omdat zij vaak heel verschillend van aard zijn, vereist dit een combinatie van meerdere maatregelen. De AVG-beveiligingsbepalingen bieden hier de ruimte voor en benoemen de relevantie van de beveiliging van systemen en diensten ook expliciet.

Verder zullen verwerkingsverantwoordelijken en verwerkers ook per risico beveiligingsmaatregelen met uiteenlopende werking moeten treffen. In het informatiebeveiligingsdomein wordt er onderscheid gemaakt tussen preventieve, opsporende, reagerende of corrigerende, en herstellende maatregelen.5 Uit mijn onderzoek is gebleken dat het in de context van de AVG-beveiligingsbepalingen vooral belangrijk is dat beveiligingsinbreuken worden tegengegaan: dit blijkt uit de tekst van de AVG in het licht van het informatiebeveiligingsdomein, de historische en grondrechtelijke achtergrond van de AVG en andere EU-beveiligings­bepalingen.6 Omdat preventieve maatregelen beveiligingsincidenten echter nooit 100% kunnen voorkomen (zo is het algemene uitgangspunt binnen het informatiebeveiligingsdomein),7 moeten verwerkingsverantwoordelijken en verwerkers doorgaans ook andersoortige maatregelen treffen. Daarbij gaat het om maatregelen die aangeven dat er een incident heeft plaatsgevonden (opsporende) en die de schade daarvan zoveel mogelijk beperken en herstellen (repressieve resp. herstellende).

Ook vereist beveiliging doorgaans dat zowel technische als organisatorische maatregelen worden getroffen. Deze twee type maatregelen vullen elkaar aan. Zo waarborgt een autorisatiesysteem dat niet iedereen informatie kan raadplegen en kunnen organisatorische maatregelen de vertrouwelijkheid die daardoor wordt gecreëerd, verder waarborgen door aan de geautoriseerde personen voor te schrijven dat zij de informatie niet verder mogen verspreiden.8 Dat het in het kader van de AVG-beveiligingsbepalingen van belang is dat beide type maatregelen worden getroffen, blijkt expliciet uit zowel art. 5 lid 1 onder f als 32 AVG.

Ten slotte is het blijkens de normen en gebruiken uit het informatiebeveiligingsdomein van groot belang dat beveiliging al vanaf het ontwerp van een verwerking wordt meegenomen en vervolgens blijvend wordt geactualiseerd.9 Uit de voorbeeldmaatregelen die in art. 32 AVG zijn genoemd, blijkt dat art. 5 lid 1 onder f en 32 AVG kunnen verplichten tot het doorlopend actualiseren van beveiliging.10