8.4.3 De beoordeling: de waarde van de omstandigheden

Uit verschillende van de door mij besproken contexten blijkt dat passende beveiligings­maatregelen moeten zijn toegespitst op de omstandigheden van een specifiek geval.1

Uit art. 32 lid 1 AVG volgt dat de passendheid van beveiligingsmaatregelen wordt beïnvloed door de aard, context, omvang en verwerkingsdoelen van de verwerking, de uitvoeringskosten, de stand van de techniek en de qua ernst en waarschijnlijkheid uiteenlopende risico’s voor personen. Deze begrippen, in het bijzonder ‘context’, zijn zo breed, dat de passendheid van beveiligingsmaatregelen afhankelijk kan zijn van alle omstandigheden van het geval.2 Anders dan de omstandigheden die relevant zijn bij de beoordeling van het passende beveiligingsniveau, gaat het hierbij ook om subjectievere omstandigheden omtrent de beheersing van beveiligingsrisico’s.

Met de bovenstaande open en technologieneutrale opsomming geven de AVG-beveiligingsbepalingen wel enig houvast bij de invulling van de verplichting tot het treffen van beveiligings­maatregelen, maar schrijven zij geen specifieke maatregelen voor en bieden zij weinig duidelijkheid.3 Dit past bij hun brede en open karakter (zie de vorige paragraaf en §8.2).

De omstandighedenopsomming uit art. 32 AVG impliceert dat de genoemde omstandigheden rechtstreeks tegen elkaar moeten worden afgewogen. Uit meerdere van de door mij beschreven contexten blijkt echter dat dit niet het geval is.4 Een groot deel ervan is onderdeel van de vaststelling van de passendheid van het beveiligingsniveau (zie §8.3.3).5 Het gaat daarbij onder meer om de aard van de te verwerken gegevens, de verwerkingscontext, de technische onmogelijkheid tot het beheersen van bepaalde risico’s en het verwerkingsdoel. Deze omstandigheden beïnvloeden, met andere woorden, het met de beveiligingsmaatregelen te waarborgen doel.6

De belangrijkste ‘omstandigheid’ bij het treffen van beveiligingsmaatregelen, is het passende beveiligingsdoel. Op basis van dit doel moeten verwerkings­­verantwoordelijken en verwerkers de maatregelen treffen. Passende beveiligings­maatregelen zijn immers effectieve maatregelen.7 Dat het passende beveiligingsdoel en de waarborging daarvan bij de passendheid van beveiligingsmaatregelen voorop staat, blijkt uit de tekst en systematiek van de AVG-beveiligingsbepalingen,8 het doel van de AVG en het systeem van de AVG.9

Uit mijn onderzoek blijkt dat bij het treffen van beveiligingsmaatregelen verder relevantie toekomt aan de stand van de techniek. 10 Of een maatregel het vereiste beveiligingsniveau waarborgt (en dus passend is), hangt immers af van de technische effectiviteit. In zowel het informatiebeveiligingsdomein, als in andere EU-cyberbeveiligingsbepalingen en de voorgangers van de AVG-beveiligingsbepalingen klinkt daarom door dat dit een relevant element is bij het treffen van beveiligingsmaatregelen.11 Het element geeft ook uiting aan een andere eis waaraan beveiligings­maatregelen blijkens zowel het informatiebeveiligingsdomein als het systeem van de AVG moeten voldoen: zij moeten worden geactualiseerd.12 Nieuwe risico’s en beveiligingsmogelijkheden kunnen meebrengen dat de eisen die worden gesteld aan beveiliging veranderen.

Tot slot beïnvloeden ook de uitvoeringskosten de te treffen beveiligingsmaatregelen. 13 Omdat de waarborging van het passende beveiligingsniveau voorop staat, brengt dit element gezien het doel van de AVG slechts mee dat verwerkings­verantwoordelijken en verwerkers voor een (combinatie van) goedkope maatregel(en) mogen kiezen als het resultaat daarvan vergelijkbaar is met het resultaat van duurdere maatregelen.14 De financiële mogelijkheden van een specifieke verwerkings­verantwoordelijke of verwerker kunnen immers niet meebrengen, dat verwerkings­verantwoordelijken en verwerkers een lager beveiligings­niveau moeten waarborgen dan het niveau dat op basis van in het bijzonder de verwerkingsrisico’s ‘het passende’ is.15 Wanneer zij zich niet kunnen veroorloven om het passende beveiligingsniveau te waarborgen, zullen zij het uitvoeren van de verwerking moeten staken.16