3.1 Inleiding

Bij de beveiliging van persoonsgegevens zijn de ‘beste praktijken’ van het informatie­beveiligings­domein van groot belang. Deze beste praktijken gaan over de technische én de organisatorische vormgeving van informatiebeveiligingssystemen. Ze gaan uit van principes aangaande informatiebeveiliging die in de wetenschap worden omarmd.1

De beste praktijken van informatiebeveiliging sluiten op veel punten goed aan op art. 5 lid 1 onder f en 32 AVG. Zo hanteren ze hetzelfde begrippenkader en hebben ze dezelfde contextuele benadering.2 Uit de historische context van de AVG-beveiligings­bepalingen en het informatie­beveiligingsdomein blijkt dat art. 5 lid 1 onder f en 32 AVG op de beste praktijken moeten zijn gebaseerd en niet andersom.3 Een verkenning van het informatie­beveiligingsdomein kan de praktische betekenis en rol van sommige juridische begrippen hierdoor verduidelijken en inzicht bieden in de afwegingen die verwerkings­verant­woordelijken en verwerkers moeten maken bij de vormgeving van persoonsgegevensbeveiliging. Binnen dit domein is, in de woorden van de AP, de noodzakelijke kennis en kunde aanwezig om daadwerkelijk aan de wettelijke eisen te voldoen.4 In de richtsnoeren beveiliging van persoonsgegevens van de AP klinken de uitgangspunten van het informatiebeveiligingsdomein daarom sterk door.5 Dit brengt mee dat ook verwerkings­verant­woordelijken, verwerkers en rechters zich bij hun beoordelingen waarschijnlijk (mede) op deze uitgangspunten zullen baseren.6

Al met al kan een analyse van art. 5 lid 1 onder f en 32 AVG in het licht van de uitgangspunten van het informatiebeveiligingsdomein niet ontbreken in deze studie. In dit hoofdstuk verricht ik deze analyse. Voordat ik hiertoe overga, wil ik benadrukken dat het enkele feit dat de uitgangspunten van informatie­beveiliging in de AVG-beveiligingsbepalingen zijn verdisconteerd, niet betekent dat er in de praktijk juridisch gezien ook altijd de juiste afwegingen worden gemaakt. De AVG is voorschrijvend, niet beschrijvend. Een beveiligings­systeem dat is vormgegeven conform de beste praktijken van het informatiebeveiligingsdomein, voldoet dan ook niet per se aan de AVG-beveiligingseisen. Mogelijk is dat deze beste praktijken enigszins moeten worden gewijzigd om tot beveiligings­systemen te leiden die in lijn zijn met de AVG.7

In dit hoofdstuk beschrijf ik de uitgangspunten van het informatiebeveiligingsdomein en analyseer ik of, en zo ja, welke aanknopingspunten zij bieden bij de invulling van art. 5 lid 1 onder f en 32 AVG. Ik begin met een korte beschrijving van het informatie­beveiligingsdomein en de relatie daarvan tot de beveiliging van persoonsgegevens­ en persoons­gegevens­verwerkingen (§3.2). Daarbij ga ik ook in op de juridische functie en praktische relevantie van de binnen de informatiebeveiligingsdomein meest gebruikte normen: de ISO 27000-reeks. In de daaropvolgende paragrafen beschrijf ik steeds enkele aspecten van de art. 5 lid 1 onder f en 32 AVG in het licht van de daarin verdisconteerde uitgangspunten van het informatie­beveiligings­­domein. De tekst van deze bepalingen is daarbij leidend. Ik zal eerst ingaan op de termen ‘vertrouwelijkheid’, ‘integriteit’, ‘beschikbaarheid’, ‘veerkracht’ en ‘authenticiteit’, die binnen het informatiebeveiligingsdomein worden gebruikt om ‘beveiligingsdoelen’ mee aan te duiden (§3.3). Vervolgens beschrijf ik de manier waarop informatiebeveiligings­specialisten de vormgeving van beveiligings­systemen benaderen en de wijze waarop zij vaststellen welke beveiligingsmaatregelen in een specifieke situatie moeten worden getroffen. Hierbij komt onder meer het concept ‘risico’ aan bod (§3.4). Daarna ga ik in op de zinsnede ‘technische en organisatorische beveiligingsmaatregelen’, op de verschillende functies die beveiligings­maatregelen kunnen hebben en op de maatregelen die blijkens art. 32 lid 1 AVG waar passend moeten worden getroffen (§3.5). Ik eindig dit hoofdstuk met een synthese, waarin ik kort beschrijf welke aanknopingspunten uit de uitgangspunten van het informatie­beveiligingsdomein zijn af te leiden voor de invulling en naleving van de AVG-beveiligingsbepalingen (§3.6).