3.4.1 Inleiding

De AVG laat verwerkingsverantwoordelijken en verwerkers zelf beslissen hoe ze hun persoonsgegevens(verwerkingen) beveiligen.1 Er bestaan veel verschillende beveiligingsmaatregelen die ze kunnen treffen. De meeste zijn slechts in staat een deel van de betrokken (ICT-)infrastructuur te beveiligen en een deel van de relevante beveiligingsdreigingen voor een deel te ondervangen. Qua effect lopen ze dus sterk uiteen. Geen van allen biedt volledige beveiliging.2 Informatie­beveiligings­­systemen bestaan daarom uit meerdere maatregelen. Verwerkings­verantwoordelijken en verwerkers moeten kiezen welke maatregelen ze wel, en welke ze niet treffen. Deze keuze zullen ze moeten afstemmen op hun eigen behoeften en op de AVG-beveiligingseisen, die hierbij als minimum gelden. Tegen het treffen van alle mogelijke maatregelen bestaan echter technische en financiële bezwaren.3

Verwerkingsverantwoordelijken en verwerkers moeten analyseren wat de AVG-beveiligingsbepalingen in hun specifieke geval meebrengen. Blijkens de tekst en preambule van deze verordening moeten ze hierbij verschillende elementen meenemen en spelen risico’s een centrale rol.4 Zo moeten verwerkings­verantwoordelijken en verwerkers hun keuze maken op basis van een risicobeoordeling,5 en wordt het te waarborgen beveiligingsniveau ook wel aangeduid als het ‘op het risico afgestemde beveiligingsniveau’.6 Hoe beveiliging op grond van de AVG vorm moet krijgen en tot in welke mate risico’s moeten worden beheerst, blijft echter de vraag.

Dat de AVG geen inzicht biedt in de in een concreet geval te waarborgen beveiliging, betekent niet dat verwerkingsverantwoordelijken en verwerkers geen enkel houvast hebben wanneer zij hun persoonsgegevens­beveiligingssystemen inrichten. Er bestaan vele informatiebeveiligingsnormen en certificerings­mechanismen die hen bij de vormgeving van hun beveiliging kunnen ondersteunen. Zij gaan, net als art. 5 lid 1 onder f en 32 AVG, uit van risicomanagement, en bieden de mogelijkheid juridische eisen mee te nemen bij de vaststelling van de beveiligingsbehoeften.7 Hun belang voor de vormgeving van een AVG-conform beveiligingssysteem kan dusdanig groot zijn dat de AP hun toepassing als een van de drie randvoorwaarden ziet om aan de AVG-beveiligingseisen te voldoen.8 Ook meer in het algemeen zijn normen en certificeringsmethodes relevant, doordat ze inzicht verschaffen in de manier waarop beveiliging volgens informatiebeveiligingsspecialisten moet worden vormgegeven om tot goede resultaten te leiden. Hierdoor zijn zij niet alleen in een concreet geval behulpzaam bij de vormgeving van een AVG-conforme beveiliging, maar kunnen zij ook in het algemeen houvast bieden bij de uitleg van de AVG-beveiligingsbepalingen.9

In deze paragraaf ga ik in op het houvast dat informatiebeveiligings­normen en -certificaten bieden voor de vormgeving van beveiliging. Als uitgangspunt neem ik de breedst omarmde informatie­beveiligingsnormen; de ‘Code voor Informatiebeveiliging-’ of ISO 27000-reeks (zie over de relevantie van deze normen §3.2.2). Net als vele andere beveiligingsnormen schrijven zij niet voor welke maatregelen moeten worden getroffen, maar begeleiden ze het beveiligingsproces. Hiertoe laten zij organisaties een eigen informatiebeveiligingsmanagementsysteem vormgeven, een ISMS (naar Information Security Management System).10 Eenmaal opgesteld, begeleidt dit systeem organisaties op een systematische wijze en op managementniveau bij het vaststellen van beveiligingsbehoeften, het achterhalen van de beveiligings­maatregelen die daarop aansluiten en het beoordelen en verbeteren van beveiligingssystemen.11 Hiertoe is zij gericht op een voortdurend verbeteringsproces.

Een ISMS gaat vaak uit van de zogenoemde ‘risicomanagementcyclus’, ook wel de Plan-Do-Check-Act cycle (hierna: PDCA-cyclus).12 Volgens de AP is de inbedding van deze cyclus “in de dagelijkse praktijk van de organisatie noodzakelijk”.13 Ik beschrijf de stappen van de ISO-normen ook aan de hand van dit systeem. De ‘plan’-fase geeft het meeste inzicht in de manier waarop kan worden vastgesteld wat passende beveiliging is. Hierin vindt de vaststelling van de beveiligingsbehoeften en de beoordeling van de in dat kader relevante risico’s in eerste instantie plaats. Ik behandel haar daarom het uitgebreidst.14 Zij is op te delen in verschillende stadia, die ik afzonderlijk bespreek. Het gaat om de context­bepaling (§3.4.2), de risicobeoordeling (§3.4.3) en de risico­behandeling (§3.4.4). De overige onderdelen van de PDCA-cyclus omvatten het uitvoeren, controleren en verbeteren van het ISMS en bespreek ik tezamen (§3.4.5). Ik beperk mij tot de grote, algemene lijnen van risicomanagement.15