3.3.6 Authenticiteit

Hoewel in de AVG-beveiligingsbepalingen naast vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht geen andere beveiligingsdoelen voorkomen, staat in de preambule van de AVG wél een vijfde beveiligingsdoel uit het informatie­beveiligingsdomein genoemd: authenticiteit.

Net als de (meeste) eerder behandelde beveiligingsdoelen, verwijst ook de term authenticiteit naar een eigenschap van persoons­gegevens die met beveiligingsmaatregelen kan worden gewaarborgd.1 De preambuleoverweging waarin de EU-wetgever authenticiteit noemt, overweging 49, heeft echter geen betrekking op beveiliging. Zij verduidelijkt dat een verwerking die noodzakelijk is voor de waarborging van het vermogen van netwerk- en informatiesystemen om de vertrouwelijkheid, integriteit, beschikbaarheid en authenticiteit van persoonsgegevens te realiseren, rechtmatig is.2 De relatie die hiermee wordt aangebracht tussen authenticiteit enerzijds en vertrouwelijkheid, integriteit, beschikbaarheid en beveiliging van netwerk- en informatiesystemen anderzijds, doet de vraag rijzen of de relevantie van de authenticiteit van gegevens ook kan doorklinken in de beveiligingsverplichtingen.

Het is lastig vast te stellen wat de EU-wetgever met de term ‘authenticiteit’ heeft bedoeld. Dit komt niet alleen doordat de AVG deze term niet nader toelicht, maar ook doordat hier binnen de informatica geen eenduidige definitie van bestaat. Zo spreken veel beveiligings­specialisten slechts over een ‘authentiek’ beveiligingsobject indien dit object – kort gezegd – niet is gewijzigd sinds het is gecreëerd,3 terwijl informatie­beveiligings­specialisten de term overwegend gebruiken wanneer de verzender van een bericht onomstotelijk vaststaat.4

De AVG-term lijkt met geen van deze benaderingen volledig overeen te komen. Bij de eerste definitie zou de preambule expliciteren dat persoons­gegevens mogen worden verwerkt om te verzekeren dat andere gegevens niet meer kunnen worden veranderd – een lezing die onverenigbaar is met onder meer het beginsel van juistheid en het recht op rectificatie, en technisch gezien bovendien onlogisch is.5 Ook de tweede definitie lijkt niet volledig te zijn omarmd. In de preambule van de AVG wordt immers niet zozeer verwezen naar de authenticiteit van berichten, maar naar de authenticiteit van persoonsgegevens. Mogelijk moet deze definitie echter iets breder worden getrokken, en gaat het – gezien het onderwerp van de AVG - niet zozeer om de verzender van een bericht, maar om de verstrekker van gegevens. Verwerkingen die noodzakelijk zijn voor de authenticiteit van persoonsgegevens (en waarvan de preambule dus aangeeft dat ze rechtmatig zijn), dienen er in dat geval toe de juistheid, verifieerbaarheid en/of originaliteit van de bron van deze gegevens vast te stellen. Zij maken het zodoende mogelijk bijvoorbeeld de identiteit te controleren van een persoon die toestemming voor persoonsgegevens­verwerkingen geeft of een inzageverzoek indient.6 Ook kunnen verwerkingsverantwoordelijken en verwerkers met dergelijke verwerkingen achterhalen van wie gegevens zijn verkregen, wat mogelijk iets kan zeggen over hun juistheid. Overweging 49 van de preambule dient er bij deze uitleg toe aan te geven wat de geldige verwerkingsgrondslag voor dergelijke ‘controle­verwerkingen’ is.7

Als beveiliging moet bijdragen aan de authenticiteit van gegevens, dienen verwerkingsverantwoordelijken en verwerkers, afgaande op wat hierboven bleek, waarschijnlijk maatregelen te treffen die garanderen dat de broninformatie van gegevens niet ongeoorloofd of onrechtmatig wordt aangepast.8 Omdat dergelijke maatregelen de aanpassing en aantasting van gegevens tegengaan, zullen zij echter in de eerste plaats worden getypeerd als integriteitsmaatregelen.9 In de context van beveiliging wordt authenticiteit daarom wel gezien als een onderdeel van integriteit, en niet als een zelfstandig beveiligingsdoel.10 Om te kunnen beoordelen of, en zo ja, hoe authenticiteit van gegevens een zelfstandige rol vervult in de context van art. 5 lid 1 onder f en 32, moet authenticiteit dan ook worden afgezet tegen integriteit.11 Gelet op het ruime bereik van integriteit is de toegevoegde waarde van authenticiteitswaarborging hierbij niet meteen duidelijk. In de context van de gehele AVG bestaat deze mogelijk uit de verplichting tot het onder bepaalde omstandigheden verrichten van de eerder aangehaalde controle­verwerkingen. Nu deze verplichting echter niet zozeer zou zijn gerelateerd aan beveiliging, vervult authenticiteit als beveiligingsdoel in de context van de AVG-beveiligingsbepalingen naar mijn mening geen zelfstandige rol.12 Bij de vormgeving van persoonsgegevensbeveiliging hoeven dan ook alleen de eerder behandelde beveiligingsdoelen te worden meegenomen.