5.3.3 De vrijheid en de beveiliging van persoonsgegevens

Het vrije verkeer van persoonsgegevens en de werking van de interne markt worden in de AVG en de Dataprotectierichtlijn niet direct aan art. 5 lid 1 onder f en 32 AVG gekoppeld. Desondanks bestaat hier, zo blijkt uit de Cyberbeveiligings­verordening (2019), wel een verband tussen.1

De Cyberbeveiligings­verordening regelt twee dingen: een kader voor de vaststelling van Europese cyberbeveiligings­certificerings­regelingen en de doelstellingen, taken en organisatorische aangelegenheden van ENISA (het Agentschap van de EU voor cyberbeveiliging).2 Deze twee type regels moeten tezamen de cyber­beveiligings­­risico’s van de toenemende digitalisering en connectiviteit beperken en zo (1) de werking van de interne markt te waarborgen en (2) een hoog niveau van cyberbeveiliging, cyberweerbaarheid en -vertrouwen binnen de EU bewerkstellingen.3

Van de regels uit de Cyberbeveiligingsverordening zijn in het bijzonder de regels over het kader voor cyberbeveiligingscertificerings­regelingen aan beveiliging gerelateerd. Dit kader kan effect hebben op de inhoudelijke vormgeving van beveiliging (zie inhoudelijk §7.2.2.2). Het dient ter realisatie van beide oogmerken van de Cyberbeveiligings­verordening: het moet bewerkstelligen dat er in de gehele EU een toereikend cyberbeveiligingsniveau wordt gegarandeerd en voorkomen dat er op het gebied van cyberbeveiligingscertificeringsregelingen versnippering van de interne markt ontstaat.4 De EU-wetgever neemt hiermee een directe relatie aan tussen de totstandkoming en werking van de interne markt en de realisatie van een gelijk cyberbeveiligings­niveau.5 Verder draagt het kader voor certificeringsregelingen bij aan de interne markt doordat de verhoging van het beveiligingsniveau dat deze regelingen bewerkstelligt, zorgt voor een groter vertrouwen van betrokkenen. Het kader draagt hier verder aan bij doordat het de transparantie van de cyberbeveiligingszekerheid van ICT-producten, diensten en -processen vergroot.6

De Cyberbeveiligingsverordening heeft betrekking op cyberbeveiliging in het algemeen, en niet specifiek op de beveiliging van persoonsgegevens. Toch kunnen uit haar preambule en systematiek enkele conclusies worden getrokken over de rol van art. 5 lid 1 onder f en 32 AVG bij de totstandkoming van de interne markt. Zo benoemt haar preambule dat de AVG een hoog cyberbeveiligings- en vertrouwensniveau in de digitale eengemaakte markt bewerkstelligt.7 Gezien het sterke verband tussen de verwezenlijking van de interne markt en het vrije verkeer van persoonsgegevens, zal dit vertrouwen tevens bijdragen aan het vrije verkeer van persoonsgegevens.8

Al met al zullen art. 5 lid 1 onder f en 32 AVG bijdragen aan de interne markt doordat zij een harmoniserend effect hebben en het vertrouwen in de interne markt vergroten. Verder is relevant dat art. 32 lid 3 AVG, net als de cyberbeveiligingsverordening betrekking heeft op certificerings­mechanismen. Deze bepaling stimuleert verwerkings­verant­woordelijken en verwerkers om zich aan te sluiten bij goedgekeurde gedragscodes en goedgekeurde certificerings­mechanismen (zie hierover §6.5). Deze codes en mechanismen kunnen, net als het kader voor cyberbeveiligingscertificeringsregelingen uit de Cyberbeveiligingsverordening, resulteren in een hoog beveiligingsniveau en zo het vertrouwen in de interne markt vergroten.9 Nu hun totstandkoming bovendien op EU-niveau moet worden gestimuleerd, hebben ze bovendien een (aanvullende) harmoniserende functie. Ze kunnen er immers voor zorgen dat de bepalingen binnen de EU hetzelfde worden uitgelegd.10 De waarde van de beveiligingsbepalingen voor de totstandkoming van de interne markt, lijkt met andere woorden vooral te zitten in hun effect op harmonisatie en vertrouwen. Zie in dit kader wel nog §5.4.2.