1.2.2 Methode en afbakening: contextuele benadering

Bij een analyse van EU-rechtelijke open voorschriften ligt het voor de hand veel aandacht te besteden aan uitspraken van het Hof van Justitie van de Europese Unie (HvJ EU) die over hun invulling gaan. Vooralsnog heeft het HvJ EU, overigens evenals de Hoge Raad en de Afdeling Bestuursrechtspraak van de Raad van State, zich echter niet uitgelaten over de invulling van de AVG-beveiligingsbepalingen.1 Ik ben daarom op zoek gegaan naar andere aanknopingspunten die houvast bieden bij de uitleg van de AVG-beveiligingsbepalingen. Vervolgens beoordeel ik welke inzichten die verschillende invalshoeken tezamen in deze bepalingen bieden.

De methode waar ik in mijn onderzoek gebruik van heb gemaakt is hoofdzakelijk de juridisch-dogmatische.2 Ook baseer ik mij op literatuur op het gebied van de informatiebeveiliging. Ik hanteer tekstanalytische methoden en beoog aan de hand van argumenten en redeneerwijzen oplossingen te vinden voor rechtsvragen rondom de AVG-beveiligingsbepalingen. Om de AVG-beveiligingsbepalingen inzichtelijk te maken en houvast te bieden bij de invulling van de beveiligings­verplichtingen, benader ik art. 5 lid 1 onder f en 32 AVG vanuit verschillende perspectieven, die ik contexten noem. Bij deze contextuele behandeling analyseer ik op basis van nationale en internationale bronnen welke inzichten relevant zijn bij de invulling van de beveiligingsbepalingen. Daarbij ga ik in op de specifieke dynamiek van het persoonsgegevens­beschermingsrecht en probeer ik aanknopingspunten te vinden voor een duiding van het karakter en de inhoud van de AVG-beveiligingsbepalingen. Ik behandel daarom alle contexten die duidelijkheid kunnen bieden over de uitleg van art. 5 lid 1 onder f en 32 AVG en argumenten kunnen verschaffen in het kader van de tekstuele, systematische, doelgerichte/teleologische, vergelijkende en historische rechtsvindings­methoden.

De contexten die ik bespreek zijn de tekst en systematiek van de art. 5 lid 1 onder f en 32 AVG, het informatie­beveiligings­­domein, de rechtshistorische context, de doelstelling van de AVG, de voor persoonsgegevensbeveiliging relevante systematiek van de AVG en enkele met art. 32AVG vergelijkbare geformuleerde bepalingen in het EU-recht. Omdat termen uit het EU-recht (zoals ‘passende beveiligingsmaatregelen’ en ‘het passende beveiligings­niveau’) in beginsel autonoom moeten worden uitgelegd, heb ik ervoor gekozen de bepalingen niet vanuit het Nederlandse nationale recht te benaderen.3 Ieder hoofdstuk bevat de beschrijving van een van deze contexten (zie over de opzet van deze studie verder §1.3). In de inleidende paragrafen van de betreffende hoofdstukken ga ik steeds in op de manier waarop deze besproken context kan bijdragen aan de invulling van de AVG-beveiligingsbepalingen. Omdat mijn onderzoek is gericht op de invulling van de open norm, beperk ik de bespreking van art. 32 AVG tot de leden 1 en 2 van deze bepaling. Art. 32 lid 3 en 4 AVG zijn niet open geformuleerd en behoeven daarom geen verdere invulling. Zij komen daarom slechts zijdelings ter sprake.4

Mijn onderzoek is verkennend van aard. Deze invalshoek past bij de huidige stand van zaken. Hoewel er een met art. 32 AVG sterk vergelijkbare bepaling bestond onder het regime van de (omzettingswetgeving van) de Dataprotectierichtlijn, hebben de beveiligingsbepalingen uit het Europese persoons­gegevens­beschermingsrecht slechts een beperkte ontwikkeling doorgemaakt.5 Zo bestaat er – zoals gezegd – nog geen richtinggevende rechtspraak op dit punt en is er nog niet veel over de invulling van deze bepalingen geschreven. Gedetailleerde en uitgesproken conclusies over welke maatregelen in welke omstandigheden passend zijn en wat voor beveiligingsniveau wanneer moet worden gerealiseerd, kunnen niet worden getrokken op basis van de kleine hoeveelheid bronnen die op deze verdragsbepalingen betrekking hebben. Een meer verkennende benadering is daarom vereist. Dit past overigens ook beter bij het open karakter van de AVG-beveiligingsbepalingen en de elkaar snel opvolgende ontwikkelingen op het gebied van informatiebeveiliging.6 Conclusies over de daadwerkelijk te treffen maatregelen zouden snel aan waarde inboeten bij het verschijnen van rechtspraak of het voortschrijden van de techniek. Ik heb dan ook geen ‘omstandig­hedencatalogus’ opgesteld waaruit blijkt onder welke omstandigheden welke beveiligingsmaatregelen moeten worden getroffen of welk beveiligings­niveau moet worden gewaarborgd. In plaats daarvan verduidelijk ik het karakter en de inhoud van de AVG-beveiligingsbepalingen door de achterliggende contexten te analyseren. Dit biedt een kader voor de rechtspraktijk en -wetenschap voor de invulling van de artikelen in een concreet geval.

Met mijn onderzoek wil ik houvast kunnen bieden aan verwerkings­verantwoordelijken, verwerkers, betrokkenen, rechters en toezichthouders. Omdat de uiteindelijke invulling van de AVG-beveiligingsbepalingen afhangt van de uitleg die het HvJ EU aan art. 5 lid 1 onder f en 32 AVG geeft,7 heb ik geprobeerd aansluiting te zoeken bij de manier waarop dit HvJ EU tot zijn oordelen komt. De contextuele benadering die ik voor dit onderzoek heb gekozen, sluit mijns inziens aan bij de redeneermethode die het HvJ EU hanteert.8

Wanneer het HvJ EU duidelijkheid verschaft over een EU-rechtelijke bepaling en de verplichtingen die daaruit in een specifiek geval voortvloeien, benadert het deze bepaling doorgaans vanuit verschillende invalshoeken. In de literatuur worden meerdere soorten door het HvJ EU gebruikte redeneringen onderscheiden. Beck, die uitgebreid onderzoek heeft gedaan naar de argumentatie van het HvJ EU, maakt onderscheid tussen redeneringen die zijn gebaseerd op tekstuele, systematische, doelgerichte/teleologische, vergelijkende en historische/op intentie-gebaseerde rechtsvindingsmethoden.9 In de uitspraken van het HvJ EU ten aanzien van het persoonsgegevens­beschermingsrecht zijn al deze type redeneringen terug te vinden.10 Overigens hanteert het HvJ EU deze methoden niet allemaal in gelijke mate. Uit onderzoek uit 2014 blijkt dat het zich bij de uitleg van een nieuwe bepaling in het bijzonder baseert op eerdere uitspraken en de tekst van de wet. Vervolgens kijkt het HvJ EU het meest naar de teleologische achtergrond van de bepaling, en daarna naar de geschiedenis ervan en naar redeneringen die zijn gebaseerd op systematiek.11 In de hoofdstukken 2 tot en met 7 benader ik elke context zelfstandig. In hoofdstuk 8 bespreek ik in hoeverre zij bij de uitleg van de AVG-beveiligingsbepalingen met elkaar botsen of stroken.

Het HvJ EU legt EU-rechtelijke bepalingen volgens vaste rechtspraak uit tegen de “achtergrond en het doel ervan en van de daarbij ingevoerde regeling”: “the aims pursued by the directive and the system it establishes”.12 Dit blijkt ook in zijn uitspraken aangaande het persoonsgegevens­beschermingsrecht.13 Het HvJ EU is daarbij niet volledig consistent in de door hem gebruikte terminologie. In Commissie v. Duitsland wordt bijvoorbeeld niet gesproken over de ‘achtergrond’, maar over de ‘opzet’ van de regeling – ‘the scheme of the directive’.14 Het HvJ EU heeft nooit uitdrukkelijk toegelicht wat het onder de ‘achtergrond’ of ‘opzet’ verstaat. Nu het onder meer teleologische, historische, systematische en vergelijkende argumenten aan zijn beslissingen ten grondslag kan leggen, lijken deze begrippen breed te moeten worden begrepen. Bij de uitleg van een bepaling kan mogelijk dan ook de volledige context van zowel de uit te leggen bepaling als de regeling waarin deze is opgenomen een rol spelen.15 Omdat ik in mijn onderzoek een zo volledig mogelijk beeld van de norm schets, sluit mijn onderzoek goed aan bij de wijze waarop het HvJ EU bepalingen uitlegt.

Dit onderzoek is afgerond op 1 januari 2022.