8.4.2 Het treffen van maatregelen: vrije keuze

De AVG-beveiligingsbepalingen schrijven niet voor welke beveiligings­maatregelen verwerkingsverantwoordelijken en verwerkers moeten treffen. In art. 32 lid 1 AVG zijn weliswaar enkele maatregelen genoemd, maar die hoeven alleen te worden getroffen indien ‘passend’. Uit mijn onderzoek is gebleken dat verwerkingsverantwoordelijken en verwerkers door de open en technologieneutrale formulering van art. 5 lid 1 onder f en 32 AVG veel keuzevrijheid hebben bij het treffen van beveiligingsmaatregelen. Deze hoeven ‘slechts’ passend te zijn gezien enkele omstandigheden (zie §8.4.3). Deze systematiek past bij het informatie­beveiligingsdomein, waarbij de procesbegeleiding veel ruimte laat voor eigen invulling aan de hand van de omstandigheden van het geval.1

Een min of meer open en technologieneutrale formulering, waarbij de te treffen maatregelen afhankelijk zijn van verschillende elementen maar vrij mogen worden gekozen door degene die ze moeten treffen, is gangbaar bij EU-cyberbeveiligings­voorschriften. De meeste andere bepalingen die ik heb besproken, laten echter minder ruimte dan art. 5 lid 1 onder f en 32 AVG.2 Uit mijn onderzoek blijkt dat de openheid van deze AVG-beveiligingsbepalingen samenhangt met hun brede karakter (zie §8.2, i.h.b. §8.2.2).3 Andere EU-cyber­beveiligingsbepalingen, bijvoorbeeld de regels die van toepassing zijn in een meer specifieke context of zien op meer specifieke gegevens, zijn verder geconcretiseerd, zij het op een open wijze.4 De open en technologieneutrale formulering van de AVG-beveiligingsbepalingen maken deze bepalingen flexibel genoeg om alle situaties te beslaan die onder de reikwijdte van de AVG vallen.5

Verwerkingsverantwoordelijken en verwerkers hebben niet de volledige vrijheid bij de keuze voor beveiligingsmaatregelen. Dit heeft voor beide normadressaten drie redenen.

Allereerst brengen de AVG-beveiligingsvoorschriften mee dat de te treffen beveiligingsmaatregelen het passende beveiligingsniveau moeten bewerkstelligen.6 Passende beveiligings­maatregelen moeten, met andere woorden, effectieve maatregelen zijn.7 Wanneer de verwezenlijking van het passende beveiligings­niveau alleen met een of meer specifieke maatregel(en) kan worden bereikt, dan brengt dit feitelijk mee dat art. 5 lid 1 onder f en art. 32 lid 1 AVG het treffen van deze specifieke maatregel(en) voorschrijven. De EU-wetgever, AP of rechter kan verwerkingsverantwoordelijken en verwerkers echter niet verplichten tot het treffen van een kostbare beveiligingsmaatregel die zij zelf moeten betalen, wanneer het passende beveiligingsniveau ook op een andere manier kan worden gewaarborgd. Dit zou een ongerechtvaardigde inmenging zijn in het recht op de vrijheid van ondernemerschap.8 Zie voor enkele voorbeelden van maatregelen die vaak moeten worden getroffen §8.4.4.

Verder moeten verwerkings­verantwoordelijken bij de vormgeving van beveiliging rekening houden met alle beginselen inzake verwerking van persoonsgegevens.9 Dit betekent doorgaans dat zij bijvoorbeeld geen extra (gevoelige) gegevens mogen verwerken om andere gegevens te kunnen beveiligen, wat hun keuzevrijheid beperkt. Ook moeten verwerkingsverantwoordelijken de keuzevrijheid van verwerkers beperken. Verwerkingsverantwoordelijken dienen te regelen dat verwerkers de beveiligingsmaatregelen die zij beogen te treffen aan hen voorleggen.10 Overigens kunnen verwerkings­verantwoordelijken verwerkers ook volledig voorschrijven welke maatregelen zij moeten treffen.

Ten slotte is van belang dat de invulling van de AVG-beveiligingsnormen, gezien de doelstelling van de AVG, geharmoniseerd moet geschieden.11 EU-rechtelijke bepalingen mogen niet worden uitgelegd, ingevuld of toegepast op een manier die tot gevolg kan hebben dat er binnen de EU geen gelijk beschermingsniveau meer bestaat.12 De uitleg van de AVG-beveiligingsbepalingen zal in de gehele EU dan ook moeten plaatsvinden op vergelijkbare wijze. Dit volgt overigens ook uit de regels betreffende de eenvormige toepassing van de AVG.13 Wanneer art. 5 lid 1 onder f en art. 32 AVG verder worden ingevuld door maatregelen die harmonisatie beogen, bijvoorbeeld door EU-breed erkende gedragscodes en certificeringsmechanismen (zie hierna), zal dit de keuzevrijheid van verwerkingsverantwoordelijken en verwerkers dan ook beperken.14 Zij zullen hun beveiliging dan niet meer kunnen vormgeven op een manier die niet meer met deze codes en mechanismen te verenigen is. Tot op heden is dit echter nog niet gebeurd.