1.3 Structuur en opzet

In dit onderzoek plaats ik art. 5 lid 1 onder f en 32 AVG in meerdere contexten om zo meer duidelijkheid over deze bepalingen te creëren.

Na dit inleidende hoofdstuk volgt hoofdstuk 2. Hierin bespreek ik de tekst van art. 5 lid 1 onder f en 32 AVG en ga in op het toepassingsbereik, de normadressaten en de systematiek van deze bepalingen. Deze uiteenzetting heeft een dubbele functie. Zij strekt er ten eerste toe art. 5 lid 1 onder f en 32 AVG te introduceren en de tekst daarvan te bespreken, zodat ik hierop kan teruggrijpen in de volgende hoofdstukken. Verder dient zij ertoe deze bepalingen vanuit hun eerste context te beschouwen: de tekstuele.

In hoofdstuk 3 zet ik de AVG-beveiligingsbepalingen af tegen de normen en gebruiken van de praktijk die zij regelen: de informatiebeveiligingspraktijk. De bespreking hiervan biedt meer inzicht in de betekenis van enkele begrippen uit art. 5 lid 1 onder f en 32 AVG, in de praktische context waarbinnen de AVG-beveiligingsbepalingen spelen, en in de manier waarop beveiliging volgens de best practices van informatiebeveiligings­specialisten moet worden benaderd. Ook verduidelijk ik in dit hoofdstuk waaruit een ‘beveiligingsniveau’ bestaat en wat voor typen beveiligingsmaatregelen er zijn.

In hoofdstuk 4 beschrijf ik de AVG-beveiligingsbepalingen vanuit hun rechtshistorische perspectief. Daarbij bespreek ik de manier waarop de verplichting tot het beveiligen van persoons­gegevens(verwerkingen) zich door de jaren heen in Europa heeft ontwikkeld. Ook de totstandkoming en werking van het Handvest van de Grondrechten van de Europese Unie en het Verdrag van Lissabon en het effect hiervan op het persoonsgegevensbeschermingsrecht van de EU komen hierbij aan bod.

In hoofdstuk 5 ga ik in op de doelstelling van de AVG en bekijk ik de AVG-beveiligingsbepalingen vanuit teleologisch oogpunt. Daarbij bespreek ik de functies die art. 5 lid 1 onder f en 32 AVG vervullen bij de realisatie van beide doelen van de AVG (de bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen en de waarborging van het vrije verkeer van persoonsgegevens). Ik ga onder meer in op de bij persoonsgegevensbeveiliging betrokken grondrechten en op het belang van geharmoniseerde beveiligingsregels voor de totstandkoming van de interne markt.

In hoofdstuk 6 benader ik de AVG-beveiligingsbepalingen vanuit het systeem van de AVG. Daarbij ga ik in op verschillende andere bepalingen uit deze verordening. De bepalingen die ik behandel, raken aan art. 5 lid 1 onder f en 32 AVG. Ik bespreek hoe ze zich verhouden tot de AVG-beveiligingsbepalingen, hoe ze worden ingevuld en wat voor houvast dit biedt voor de invulling van de beveiligingsverplichtingen.

In hoofdstuk 7 ga ik in op het aan art. 5 lid 1 onder f en 32 AVG gerelateerde EU-recht en -beleid. In dit kader komen enkele met art. 5 lid 1 onder f en 32 AVG vergelijkbaar geformuleerde voorschriften aan bod. Daarbij bespreek ik de invulling van deze bepalingen en het inzicht dat zij bieden in de AVG-beveiligingsbepalingen. Ook ga ik in op het zogenoemde ‘cyberbeveiligingsbeleid’ van de EU.

Het laatste hoofdstuk van deze studie, hoofdstuk 8, betreft de synthese en afronding. Hierin breng ik samen wat uit de hoofdstukken 2 tot en met 7 is gebleken en bespreek ik welke conclusies hieruit kunnen worden getrokken voor de invulling van de AVG-beveiligingsbepalingen.