2.3.1 Het aantonen van normschending

Op grond van artikel 150 Rv is het aan de betrokkene om te stellen en bij betwisting te bewijzen dat de verwerkingsverantwoordelijke tekort is geschoten in het nemen van adequate beveiligingsmaatregelen die moeten beschermen tegen de onrechtmatige verwerking van persoonsgegevens. Een onrechtmatige verwerking betreft onder andere diefstal, verlies, aantasting, onbevoegde wijziging of onbevoegde inzage van persoonsgegevens.1 Daarvoor zal de betrokkene moeten aanvoeren dat de verwerkingsverantwoordelijke in strijd heeft gehandeld met de wettelijke plicht tot het nemen van ‘passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen’ (artikel 32 lid 1 AVG). Een voorbeeld van een technische maatregel is het gebruik van versleuteling. Een organisatorische maatregel kan bijvoorbeeld zijn het screenen van werknemers of het hanteren van een datalekprotocol.

De hoge mate van informatieasymmetrie tussen de betrokkene en de verwerkingsverantwoordelijke maakt het aantonen van de schending van de beveiligingsplicht lastig voor de betrokkene. Het gegevensverwerkingsproces vindt immers plaats achter gesloten deuren.2 De betrokkene is daarom afhankelijk van de informatie die hij van de verwerkingsverantwoordelijke moet ontvangen op grond van de informatieplicht (artikel 12-14 AVG), het inzagerecht (artikel 15 AVG) of de meldingsplicht bij een datalek (artikel 34 AVG). Dit betekent dat de betrokkene slechts in beperkte mate kennis kan nemen van eventuele onregelmatigheden in de gegevensverwerking en de gevolgen daarvan slechts beperkt kan inschatten.3

Bovendien biedt de open norm van artikel 32 lid 1 AVG weinig houvast. 4 Of de maatregelen ‘passend’ waren, toetst de rechter over het algemeen pas nadat het datalek heeft plaatsgevonden. Daarbij neemt de rechter de risico’s die voorafgaand aan of tijdens5 de verwerking door de verwerkingsverantwoordelijke zijn waargenomen, of hadden moeten zijn gesignaleerd, als uitgangspunt.6 De beveiligingsmaatregelen zijn passend als de verwerkingsverantwoordelijke adequaat beveiligd heeft tegen al hetgeen redelijkerwijs voorzienbaar is geweest.7 Een datalek duidt dus niet noodzakelijkerwijs op nalatigheid in de beveiliging.8

Voor de gemiddelde betrokkene is het lastig om te achterhalen of de maatregelen passend waren, aangezien hij niet dezelfde technische kennis en deskundigheid heeft als de verwerkingsverantwoordelijke.9 Hij kan daarom slechts beperkt inschatten wat de verwerkingsrisico’s waren en in hoeverre de beveiligingsmaatregelen daarop aansloten.10