3.2.2 Persoonsgegevensbeveiliging en de ISO 27000-reeks

Binnen de informatiebeveiligingspraktijk is er veel sprake van zelfregulering, vooral door middel van normen (ook wel standaarden genoemd). Deze normen bieden houvast bij de vormgeving van beveiliging. Sommige specialisten betogen dat normen kunnen meebrengen dat organisaties slechts doen wat nodig is om aan de daarin gestelde eisen te voldoen (en dat ze zo een race-to-the-bottom in de hand werken).1 Doorgaans gaat men er echter vanuit dat normen, zeker wanneer voor hun toepassing een certificaat wordt afgegeven, dienen als kwaliteitswaarborgen.2 Voor de beveiliging van persoonsgegevens zijn in het bijzonder de ISO 27000-normen van belang.3 Ik ga hieronder kort in op deze normen en hun juridische relevantie. In de volgende paragrafen bespreek ik de inhoud en toepassing van deze normen.

De ISO 27000-normenreeks is opgesteld door de Internationale Organisatie voor Standaardisatie (ISO). Ze beschrijft de beste praktijk­aanbevelingen voor informatie­beveiligings­beheer­systemen (en daaraan gerelateerde onderwerpen). De reeks omvat meer dan vijftig gepubliceerde of op dit moment in ontwikkeling zijnde normen en richtlijnen.4 Drie daarvan worden gezien als de basis en zijn bijvoorbeeld overgenomen als Europese Norm (waarover hierna meer). Het gaat om NEN-EN-ISO/IEC 27000:2020, NEN-EN-ISO/IEC 27001:2017 en NEN-EN-ISO/IEC 27002:2017 (hierna resp. ISO 27000, ISO 27001 en ISO 27002).

ISO 27000 is een introductie. Zij bevat onder meer definities van begrippen die veelvuldig in de normenreeks terugkomen en geeft aan hoe de normen uit de ISO 27000-reeks zich tot elkaar verhouden.5

ISO 27001 beschrijft de eisen waaraan een management­systeem voor informatiebeveiliging moet voldoen. Het is een technologie- en sectorneutrale norm. Wanneer een organisatie voldoet aan ISO 27001, kan zij een certificaat verkrijgen. Dit betekent dat een onafhankelijke, deskundige en betrouwbare instelling aangeeft dat er gerechtvaardigd vertrouwen bestaat dat het geïmplementeerde beveiligingsbeheer­systeem voldoet aan de eisen van ISO 27001. Het gaat als het ware om een conformiteitsbeoordeling,6 waarbij wordt onderzocht of de norm op de juiste manier is geïmplementeerd.7

ISO 27002 geeft aan welke maatregelen in de praktijk vaak belangrijk zijn en is dus niet technologieneutraal. Waar ISO 27001 het beveiligingsproces begeleidt, biedt ISO 27002 houvast bij het daadwerkelijk treffen van beveiligingsmaatregelen. Zij kan zo behulpzaam zijn bij het vertalen van beveiligingsmanagementsysteem naar beveiligingsmaatregelen.8

ISO 27000, 27001 en 27002 zijn Europese Normen (ook wel Europese Standaarden genoemd).9 Europese Normen dienen ertoe de inhoud van Europese wetgeving te verduidelijken en bij te dragen aan de werking van de interne markt.10 Er bestaat geen verplichting tot het toepassen van Europese normen.11 Wel dienen nationale normalisatie­organisaties ze om te zetten in nationale normen.12 De Nederlandse Norm (NEN) heeft ISO 27000, ISO 27001 en ISO 27002 dan ook geïmplementeerd in Nederlandse normen (NEN-normen).13 Hoewel NEN-normen in de Nederlandse praktijk vaak worden gevolgd, zijn ook zij juridisch gezien slechts adviezen en geen algemeen verbindende voorschriften.14 Organisaties zijn in beginsel dan ook niet verplicht de ISO-27000 reeks toe te passen. Wel staan bovengenoemde normen op de zogenoemde ‘pas-toe-of-leg-uit’-lijst van het Forum Standaardisatie. Overheidsorganisaties dienen ze daardoor bij voorkeur toe te passen en moeten uitleg geven indien zij dit niet doen.15

De AP acht de toepassing van de ISO 27000-reeks van groot belang.16 De normen klinken sterk door in haar eigen richtsnoeren inzake persoons­gegevens­beveiliging,17 en komen geregeld terug in haar sanctiebesluiten.18 Wanneer een verwerkings­verantwoordelijke of verwerker de ISO 27000-reeks toepast, en daar mogelijk zelfs een ISO 27001-certificaat voor heeft verkregen, neemt de AP dit daarom waarschijnlijk mee in een eventueel sanctiebesluit. Desalniettemin bestaat er geen reden om aan te nemen dat de AVG-beveiligingsbepalingen voorschrijven dat de ISO-normen moeten worden toegepast.19 Omgekeerd is het ook niet gezegd dat dergelijke toepassing altijd resulteert in een beveiligingssysteem dat voldoet aan de wettelijke verplichtingen. De normen bieden weliswaar ondersteuning bij de vormgeving van een beveiligings­systeem, maar verwerkings­verantwoordelijken en verwerkers zullen binnen de door de normenreeks gezette kaders de keuzes moeten maken die in een passend systeem resulteren.20 Toepassing van de normen doet dan ook niet af aan de verplichting om de AVG-bepalingen na te leven.21

De ISO-2700-reeks staat al met al op meerdere manieren met art. 5 lid 1 onder f AVG in verband. Allereerst zijn de meest fundamentele delen ervan Europese normen. Zulke Europese normen zijn bedoeld Europees recht in te vullen. Verder hecht de AP veel belang aan deze normen, waardoor ze – in ieder geval in Nederland – ook bij de toepassing van de AVG van belang zijn. De inhoud van de ISO-27000-reeks relateert ten slotte sterk aan de tekst van art. 5 lid 1 onder f en 32 AVG. Deze inhoud bespreek ik in de rest van dit hoofdstuk.

Ten slotte wil ik nog opmerken dat de NEN een norm ook kan ratificeren zonder dat hiertoe een verplichting bestaat, mits deze niet in strijd is met een Europese norm. Op deze manier heeft de NEN heeft ook andere normen uit de ISO 27000-reeks geratificeerd. Voorbeelden daarvan zijn de NEN-ISO/IEC 27005, die de implementatie van de andere normen begeleidt, en NEN-ISO/IEC 27701, die de waarborging van privacy in het algemeen betreft (en dus breder is dan beveiliging).22 Ook heeft de NEN enkele informatiebeveiligings­normen geratificeerd die niet door ISO zijn opgesteld, zoals de op de gezondheidszorg betrekking hebbende NEN 7510:2017 en NEN 7513:2018. Deze normen, die AP ook geregeld aanhaalt, zijn minder algemeen en bieden dus minder inzicht in de uitgangspunten van informatiebeveiliging. Ik bespreek hen daarom verder niet.