2.1 Inleiding

In dit hoofdstuk ga ik nader in op de tekst en systematiek van art. 5 lid 1 onder f en 32 AVG. Daarbij komen onder andere de normadressaten, de opzet en het toepassingsgebied van deze bepalingen aan bod. In de context van mijn onderzoek vervult dit hoofdstuk meerdere functies. Allereerst vormt het een introductie van de AVG-beveiligings­bepalingen, zodat ik hier op andere plaatsen in deze studie naar terug kan verwijzen. Verder verschaft het enkele eerste aanknopingspunten voor de invulling van deze bepalingen. Deze hebben voornamelijk betrekking op het karakter van de AVG-beveiligings­verplichtingen. Zo zal blijken dat uit de opzet van deze bepalingen volgt dat het van de omstandigheden van een concrete verwerking afhangt waartoe de AVG precies verplicht. Hun ruime toepassingsgebied brengt mee dat deze omstandigheden per geval zeer uiteenlopend kunnen zijn. Ten slotte biedt dit hoofdstuk inzicht in de ruimte die de wet biedt bij de invulling en uitleg van de AVG-persoonsgegevens­beveiligings­bepalingen.1 Het verduidelijkt zo de kaders waarbinnen de aanknopingspunten, die ik in de deze studie voor deze invulling en uitleg geef, een rol kunnen vervullen.2

Hierna volgt eerst een korte weergave van art. 5 lid 1 onder f en 32 AVG en een bespreking van hun normadressaten en toepassingsgebied (§2.2). Daarbij merk ik op wat opvalt aan de tekst van deze bepalingen en komen de in het gegevens­beschermings­recht meest elementaire begrippen aan bod: persoonsgegevens, persoons­gegevens­verwerkingen, verwerkings­verant­woordelijke en verwerker. Vervolgens ga ik nader in op de opzet van de AVG-beveiligingsbepalingen (§2.3). Hierbij ligt de focus op de vormgeving van deze bepalingen. Ik bespreek in dit kader de open formulering van art. 5 lid 1 onder f en 32 AVG en de belangrijke rol van de omstandigheden van een verwerking bij hun invulling en naleving. Ook bespreek ik de verhouding tussen het waarborgen van het passende beveiligingsniveau en het treffen van passende beveiligingsmaatregelen. De afsluitende paragraaf is een synthese. Hierin geef ik weer welke aanknopingspunten de tekst en systematiek van art. 5 lid 1 onder f en 32 AVG bieden voor de uitleg van deze bepalingen (§2.4).