6.5.1 Algemeen: art. 40 en 42 AVG

Verwerkingsverantwoordelijken en verwerkers kunnen zich met hun beveiliging ‘aansluiten’ bij een goedgekeurde gedragscode in de zin van art. 40 AVG of een goedgekeurd certificeringsmechanisme in de zin van art. 42 AVG. Art. 32 lid 3 AVG bepaalt dat zij dergelijke aansluiting vervolgens kunnen gebruiken ‘als element’ om aan te tonen dat ze aan art. 32 AVG voldoen.1

Gedragscodes en certificeringsmechanismen zijn ‘vrijwillige instrumenten voor verantwoording’ waarin per categorie verwerkingsverantwoordelijken en verwerkers specifieke regels voor gegevensbescherming worden beschreven.2 Ze worden opgesteld door partijen met kennis van de praktijk, en beschrijven hoe verwerkings­verantwoordelijken en verwerkers volgens hen voldoen aan (onder meer) art. 5 lid 1 onder f en 32 AVG.3 Gedragscodes en certificerings­mechanismen bieden zo houvast bij de invulling van deze bepalingen.

Voordat verwerkingsverantwoordelijken en verwerkers het aansluiten bij een gedragscode of certificerings­mechanisme kunnen gebruiken als element om de naleving van art. 32 AVG aan te tonen in de zin van lid 3 van deze bepaling, moeten die zijn ‘goedgekeurd’.4 Ik ga hieronder kort in op de twee instrumenten en hun goedkeuringseisen.

Gedragscodes worden opgesteld door (handels)verenigingen en organen die categorieën van verwerkingsverantwoordelijken en verwerkers vertegenwoordigen.5 Ze gaan veelal over één of meerdere bepalingen uit de AVG, zoals de beveiligingsbepalingen. Ze vullen deze bepalingen nader in voor een bepaalde groep normadressaten en leggen zo uit hoe zij de bepalingen moet toepassen.

Gedragscodes moeten, om te worden goedgekeurd in de zin van de AVG, in de ontwerpfase aan de toezichthouder worden voorgelegd. De nationale toezichthouder, voor Nederland de AP, verleent goedkeuring indien zij van mening is dat de code voldoende passende waarborgen biedt.6 Als een gedragscode eenmaal is goedgekeurd, moeten ook wijzigingen of uitbreidingen daarvan ter goedkeuring worden voorgelegd. Een door een nationale toezichthouder goedgekeurde gedragscode, wijziging of uitbreiding kan door de Commissie als algemeen geldig binnen de EU worden verklaard.7

De AP heeft tot nu toe slechts één gedragscode goedgekeurd: de Data Pro Code. Deze gedragscode is gericht op verwerkers.8 De gedragscode betreft de gehele AVG. Ze gaat ervan uit dat de voornaamste verantwoordelijkheid voor het naleven van de AVG bij de verwerkings­verantwoordelijke ligt.9 Op het gebied van persoonsgegevensbeveiliging bepaalt de code dat een verwerker zijn opdrachtgever dient te informeren over de door hem getroffen beveiligingsmaatregelen, zodat deze opdrachtgever (veelal de verwerkingsverant­woordelijke)10 kan beoordelen of deze maatregelen voldoen aan de eisen die de AVG stelt. De verwerker dient het Data Pro Statement, waarin hij de door hem getroffen maatregelen beschrijft, in de verwerkingsovereenkomst op te nemen of elders te publiceren. Dit statement moet voldoen aan enkele vormvereisten uit de Data Pro Code.11 Op het gebied van beveiliging bepaalt deze gedragscode verder wat een verwerker moet doen bij een datalek en dat hij zijn gegevensbeschermingsbeleid en de door hem getroffen beveiligingsmaatregelen regelmatig moet toetsen, evalueren, en – indien nodig – aanpassen.12

Certificeringsmechanismen in de zin van de AVG zijn mechanismen voor de uitgifte van certificaten waarmee verwerkings­verant­woordelijken en verwerkers kunnen aantonen dat ze overeenkomstig de AVG handelen. Certificeringsmechanismen gaan uit van certificeringscriteria, aan de hand waarvan een geaccrediteerd certificeringsorgaan in een concreet geval bepaalt of het al dan niet een certificaat uitgeeft. Ook beschrijven ze de certificerings­procedure, die aangeeft hoe deze beoordeling plaatsvindt.13

Om te gelden als een ‘goedgekeurd certificeringmechanisme’ in de zin van art. 42 AVG, moeten de certificeringscriteria van het mechanisme zijn goedgekeurd door het Europees Comité voor gegevensbescherming of de AP (tezamen met de Raad voor Accreditatie, de RvA). De certificering moet daarnaast worden verricht door een certificeringsorgaan dat hiertoe is geaccrediteerd door de toezichthouder of een nationaal accreditatieorgaan.14 Indien het Europees Comité voor gegevensbescherming de criteria voor een nationaal AVG-certificaat goedkeurt, kan dit leiden tot een zogenaamd Europees gegevensbeschermingszegel.15

Binnen Nederland zijn er tot nu toe nog geen geaccrediteerde certificeringsorganen of goedgekeurde certificeringscriteria.16 De certificaten waaraan binnen het informatiebeveiligingsdomein belang wordt gehecht, zoals het ISO 27001-certificaat, zijn dan ook geen zogenoemde AVG-certificaten.17 Verder geldt ook een zogenoemd Europees beveiligingscertificaat niet automatisch als een certificaat in de zin van de AVG.18 Europese beveiligingscertificaten (waarover meer in §7.2.2.2) vereisen immers geen goedkeuring van de certificeringscriteria door de AP. Dit neemt overigens niet weg dat de AP bij het verlenen van deze goedkeuring wel inspiratie kan ontlenen aan de criteria die de Cyberbeveiligings­verordening aan certificaten stelt.19