4.1 Inleiding

De AVG is niet de eerste regeling die bepaalt dat persoonsgegevens binnen Europa moeten worden beveiligd. Met art. 5 lid 1 onder f en 32 AVG lijken de regels op dit punt zelfs grotendeels gelijk gebleven.1 In dit hoofdstuk kijk ik of de voorgangers van deze bepalingen en de regelingen waarvan zij deel uitmaakten, aanknopingspunten bieden voor de invulling van de AVG-beveiligingsbepalingen. Daartoe plaats ik art. 5 lid 1 onder f en 32 AVG in hun historische context en bespreek ik de manier waarop hun voorgangers zijn geformuleerd en ingevuld. Dit biedt mogelijk inzicht in de uitgangspunten en ideeën die tot art. 5 lid 1 onder f en 32 AVG hebben geleid en maakt het mogelijk deze bepalingen te vergelijken met haar voorgangers.2 Uiteindelijk formuleer ik aanknopingspunten die dit historische kader biedt voor de invulling in de huidige verplichtingen.

Gezien de herkomst van de AVG-beveiligingsbepalingen bespreek ik in dit hoofdstuk de ontwikkeling van het Europese persoons­gegevens­beschermingsrecht. Voor zover het daarbij gaat om regelingen die moesten worden omgezet in nationaal recht, kijk ik ook naar de Nederlandse implementaties daarvan.3

Dit hoofdstuk is chronologisch gestructureerd. Ik begin met een korte beschrijving van de opkomst van het persoonsgegevens­beschermings­recht (§4.2) en ga vervolgens in op de eerste Europese regelingen op dit gebied: de privacy-resoluties van de Raad van Europa en de OESO-richtlijnen (§4.3). Aansluitend bespreek ik het eerste verdrag dat Europese landen verplichtte regels aangaande gegevensbescherming in te voeren en de regeling waarmee Nederland aan deze verplichting voldeed: het Verdrag van Straatsburg en de Wet persoonsregistraties (§4.4). In de daarop­volgende paragraaf behandel ik de eerste EU-regeling op het gebied van gegevensbescherming en de Nederlandse omzettingswet daarvan: de Dataprotectierichtlijn en de Wet bescherming persoons­gegevens (§4.5). Voordat ik tot slot inga op de AVG, bespreek ik het Handvest van de grondrechten van de Europese Unie (het Handvest/Hv) en het Verdrag van Lissabon. Deze instrumenten zijn tussentijds ingevoerd en hebben een belangrijk effect gehad op het persoonsgegevens­beschermingsrecht (§4.6). Daarna bespreek ik de AVG. Hierbij ligt de nadruk op de aanleiding voor de invoering van de AVG en de verschillen tussen art. 5 lid 1 onder f en 32 AVG aan de ene kant en de Wbp-beveiligingsbepaling aan de andere kant (§4.7).4 Ik rond dit hoofdstuk af met een schematisch overzicht van de belangrijkste ontwikkelingen van de persoonsgegevensbeveiligings­bepalingen en een overzicht van de aanknopingspunten die het rechtshistorisch perspectief op art. 5 lid 1 onder en 32 AVG biedt voor de invulling van deze bepalingen (§4.8).