Direct antwoord · AVG
Beveiliging van de verwerking
De verwerkingsverantwoordelijke en de verwerker treffen passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat past bij het risico (artikel 32 lid 1). Wat passend is, hangt af van de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doelen van de verwerking, en de kans op en de ernst van de risico's voor mensen. Waar passend horen daarbij pseudonimisering en versleuteling, het blijvend waarborgen van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen en diensten, het tijdig herstellen van de toegang tot de gegevens na een incident, en een procedure om de maatregelen op gezette tijden te testen en te evalueren (artikel 32 lid 1 onder a tot en met d). Bij de beoordeling telt vooral het risico op vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot gegevens (artikel 32 lid 2). Dit volgt uit het beginsel van integriteit en vertrouwelijkheid (artikel 5 lid 1 onder f). Het Hof van Justitie oordeelde in Natsionalna agentsia za prihodite dat een geslaagde hack op zichzelf niet bewijst dat de maatregelen tekortschoten: de rechter beoordeelt ze concreet tegen de risico's, en bij een schadeclaim moet de verwerkingsverantwoordelijke bewijzen dat ze passend waren. In MediaMarktSaturn oordeelde het Hof hetzelfde over een document dat medewerkers per vergissing aan een derde gaven.
Dit stelt u zelf vast
- Welke risico's brengt deze verwerking mee, en zijn de maatregelen getest en geëvalueerd?
Wetsartikelen
- art. 32 lid 1 onder a tot en met d AVG Passende technische en organisatorische maatregelen, afgestemd op het risico.
- art. 32 lid 2 AVG De risico's die bij de beoordeling vooral tellen.
- art. 5 lid 1 onder f AVG Integriteit en vertrouwelijkheid.
Rechtspraak
- Natsionalna agentsia za prihodite (HvJ EU, C-340/21, ECLI:EU:C:2023:986, 2023-12-14)Dictum 1 tot en met 3: een hack bewijst op zichzelf geen tekortschietende maatregelen; concrete toets door de rechter; bewijslast bij de verwerkingsverantwoordelijke.
- MediaMarktSaturn (HvJ EU, C-687/21, ECLI:EU:C:2024:72, 2024-01-25)Dictum 1: een per vergissing aan een derde gegeven document bewijst op zichzelf niet dat de maatregelen ontoereikend waren.
