Schrijft de AVG voor welke beveiligingsmaatregelen ik precies moet nemen?

Nee. Lid 1 vraagt om passende maatregelen, afgestemd op het risico, de stand van de techniek, de kosten en de aard van de verwerking. Het artikel noemt wel voorbeelden, zoals versleuteling, pseudonimisering, herstel na een incident en regelmatig testen (lid 1 onder a tot en met d). Overweging 83 voegt toe dat u eerst de risico's van de verwerking beoordeelt en daarna maatregelen kiest die die risico's beperken.

Is versleuteling verplicht?

Versleuteling is een van de voorbeelden in lid 1 onder a, met de toevoeging waar passend. Of het passend is, hangt af van de risicobeoordeling uit lid 2: hoe groter de kans op en de ernst van schade bij verlies of ongeoorloofde toegang, hoe zwaarder deze maatregel weegt. Het artikel legt die keuze en de onderbouwing daarvan bij de verwerkingsverantwoordelijke en de verwerker.

Geldt dit artikel ook voor mijn verwerker, of alleen voor mij als verwerkingsverantwoordelijke?

Voor allebei rechtstreeks. Lid 1 en lid 4 noemen de verwerkingsverantwoordelijke en de verwerker naast elkaar, dus de verwerker heeft een eigen beveiligingsplicht. Daarnaast verplicht artikel 28 lid 3 onder c u om in de verwerkersovereenkomst vast te leggen dat de verwerker alle maatregelen van artikel 32 neemt.

Artikel 32: Beveiliging van de verwerkingAI-relevant

Praxikon houdt artikel 32 (Beveiliging van de verwerking) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 32 verplicht zowel de verwerkingsverantwoordelijke als de verwerker om persoonsgegevens passend te beveiligen. Wat passend is, hangt af van de stand van de techniek, de kosten, de aard en omvang van de verwerking en de risico's voor de betrokken personen (lid 1). Het artikel noemt voorbeelden van maatregelen: pseudonimisering en versleuteling, het blijvend garanderen van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen, snel herstel na een incident en het regelmatig testen van de maatregelen (lid 1 onder a tot en met d). Bij het bepalen van het beveiligingsniveau kijkt u vooral naar de risico's van vernietiging, verlies, wijziging, ongeoorloofde verstrekking of ongeoorloofde toegang (lid 2); overweging 83 legt uit dat zulke incidenten kunnen leiden tot lichamelijke, materiële of immateriële schade voor mensen. Iedereen die onder gezag van de organisatie toegang heeft tot persoonsgegevens, mag die alleen in opdracht van de verwerkingsverantwoordelijke verwerken (lid 4); gaat het ondanks deze maatregelen toch mis, dan regelen de artikelen 33 en 34 wat u moet melden.

Kernbegrip: Risicogebaseerde beveiliging: het beveiligingsniveau moet passen bij de kans en de ernst van de risico's voor de mensen om wie het gaat (lid 1 en lid 2)

Raakt direct:verwerkingsverantwoordelijkeverwerker

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

Beveiliging van verwerking overlapt met AI Act cybersecurity-eisen (Art. 15 lid 4 en 5).

AI Act Art. 15 →

Officiële tekst

Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten: a) de pseudonimisering en versleuteling van persoonsgegevens; b) het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen; c) het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; d) een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.

Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.

Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat dat de in lid 1 van dit artikel bedoelde vereisten worden nageleefd.

De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Beoordeel per verwerking welke risico's er zijn voor de betrokkenen en leg vast welke technische en organisatorische maatregelen daarbij passen (lid 1 en lid 2). Denk aan versleuteling, pseudonimisering, back-ups die herstel mogelijk maken en een vast ritme van testen (lid 1 onder a tot en met d). Zorg dat medewerkers, en bijvoorbeeld ook medewerkers die persoonsgegevens in een AI-tool invoeren, die gegevens alleen verwerken volgens uw instructies (lid 4).

Verwerker

Dezelfde beveiligingsplicht rust rechtstreeks op u, niet alleen via de overeenkomst met de verwerkingsverantwoordelijke (lid 1). Beoordeel de risico's van de verwerkingen die u uitvoert (lid 2) en zorg dat uw personeel met toegang tot persoonsgegevens alleen handelt in opdracht van de verwerkingsverantwoordelijke (lid 4).

Compliance checklist

Voor elke verwerking zijn de risico's voor de rechten en vrijheden van personen beoordeeld, met aandacht voor vernietiging, verlies, wijziging, ongeoorloofde verstrekking en ongeoorloofde toegang (lid 2).De gekozen technische en organisatorische maatregelen zijn afgestemd op die risico's, de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking (lid 1).Waar passend worden persoonsgegevens gepseudonimiseerd of versleuteld (lid 1 onder a).De verwerkingssystemen en diensten kunnen op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht garanderen (lid 1 onder b).Na een fysiek of technisch incident kunnen de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig worden hersteld (lid 1 onder c).Er is een procedure om de doeltreffendheid van de beveiligingsmaatregelen op gezette tijdstippen te testen, te beoordelen en te evalueren (lid 1 onder d).Iedereen die onder gezag van de verwerkingsverantwoordelijke of de verwerker toegang heeft tot persoonsgegevens, verwerkt die alleen in opdracht van de verwerkingsverantwoordelijke, tenzij de wet anders vereist (lid 4).

Gerelateerde overwegingen

(83)

Teneinde de veiligheid te waarborgen en te voorkomen dat de verwerking inbreuk maakt op deze verordening, dient de verwerkingsverantwoordelijke of de verwerker de aan de verwerking inherente risico's ...

Kruisverwijzingen

Art. 40: Gedragscodes Art. 42: Certificering

Veelgestelde vragen

← Art. 31: Medewerking met de toezichthoudende autoriteit Art. 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit →

Samenhang

Thema’s waarin dit terugkomt

Beveiliging en robuustheid

De tegenhanger in de andere wet