Welke beveiliging eist de AVG van een klein bedrijf?

Passende beveiliging is beveiliging die past bij het risico, niet bij een vaste lijst

Passende beveiliging betekent dat de technische en organisatorische maatregelen die een bedrijf treft, in verhouding staan tot het risico dat een verwerking van persoonsgegevens met zich meebrengt. De AVG schrijft geen vaste lijst met verplichte maatregelen voor. In plaats daarvan noemt artikel 32 van de AVG een aantal factoren waarmee rekening wordt gehouden: de stand van de techniek, de kosten van uitvoering, de aard, omvang, context en doeleinden van de verwerking, en de risico's voor de rechten en vrijheden van de betrokkenen. Als voorbeelden van mogelijke maatregelen noemt hetzelfde artikel onder meer pseudonimisering en versleuteling van gegevens, het vermogen om vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen te waarborgen, het vermogen om na een incident tijdig te herstellen, en een proces om maatregelen periodiek te testen en te evalueren.

Voor een klein bedrijf of zzp'er betekent dit dat de wet geen aparte, lichtere norm hanteert vanwege de omvang van de onderneming, maar dat de omvang wel meetelt bij het bepalen van wat passend is. Een boekhoudkundige eenmanszaak met alleen namen en e-mailadressen van klanten heeft een ander risicoprofiel dan een webshop die betaalgegevens verwerkt of een praktijk die gezondheidsgegevens vastlegt. De verwachting is dat de gekozen maatregelen aansluiten bij wat er feitelijk verwerkt wordt en wat er mis kan gaan, niet dat elk bedrijf dezelfde beveiliging optuigt.

Dit volgt uit artikel 32 van de AVG

De verplichting tot passende beveiliging staat in artikel 32 van de AVG, dat expliciet de risicogerichte benadering voorschrijft en de genoemde factoren en voorbeeldmaatregelen benoemt. De Autoriteit Persoonsgegevens publiceert daarnaast praktische duiding en hulpmiddelen bij het invullen van deze norm voor de praktijk, te vinden op de website van de Autoriteit Persoonsgegevens.