Welke beveiliging eist de AVG van een klein bedrijf?

Passende beveiliging is risicogericht, geen vaste checklist

Artikel 32 van de AVG eist geen vaste lijst technische maatregelen, maar een niveau van beveiliging dat past bij het risico dat een verwerking van persoonsgegevens met zich meebrengt. De wet noemt daarbij vier zaken waarmee rekening gehouden wordt: de stand van de techniek, de kosten van uitvoering, de aard, omvang, context en doeleinden van de verwerking, en de risico's voor de rechten en vrijheden van de mensen van wie gegevens verwerkt worden. Als voorbeeld van maatregelen noemt het artikel onder meer pseudonimisering en versleuteling, het vermogen om vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen te waarborgen, het vermogen om na een incident tijdig te herstellen, en een proces om de effectiviteit van de maatregelen regelmatig te testen.

Wat dit voor een klein bedrijf betekent, verschilt met wat er verwerkt wordt. Een webshop die alleen naam en verzendadres bijhoudt, zit in een andere risicocategorie dan een praktijk die medische gegevens verwerkt of een bureau dat op grote schaal gedrag van bezoekers volgt. Beveiliging die voor de een passend is — bijvoorbeeld toegangsbeheer, wachtwoordbeleid en regelmatige back-ups — hoeft voor de ander niet toereikend te zijn. De wet vraagt om die afweging te maken en te kunnen laten zien dat ze gemaakt is, niet om één vaste standaard te halen.

Waar dit uit artikel 32 AVG volgt

Deze eis staat rechtstreeks in artikel 32 van de AVG, dat als verordening in elke lidstaat gelijk geldt — de kern van wat "passend" betekent, verschilt dus niet tussen landen. Wat wel verschilt, is wie er toezicht op houdt: in Nederland is dat de Autoriteit Persoonsgegevens, in Duitsland de toezichthouder van de deelstaat waar de vestiging staat. Voor verdere duiding publiceert de Autoriteit Persoonsgegevens praktische informatie over beveiliging van persoonsgegevens.