Artikel 32 AVG verplicht zowel verwerkingsverantwoordelijken als verwerkers om persoonsgegevens passend te beveiligen. De juiste maatregelen hangen af van de verwerking en de risico’s voor mensen. Een organisatie moet daarom kunnen uitleggen waarom haar maatregelen geschikt zijn en laten zien dat ze daadwerkelijk werken. Een beleidsdocument, een gekocht beveiligingsproduct of een certificaat geeft op zichzelf geen volledig antwoord.
Deze gids helpt de wettelijke norm om te zetten in concrete besluiten over toegang, herstel, leveranciers en controle. Daarbij is het onderscheid tussen een wettelijke eis en een praktische keuze belangrijk. Artikel 32 schrijft geen universele patchtermijn, bewaartermijn voor logbestanden of jaarlijkse pentest voor. Voor specifieke sectoren kunnen wel aanvullende voorschriften gelden, die naast de algemene AVG-beoordeling moeten worden onderzocht.
Wat artikel 32 precies verlangt
Volgens artikel 32 AVG houdt u rekening met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doelen van de verwerking. Ook de waarschijnlijkheid en ernst van risico’s voor rechten en vrijheden tellen mee. Kosten zijn dus een beoordelingsfactor, maar geen algemene vrijstelling om bekende ernstige risico’s onbeheerst te laten.
De bepaling noemt maatregelen die, waar passend, onder meer pseudonimisering en versleuteling omvatten. Daarnaast noemt zij blijvende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, tijdig herstel na een incident en een procedure voor regelmatige toetsing van de effectiviteit. Het gaat om samenhangende bescherming. Een goed afgesloten systeem dat na een storing niet kan herstellen, kan nog steeds belangrijke risico’s veroorzaken.
Artikel 32 lid 4 verlangt bovendien maatregelen om ervoor te zorgen dat mensen die onder uw gezag toegang hebben, gegevens alleen in opdracht verwerken, tenzij Unierecht of lidstatelijk recht anders vereist. Dat vraagt om bevoegdheden, instructies en toezicht. Medewerkers mogen niet zelf onbeperkt bepalen welke gegevens zij raadplegen omdat zij technisch een account hebben.
Begin bij het proces en de gevolgen voor mensen
Breng eerst in kaart welke gegevens worden gebruikt, waar ze staan en wie toegang nodig heeft. Een verwerkingsregister kan daarvoor een startpunt zijn, aangevuld met concrete systemen en gegevensstromen. Neem ook exports, gedeelde mappen, ontwikkelomgevingen en papieren stukken mee. Alleen de centrale database beoordelen laat vaak een deel van de feitelijke verwerking buiten beeld.
Beschrijf vervolgens wat er kan gebeuren. Denk aan een verkeerde ontvanger, misbruik van een account, onbedoelde wijziging van gegevens of uitval van een dienst. Vertaal dit naar gevolgen voor betrokkenen: financieel nadeel, verlies van vertrouwelijkheid, verkeerde beslissingen of het niet tijdig kunnen ontvangen van een noodzakelijke dienst. De schade voor de organisatie is niet dezelfde maatstaf als het risico voor mensen.
De AP legt in haar beveiligingsuitleg de nadruk op een eigen risicobeoordeling en aantoonbare, blijvende aandacht voor beveiliging. Gebruik dus geen algemene lijst zonder te controleren of die bij uw verwerking past. Een lijst kan helpen niets te vergeten, maar de antwoorden moeten voortkomen uit de werkelijke situatie en actuele dreigingen.
Niet ieder gegevensbestand vraagt dezelfde afweging
Een bestand met openbare zakelijke contactgegevens heeft een andere context dan een bestand met gezondheidsgegevens, schulden of hulpvragen. Bijzondere persoonsgegevens kunnen ernstige gevolgen hebben bij misbruik, maar ook ogenschijnlijk gewone gegevens kunnen door combinatie gevoelig worden. Beoordeel daarom inhoud, samenhang, bereikbaarheid en mogelijke gebruikers, niet alleen de naam van de database.
Stel dat een medewerker een overzicht met afspraken naar een privéaccount stuurt. Bij een algemene vergaderruimte kan het bestand weinig over mensen zeggen. Bij een medische of sociale hulpdienst kan dezelfde soort lijst juist de relatie met die dienst onthullen. Het passende beveiligingsniveau volgt mede uit die context. Een technisch identieke export kan daardoor om andere toegangs- en communicatieafspraken vragen.
Leg uw aannames vast. Als een maatregel steunt op de veronderstelling dat een bestand geen gevoelige informatie bevat, moet iemand dat controleren. Een risicoanalyse verliest waarde wanneer zij onjuiste systeemgegevens gebruikt. Geef openstaande vragen een eigenaar en herbeoordeel de uitkomst zodra duidelijk wordt dat de verwerking groter of gevoeliger is dan aanvankelijk gedacht.
Toegang: wie mag wat doen, en waarom?
Richt toegang in naar noodzakelijke werkzaamheden. Het is vaak zinvol onderscheid te maken tussen bekijken, wijzigen, exporteren en beheren. Een medewerker die afspraken inplant, hoeft niet automatisch alle inhoudelijke dossiers te kunnen exporteren. Persoonlijke accounts helpen handelingen aan een gebruiker te koppelen; gedeelde accounts kunnen die controle bemoeilijken en vragen om een zorgvuldige beoordeling.
Kijk niet alleen naar de eerste toekenning van rechten. Bij functiewijzigingen, langdurige afwezigheid en vertrek kunnen oude bevoegdheden blijven bestaan. Maak duidelijk wie wijzigingen doorgeeft, wie ze uitvoert en hoe wordt gecontroleerd dat de wijziging is verwerkt. Tijdelijke beheertoegang voor een leverancier verdient dezelfde aandacht: de technische noodzaak moet niet ongemerkt een blijvende algemene toegang worden.
Meerfactorauthenticatie kan een belangrijke bescherming zijn, vooral waar misbruik van één wachtwoord grote gevolgen heeft. Onderzoek echter ook herstelprocedures, uitzonderingen en accounts die buiten het normale aanmeldscherm werken. Een sterk beveiligde voordeur biedt weinig bescherming als een vergeten beheeraccount eenvoudig toegankelijk blijft. De passende inrichting volgt uit de risico’s en eventuele aanvullende normen.
Versleuteling en pseudonimisering doelgericht inzetten
Versleuteling kan gegevens onleesbaar maken voor iemand die niet over de juiste sleutel beschikt. Beoordeel afzonderlijk opslag, overdracht en het gebruik van gegevens in systemen. Vraag waar sleutels worden beheerd, wie ze kan gebruiken en hoe herstel plaatsvindt. De mededeling van een leverancier dat gegevens versleuteld zijn, zegt zonder deze context nog weinig over alle relevante toegangsmogelijkheden.
Pseudonimisering kan de directe koppeling met personen beperken, maar de gegevens blijven persoonsgegevens wanneer herleiding mogelijk is. Ook de aanvullende informatie waarmee koppeling kan plaatsvinden, heeft bescherming nodig. Behandel een gepseudonimiseerde onderzoeks- of analyseomgeving daarom niet automatisch als een vrij toegankelijk bestand. Beschrijf het doel van de maatregel en tegen welke concrete toegang of koppeling zij bescherming biedt.
Techniek werkt bovendien samen met gedrag en inrichting. Versleuteld verzenden voorkomt niet dat een medewerker de verkeerde gerechtigde ontvanger selecteert. Andersom maakt een ontvangstbevestiging een onveilig kanaal niet ineens passend. Beoordeel de gehele handeling, inclusief adresselectie, autorisatie en het moment waarop de ontvanger toegang krijgt. Dit is ook relevant bij het thuiswerkbeleid.
Beschikbaarheid en herstel horen bij gegevensbescherming
Artikel 32 gaat ook over het kunnen gebruiken van gegevens wanneer dat nodig is. Een storing kan iemand benadelen zonder dat informatie naar buiten komt. Denk aan een onbereikbaar dossier tijdens noodzakelijke dienstverlening of onjuiste gegevens na een mislukte herstelactie. Bepaal daarom welke processen afhankelijk zijn van welke informatie en hoe lang een verstoring verantwoord kan worden opgevangen.
Een back-up is pas bruikbaar als de organisatie weet wat erin zit en hoe herstel werkt. Controleer of relevante gegevens en configuraties worden meegenomen, wie mag herstellen en of de herstelde informatie correct en beschikbaar is. De bekende strategieën voor meerdere kopieën kunnen nuttige ontwerpkeuzes zijn, maar artikel 32 schrijft niet voor iedere organisatie één specifieke kopieformule voor.
Houd rekening met herstel van verwijderde gegevens en oude toegangsrechten. Een teruggezette omgeving mag niet ongemerkt eerdere correcties ongedaan maken. Leg daarom vast welke controles na herstel nodig zijn en wie daarvoor verantwoordelijk is. Het doel is niet alleen het systeem weer aanzetten, maar terugkeren naar een aantoonbaar bruikbare en passende verwerking.
Logging, kwetsbaarheden en onderhoud
Logbestanden kunnen helpen ongeoorloofde toegang of fouten te onderzoeken. Bepaal welke gebeurtenissen daarvoor relevant zijn en wie signalen beoordeelt. Meer loggen is niet automatisch beter: logs kunnen zelf gevoelige informatie bevatten. Bescherm ze tegen ongeoorloofde wijziging en toegang, en bepaal een passende bewaartermijn op basis van doel en toepasselijke voorschriften.
De AVG geeft geen algemene regel dat ieder logbestand minimaal één jaar moet worden bewaard. Ook bestaat vanuit artikel 32 geen universele termijn van veertien dagen voor iedere kritieke update. Dat ontslaat u niet van tijdig handelen. De ernst van de kwetsbaarheid, blootstelling, beschikbare oplossingen en tijdelijke beperkingen bepalen welke reactie nodig is. Documenteer uitstel en de maatregelen die het risico intussen beperken.
Beoordeel ook oudere systemen en onderdelen die weinig aandacht krijgen. Een organisatie kan de beveiligingsplicht niet omzeilen door een applicatie als verouderd te bestempelen. Wanneer ondersteuning eindigt of een kwetsbaarheid niet meer kan worden verholpen, moet zij onderzoeken hoe de verwerking passend beveiligd kan blijven. Dat kan aanpassing, beperking of vervanging noodzakelijk maken.
Organisatorische maatregelen moeten uitvoerbaar zijn
Zorg dat medewerkers weten welke handelingen zijn toegestaan en hoe zij twijfel of een incident melden. Instructies moeten aansluiten bij hun werk: een balieproces vraagt andere voorbeelden dan systeembeheer. Een ondertekende verklaring helpt niet wanneer niemand begrijpt welke bestanden mogen worden gedeeld of bij wie een fout gemeld moet worden. Controleer daarom ook de praktische toepassing.
Koppel verantwoordelijkheden aan concrete taken. Wie beslist over nieuwe software, wie controleert externe toegang en wie kan een risicovolle verwerking tijdelijk beperken? Een directie kan uitvoering delegeren, maar heeft informatie nodig om te beoordelen of maatregelen werkelijk functioneren. Een rapportage met alleen aantallen trainingen of aangeschafte producten geeft daarvoor meestal onvoldoende inzicht.
Personeelsscreening vraagt een eigen rechtmatige en proportionele beoordeling. Artikel 32 maakt een VOG niet automatisch verplicht voor iedere medewerker die gevoelige gegevens ziet. Kies maatregelen die bij de functie, risico’s en toepasselijke regels passen. Ook fysieke inrichting telt mee: schermen, geprinte documenten en gesprekken kunnen gegevens onthullen buiten de beveiligde digitale omgeving.
Regelmatig beoordelen betekent meer dan één jaarlijkse afspraak
Artikel 32 noemt een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de effectiviteit. De wet schrijft daarbij geen vaste jaarlijkse pentest voor elke organisatie voor. Bepaal welke methode welk risico onderzoekt. Een herstelproef, toegangscontrole, configuratiebeoordeling en penetratietest beantwoorden verschillende vragen en kunnen elkaar aanvullen.
Plan beoordelingen op basis van risico en verandering. Een belangrijke nieuwe koppeling, gewijzigde leverancier of ernstig incident kan aanleiding geven eerder te controleren dan de gebruikelijke cyclus. Leg vooraf vast wat wordt onderzocht, welke systemen binnen de opdracht vallen en hoe bevindingen worden opgevolgd. Een rapport dat vervolgens ongebruikt blijft liggen, maakt de beveiliging niet vanzelf beter.
Een pentest biedt een begrensd beeld van de onderzochte omgeving en het onderzochte moment. Controleer of de opdracht past bij de belangrijkste gegevensstromen en of herstel van bevindingen opnieuw wordt beoordeeld. Presenteer een gunstige uitkomst niet als algemene garantie dat alle AVG-verplichtingen zijn vervuld. Rechten, transparantie en een rechtmatige grondslag blijven afzonderlijke onderwerpen.
Leveranciers en cloud: verdeel taken zonder gaten te laten
Artikel 32 richt zich rechtstreeks tot zowel verantwoordelijke als verwerker. Uitbesteding betekent dus niet dat slechts één partij nog beveiligingsverplichtingen heeft. Onderzoek welke maatregelen de leverancier uitvoert en welke configuratie of toegang bij de klant blijft. Een leverancier kan een veilige mogelijkheid aanbieden terwijl de klant haar niet inschakelt; andersom kan een klant noodzakelijke informatie van de leverancier missen.
Bij een verwerkersrelatie legt een schriftelijke, ook elektronische overeenkomst of een andere bindende rechtshandeling naar Unie- of lidstatelijk recht de verplichtingen vast. Gebruik het artikel 28-model als vertrekpunt voor concrete afspraken over beveiliging, ondersteuning en controle. Personen die voor de verwerker gegevens verwerken, moeten tot vertrouwelijkheid zijn verplicht, contractueel of krachtens een passende wettelijke verplichting.
Beoordeel bewijs op inhoud en reikwijdte. Een certificaat, auditrapport of technische beoordeling kan nuttig zijn, maar moet de werkelijk gebruikte dienst en relevante periode dekken. Vraag hoe afwijkingen worden opgelost en hoe wijzigingen of incidenten worden gemeld. Bij internationale doorgiften moet bovendien het toepasselijke doorgiftekader afzonderlijk worden beoordeeld; een beveiligingsrapport vervangt die juridische beoordeling niet.
ISO, zorgnormen en andere wettelijke kaders
Een algemene ISO-certificering is niet hetzelfde als een goedgekeurd AVG-certificeringsmechanisme. Artikel 32 lid 3 noemt goedgekeurde gedragscodes en certificeringsmechanismen als een element om naleving aan te tonen. Ook daarmee blijft de feitelijke verwerking van belang. Er bestaat geen algemene regel dat ieder ISO-certificaat een vaste korting op een AP-boete oplevert.
Voor zorgaanbieders heeft het Besluit elektronische gegevensverwerking door zorgaanbieders specifieke verwijzingen naar NEN 7510, NEN 7512 en NEN 7513. In die context kan naleving dus wettelijk vereist zijn en niet slechts aanbevolen. Dat betekent nog niet dat iedere organisatie in elke sector dezelfde zorgnormen of hetzelfde certificaat moet toepassen.
Voor organisaties binnen het toepassingsbereik van de Nederlandse NIS2-uitvoering gelden daarnaast eigen cybersecurityverplichtingen. Beoordeel reikwijdte, toezicht en incidentmeldingen afzonderlijk. Overlap in beveiligingsmaatregelen maakt de AVG niet overbodig en betekent niet dat één melding automatisch iedere andere meldplicht vervult. Houd in beleid zichtbaar welk voorschrift door welke maatregel wordt ondersteund.
Wat de historische OLVG-beslissing laat zien
In haar besluit van 26 november 2020 over OLVG stelde de AP een boete van 440.000 euro vast wegens tekortkomingen rond tweefactorauthenticatie en regelmatige beoordeling van logbestanden. Het gaat dus om een besluit uit 2020, niet een nieuwe boete uit 2025. De AP betrok de gevoelige, omvangrijke verwerking en het verschil tussen het eigen beleid en de uitvoering.
De bruikbare les is dat een maatregel op papier ook moet werken. Dat oordeel over een ziekenhuis kan niet zonder context worden omgezet in een identieke technische checklist voor iedere onderneming. Voor andere zaken helpt het overzicht van AP-boetes, mits besluitdatum, publicatiedatum en eventuele vervolgprocedure uit elkaar blijven. Een historische beslissing is geen bewijs van een actuele universele norm.
Een datalek bewijst niet automatisch een tekortschietende beveiliging
Het Hof van Justitie heeft in zaak C-340/21 verduidelijkt dat ongeoorloofde toegang of openbaarmaking op zichzelf niet voldoende is om beveiligingsmaatregelen ongeschikt te verklaren. Hun passendheid moet concreet worden beoordeeld; de verantwoordelijke moet kunnen bewijzen dat passende maatregelen zijn getroffen. De officiële mededeling over het arrest vat dit onderscheid samen. Een aanval door derden sluit verantwoordelijkheid evenmin automatisch uit.
Behandel de reactie op het incident daarom naast de beoordeling van eerdere maatregelen. Een inbreuk in verband met persoonsgegevens wordt zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisneming gemeld, tenzij risico voor mensen onwaarschijnlijk is. Bij een latere melding moet de vertraging worden gemotiveerd. Alle inbreuken in verband met persoonsgegevens worden gedocumenteerd, ook de niet-gemelde gevallen.
Communicatie aan betrokkenen bij waarschijnlijk hoog risico is een afzonderlijke beslissing met de voorwaarden en uitzonderingen van artikel 34. Een verwerker informeert de verantwoordelijke zonder onredelijke vertraging. De meldingsprocedure voor datalekken helpt dit praktisch te organiseren. Meldingen, herstel en onderzoek mogen niet op elkaar blijven wachten totdat alle technische details bekend zijn.
Bewijs verzamelen dat uw keuzes ondersteunt
Bewaar per belangrijk risico de gekozen maatregel, de verantwoordelijke, bewijs van uitvoering en de uitkomst van controles. Beschrijf ook beperkingen en geplande verbeteringen. Dat is bruikbaarder dan een document waarin iedere maatregel als voltooid staat terwijl uitzonderingen elders verborgen blijven. Wijzig de beoordeling wanneer de verwerking of dreiging wezenlijk verandert.
Een DPIA kan nodig zijn bij waarschijnlijk hoog risico en bevat een bredere beoordeling dan alleen technische beveiliging. Artikel 32 blijft ook gelden wanneer geen DPIA verplicht is. Door privacy by design mee te nemen bij nieuwe processen voorkomt u dat gegevensbescherming pas wordt bekeken wanneer een systeem al is ingericht.
Een schending van artikel 32 valt onder de lagere AVG-boetecategorie: maximaal 10 miljoen euro of voor een onderneming 2% van de wereldwijde jaaromzet in het voorgaande boekjaar, wanneer dat hoger is. Een concreet bedrag hangt af van de wettelijke omstandigheden. Civiele schadevergoeding vereist een AVG-inbreuk, schade en causaal verband tussen beide; zij volgt niet automatisch uit ieder incident. De werkbare basis blijft aantoonbare bescherming die past bij uw verwerking.