1.4 — Artikel 13 Wbp: beveiliging CBP richtsnoeren: beveiliging van persoonsgegevens
Artikel 13 Wbp: beveiliging
De verantwoordelijke treft passende beveiligingsmaatregelen:
“De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking.”
23 Artikel 13 Wbp.
“Onder onrechtmatige vormen van verwerking vallen de aantasting van de gegevens, onbevoegde kennisneming, wijziging, of verstrekking daarvan.”
24 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 98.
De maatregelen garanderen een passend beveiligingsniveau:
“Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico”s die de verwerking en de aard van te beschermen gegevens met zich meebrengen.”
25 Artikel 13 Wbp.
“In het begrip ‘passend’ ligt besloten dat de beveiliging in overeenstemming is met de stand van de techniek. [...] Het begrip ‘passend’ duidt mede op een proportionaliteit tussen de beveiligingsmaatregelen en de te beschermen gegevens. Naarmate bijvoorbeeld de gegevens een gevoeliger karakter hebben, of de context waarin deze worden gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden zwaardere eisen gesteld aan de beveiliging van de gegevens. Er is geen verplichting om steeds de allerzwaarste beveiliging te nemen. Daarom duidt ook het feit dat inbreuken zijn gemaakt op het beveiligingsniveau niet noodzakelijkerwijs op nalatigheid in de beveiliging.
Er moet sprake zijn van een adequate beveiliging.”
26 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 99.
“Er kunnen geen algemene uitspraken worden gedaan over wat als een ‘passende beveiligingsmaatregel’ kan worden beschouwd. [...] Dit criterium moet in het licht van de concrete omstandigheden worden ingevuld en is voor een deel dynamisch. Het vereiste niveau van bescherming is hoger naarmate er meer mogelijkheden voorhanden zijn om dat niveau te waarborgen. [...] In het algemeen kan worden gesteld dat indien met naar verhouding geringe extra kosten meer beveiliging kan worden bewerkstelligd deze als ‘passend’ moeten worden beschouwd, terwijl kosten die disproportioneel zijn aan de extra beveiliging die daardoor zou worden verkregen, niet worden vereist. Met zich ontwikkelende techniek zal periodiek een nieuwe afweging moeten worden gemaakt.”
27 Kamerstukken I 1999-2000, 25 892, nr. 92c, p. 15.
Voor de maatregelen geldt verder:
“Technische en organisatorische maatregelen dienen cumulatief te worden getroffen. Software is een belangrijk instrument tot beveiliging. [De Wbp] geeft de normen die mede met behulp van software dienen te worden gehandhaafd.”
28 Kamerstukken II 1997-1998, 25 892, nr. 3, p. 99.
Naast de beveiliging van persoonsgegevens ziet artikel 13 Wbp ook op de toepassing van privacy enhancing technologies (pet):
“De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.”
29 Artikel 13 Wbp.
“De beveiligingsverplichting die in dit artikel is opgenomen strekt zich uit tot alle onderdelen van het proces van gegevensverwerking. Juridische normen zullen moeten worden vertaald in de feitelijke inrichting en verdere ontwikkeling van informatiesystemen. Steeds meer zullen ‘privacy enhancing technologies’ (pet) daarvoor onmisbaar zijn. Door te eisen dat de inrichting van systemen mede gericht moet zijn op het voorkomen van onnodige verzameling en verdere verwerking van persoonsgegevens, wordt bewerkstelligd dat in plaats van een voortdurende controle op individuele gevallen van onrechtmatig gegevensgebruik het accent meer gelegd kan worden op de structuur van informatiesystemen.”
30 Kamerstukken II 1999-2000, 25 892, nr. 22.
pet is de verzamelnaam voor een aantal technieken die de verantwoordelijke kan toepassen om bij het verwerken van persoonsgegevens de risico”s voor de betrokkenen te beperken. Een centraal principe van pet is het verminderen van de herleidbaarheid: de mate waarin persoonsgegevens kunnen worden herleid tot de betrokkenen.
De zwaarste vorm van pet is anonimisering van de verwerkte persoonsgegevens. Van anonimisering is sprake als de gegevens op geen enkele manier meer tot de betrokkene te herleiden zijn. Er is dan geen sprake meer van persoonsgegevens en de Wbp is niet meer van toepassing op de gegevens.
Een lichtere vorm van pet is het scheiden van de verwerkte persoonsgegevens in (zeer goed beveiligde) identificerende gegevens en niet-identificerende gegevens. Alleen met behulp van de identificerende gegevens kan de identiteit van de betrokkenen worden achterhaald.
31 Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties heeft een publicatie uitgebracht waarin de toepassing van PET uitvoerig wordt toegelicht: Drs. ing. Ronald Koorn RE e.a., Privacy enhancing technologies, Witboek voor beslissers, ministerie van Binnenlandse Zaken en Koninkrijksrelaties, december 2004 (http://www.cbpweb.nl/downloads_technologie/witboek_pet.pdf).
- Regeling
- CBP richtsnoeren: beveiliging van persoonsgegevens
- Soort
- ZBO-regeling
- Geldend vanaf
- 01-03-2013
- BWB-id
- BWBR0033572
- Versie
- 2013-03-01_0