Publieke instellingen en de maatregelen die niet langer als “passend” gelden
Belangrijkste inzichten
- Artikel 32 gebruikt illustratieve categorieën. Het noemt vier categorieën van maatregelen zonder een vaste checklist te bieden, waarbij de geschiktheid wordt beoordeeld op basis van risico.
- Risiconiveau beweegt mee met data en dreigingen. Maatregelen moeten passend blijven naarmate de hoeveelheid burgergegevens en het dreigingslandschap in de loop der tijd veranderen.
- Beveiligingsfouten leiden tot hoge boetes. Handhavingsmaatregelen zijn vooral gericht op onvoldoende technische en organisatorische maatregelen, niet op tekortkomingen in documentatie.
- Regelmatig testen wordt vaak overgeslagen. De vereiste om de effectiviteit van maatregelen continu te testen, is het onderdeel dat de meeste instanties volledig over het hoofd zien.
GDPR is al jaren afdwingbaar en Artikel 32 blijft de meest aangehaalde bepaling bij grote boetes. Overheidsinstanties die op grote schaal burgergegevens verwerken, zijn niet vrijgesteld van deze verplichting en krijgen vaak te maken met verhoogde verwachtingen vanwege de gevoeligheid en hoeveelheid van de betrokken data.
Een van de redenen hiervoor is dat Artikel 32 niet leest als een checklist. Het noemt vier categorieën van maatregelen op illustratieve wijze en laat “passend” beoordelen aan de hand van risico. Dit artikel legt uit wat deze vier categorieën in de praktijk vereisen van overheidsinstanties.
Samenvatting
Artikel 32 van de GDPR beschrijft vier illustratieve categorieën van technische en organisatorische maatregelen. Geen van deze categorieën wordt afgedekt met een eenmalige implementatie. Voor overheidsinstanties is de praktische taak, jaren na de invoering van de regelgeving, niet de vraag of Artikel 32 ooit is behandeld, maar of er nog steeds wordt voldaan aan de actuele risico’s.
Belangrijkste inzichten
- Artikel 32 noemt vier illustratieve categorieën van maatregelen, geen vaste checklist.
- “Passend bij het risico” betekent dat het niveau meebeweegt met de hoeveelheid burgerdata en het dreigingslandschap.
- Beveiligingsfouten zijn de belangrijkste reden voor handhaving van de GDPR, niet procedurele tekortkomingen.
- Encryptie zonder controle over eigen sleutels voldoet slechts zwak aan pseudonimisering.
- Het vierde onderdeel, regelmatig testen van effectiviteit, wordt door de meeste instanties volledig overgeslagen.
Waarom “Passend” een bewegend doelwit is voor burgergegevens
Artikel 32 vermijdt bewust het noemen van specifieke technologieën en vereist in plaats daarvan dat maatregelen passend zijn bij het risico dat de betreffende verwerking met zich meebrengt.
Risicogestuurde taal betekent dat het niveau meebeweegt met data en dreiging
Een maatregel die passend wordt geacht voor een bepaalde categorie burgerdata, blijft niet automatisch passend wanneer de hoeveelheid of het dreigingslandschap verandert.
Toezichthouders beoordelen “passend” aan de hand van wat een redelijke instantie zou hebben gedaan
Handhavingsbesluiten beoordelen of de genomen maatregelen overeenkwamen met wat een redelijke instantie, die met dat soort data werkt, zou hebben geïmplementeerd.
Wat elke van de vier categorieën daadwerkelijk vereist
Elke categorie is in het verleden tekortgeschoten op manieren die herhaaldelijk terugkomen in handhavingsbesluiten.
Pseudonimisering en encryptie die blootstelling daadwerkelijk beperkt
Encryptie voldoet slechts zwak aan deze categorie als de partij die de versleutelde data beheert deze standaard ook kan ontsleutelen.
Continue vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht
Deze categorie is expliciet continu en geen eenmalige beoordeling bij inzet.
Waarom dit nog steeds het artikel is dat de grootste boetes oplevert
Hoge boetes tot en met 2026 blijven draaien om onvoldoende technische en organisatorische maatregelen na een datalek, niet om tekortkomingen in documentatie.
Een Artikel 32-programma opzetten dat jaren standhoudt
De praktische aanpak is om alle vier de categorieën te behandelen als doorlopende operationele verplichtingen: controleer of encryptie blootstelling daadwerkelijk beperkt, bevestig dat toegangscontrole continu wordt gemonitord en test disaster recovery volgens een echt schema.
Hoe een Data Control Plane continue Artikel 32-naleving ondersteunt
Het Kiteworks Data Control Plane ondersteunt klantbeheer van encryptiesleutels via een hardware security module, en audit logs worden standaard geanonimiseerd, wat een echte pseudonimiseringslaag toevoegt. Single-tenant architectuur en ingebouwde disaster recovery-configuraties ondersteunen voortdurende vertrouwelijkheid, integriteit en veerkracht, terwijl elke actie via elk kanaal wordt vastgelegd in een manipulatiebestendige, onbeperkte audit log die direct wordt doorgegeven aan SIEM-tools.
Instanties die hun huidige maatregelen willen toetsen aan een nieuwe Artikel 32-beoordeling kunnen een aangepaste demo plannen.
Veelgestelde vragen
Beveiligingsfouten zijn de belangrijkste reden voor handhavingsmaatregelen onder de GDPR, niet tekortkomingen in documentatie. Artikel 32 vereist doorlopende technische en organisatorische maatregelen die passend blijven bij veranderende risico’s.
Het betekent dat de vereiste maatregelen niet vastliggen; het niveau beweegt mee met de hoeveelheid burgerdata en het dreigingslandschap, waardoor continue herbeoordeling nodig is van wat een redelijke instantie zou implementeren.
Encryptie voldoet slechts zwak aan de vereiste als de controlerende partij de data standaard kan ontsleutelen; echte beperking van blootstelling wordt bereikt wanneer instanties klantbeheer van encryptiesleutels hanteren.
De verplichting om de effectiviteit van technische en organisatorische maatregelen regelmatig te testen, beoordelen en evalueren, is het onderdeel dat de meeste instanties volledig overslaan, terwijl dit essentieel is voor continue naleving.