Defensieorganisaties zijn niet vrijgesteld van “Passend aan het risico”
GDPR is al jaren van kracht, en Artikel 32 blijft de meest aangehaalde bepaling bij grote boetes. Defensieorganisaties die werknemers- en personeelsgegevens verwerken, zijn niet vrijgesteld van deze verplichting, ook al ligt hun primaire focus op gecontroleerde technische data.
Een deel van de reden hiervoor is dat Artikel 32 niet leest als een checklist. Het noemt vier categorieën van maatregelen op illustratieve wijze en laat “passend” beoordelen aan het risico. Dit artikel behandelt wat die vier categorieën in de praktijk daadwerkelijk vereisen voor defensieorganisaties.
Samenvatting
Artikel 32 van de GDPR beschrijft vier illustratieve categorieën van technische en organisatorische maatregelen. Geen van deze wordt afgedekt door een eenmalige implementatie. Voor defensieorganisaties is de praktische taak, jaren na de invoering van de regelgeving, niet de vraag of Artikel 32 ooit is behandeld, maar of er nog steeds aan wordt voldaan gezien het huidige risico.
Belangrijkste Punten
- Artikel 32 noemt vier illustratieve categorieën van maatregelen, geen vaste checklist.
- “Passend aan het risico” betekent dat de lat verschuift naarmate de gevoeligheid van data en het dreigingslandschap veranderen.
- Beveiligingsfouten domineren grote GDPR-handhavingszaken, niet procedurele tekortkomingen.
- Encryptie zonder klantcontrole over sleutels voldoet slechts zwak aan pseudonimisering.
- De vierde categorie, het regelmatig testen van effectiviteit, wordt door de meeste organisaties volledig overgeslagen.
Waarom “Passend” een Bewegend Doel is voor Personeelsgegevens
Artikel 32 vermijdt bewust het noemen van specifieke technologieën en vereist in plaats daarvan dat maatregelen passend zijn bij het risico dat de betreffende verwerking met zich meebrengt.
Risicogebaseerde Taal Betekent dat de Lat Meebeweegt met de Data en de Dreiging
Een maatregel die passend wordt geacht voor een bepaalde categorie personeelsgegevens, blijft niet automatisch passend als de gevoeligheid of het dreigingslandschap verandert.
Toezichthouders Lezen “Passend” Tegen Wat een Redelijke Organisatie Zou Hebben Gedaan
Handhavingsbesluiten beoordelen of de genomen maatregelen overeenkwamen met wat een redelijke organisatie, die dat soort gegevens verwerkt, zou hebben geïmplementeerd.
Wat Elke van de Vier Categorieën Werkelijk Vereist
Elke categorie is in het verleden tekortgeschoten op manieren die herhaaldelijk terugkomen in handhavingsbesluiten.
Pseudonimisering en Encryptie Die Blootstelling Echt Beperken
Encryptie voldoet slechts zwak aan deze categorie als de partij die de versleutelde data beheert, deze standaard ook kan ontsleutelen.
Continue Vertrouwelijkheid, Integriteit, Beschikbaarheid en Weerbaarheid
Deze categorie is expliciet continu, niet een toestand die eenmalig bij inzet wordt beoordeeld.
Waarom Dit Nog Steeds Het Artikel is dat de Grootste Boetes Oplevert
Grote boetes tot en met 2026 blijven draaien om onvoldoende technische en organisatorische maatregelen na een datalek, niet om tekortschietende documentatie.
Een Artikel 32-Programma Bouwen dat Jarenlang Standhoudt
De praktische aanpak is om alle vier de categorieën te behandelen als doorlopende operationele verplichtingen: verifieer dat encryptie blootstelling daadwerkelijk beperkt, bevestig dat toegangscontroles continu worden gemonitord en test disaster recovery volgens een echt schema.
Hoe een Data Control Plane Continue Artikel 32-Naleving Ondersteunt
Het Kiteworks Data Control Plane ondersteunt klant-eigen encryptiesleutels via een hardware security module, en audit logs worden standaard geanonimiseerd, wat een echte pseudonimiseringslaag toevoegt. Single-tenant architectuur en ingebouwde disaster-recoveryconfiguraties ondersteunen voortdurende vertrouwelijkheid, integriteit en weerbaarheid, terwijl elke actie over elk kanaal wordt vastgelegd in een manipulatiebestendige, onbeperkte audit log die direct wordt doorgezet naar SIEM-tools.
Defensieorganisaties die hun huidige maatregelen willen toetsen aan een nieuwe Artikel 32-beoordeling kunnen een aangepaste demo plannen.
Veelgestelde Vragen
Nee, defensieorganisaties die werknemers- en personeelsgegevens verwerken, zijn niet vrijgesteld van de verplichtingen uit Artikel 32, ook al ligt hun primaire focus op gecontroleerde technische data.
Dit betekent dat maatregelen moeten worden beoordeeld op basis van het actuele risico van de verwerking, en dat de lat verschuift naarmate de gevoeligheid van data en het dreigingslandschap veranderen, in plaats van vast te liggen na de initiële implementatie.
Grote boetes blijven zich richten op onvoldoende technische en organisatorische maatregelen na een datalek, niet op tekortschietende documentatie. De vierde categorie, het regelmatig testen van effectiviteit, wordt daarbij vaak volledig overgeslagen door organisaties.
Encryptie voldoet slechts zwak aan deze categorie als de partij die de versleutelde data beheert, deze standaard ook kan ontsleutelen; sterkere naleving vereist klantcontrole over sleutels om blootstelling daadwerkelijk te beperken.