Producenten verwerken ook persoonsgegevens
GDPR is al jaren van kracht, en Artikel 32 blijft de meest aangehaalde bepaling bij grote boetes. Producenten die persoonsgegevens van medewerkers, klanten en leveranciers verwerken naast technische gegevens, zijn niet vrijgesteld van deze verplichting.
Deels komt dit doordat Artikel 32 niet leest als een checklist. Het noemt vier categorieën van maatregelen als illustratie en laat “passend” beoordelen aan de hand van het risico. Dit artikel legt uit wat deze vier categorieën in de praktijk daadwerkelijk vereisen voor producenten.
Samenvatting
Artikel 32 van de GDPR beschrijft vier illustratieve categorieën van technische en organisatorische maatregelen. Geen van deze categorieën wordt afgedekt met een eenmalige implementatie. Voor producenten is de praktische uitdaging, jaren na de invoering van de regelgeving, niet of Artikel 32 ooit is behandeld, maar of het nog steeds wordt nageleefd in het licht van het huidige risico.
Belangrijkste inzichten
- Artikel 32 noemt vier illustratieve categorieën van maatregelen, geen vaste checklist.
- “Passend bij het risico” betekent dat de lat verschuift naarmate de gevoeligheid van gegevens en het dreigingslandschap veranderen.
- Beveiligingsfouten zijn de belangrijkste oorzaak van grote GDPR-handhavingsacties, niet procedurele tekortkomingen.
- Encryptie zonder klantcontrole over de sleutel voldoet slechts zwak aan pseudonimisering.
- De vierde categorie, het regelmatig testen van de effectiviteit, wordt door de meeste producenten volledig overgeslagen.
Waarom “Passend” een bewegend doelwit is voor persoonsgegevens
Artikel 32 vermijdt bewust het benoemen van specifieke technologieën en vereist in plaats daarvan dat maatregelen passend zijn bij het risico dat de betreffende verwerking met zich meebrengt.
Risicogebaseerde formulering betekent dat de lat meebeweegt met de gegevens en de dreiging
Een maatregel die passend wordt geacht voor een bepaalde categorie persoonsgegevens, blijft niet automatisch passend als de gevoeligheid of het dreigingslandschap verandert.
Toezichthouders beoordelen “passend” op basis van wat een redelijke producent zou hebben gedaan
Handhavingsbesluiten beoordelen of de genomen maatregelen overeenkwamen met wat een redelijke producent, die dat soort gegevens verwerkt, zou hebben geïmplementeerd.
Wat elke van de vier categorieën daadwerkelijk vereist
Elke categorie is in de praktijk tekortgeschoten op manieren die herhaaldelijk terugkomen in handhavingsbesluiten.
Pseudonimisering en encryptie die blootstelling daadwerkelijk beperkt
Encryptie voldoet slechts zwak aan deze categorie als de entiteit die de versleutelde gegevens beheert, deze standaard ook kan ontsleutelen.
Continue vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht
Deze categorie is expliciet continu en geen eenmalige beoordeling bij inzet.
Waarom dit nog steeds het artikel is dat de grootste boetes oplevert
Grote boetes tot en met 2026 blijven draaien om onvoldoende technische en organisatorische maatregelen na een datalek, niet om tekortschietende documentatie.
Een Artikel 32-programma opzetten dat jaren later nog standhoudt
De praktische aanpak is om alle vier de categorieën te behandelen als doorlopende operationele verplichtingen: verifieer dat encryptie daadwerkelijk blootstelling beperkt, bevestig dat toegangscontroles continu worden gemonitord en test disaster recovery volgens een echt schema.
Hoe een Data Control Plane continue Artikel 32-naleving ondersteunt
Het Kiteworks Data Control Plane ondersteunt klantbeheer van encryptiesleutels via een hardware security module, en audit logs worden standaard geanonimiseerd, wat een echte pseudonimiseringslaag toevoegt. Single-tenant architectuur en ingebouwde disaster-recoveryconfiguraties ondersteunen continue vertrouwelijkheid, integriteit en veerkracht, terwijl elke actie over elk kanaal wordt vastgelegd in een manipulatiebestendige, onbeperkte audit log die direct wordt doorgezet naar SIEM-tools.
Producenten die hun huidige maatregelen willen toetsen aan een nieuwe Artikel 32-beoordeling kunnen een aangepaste demo plannen.
Veelgestelde vragen
Beveiligingsfouten zijn de belangrijkste oorzaak van grote GDPR-handhavingsbesluiten en niet tekortschietende documentatie. Artikel 32 vereist voortdurende technische en organisatorische maatregelen die passend blijven bij het actuele risiconiveau.
De uitdrukking betekent dat de vereiste maatregelen niet vastliggen; de lat verschuift naarmate de gevoeligheid van gegevens en het dreigingslandschap veranderen. Toezichthouders beoordelen of een redelijke producent met vergelijkbare gegevens dezelfde controles zou hebben geïmplementeerd.
Encryptie voldoet slechts zwak aan de vereiste als de organisatie die de gegevens beheert deze standaard kan ontsleutelen; echte beperking van blootstelling vereist klantbeheer van encryptiesleutels.
De vierde categorie—het regelmatig testen, beoordelen en evalueren van de effectiviteit van maatregelen—is de vereiste die het vaakst volledig ontbreekt in nalevingsprogramma’s.