Art. 32 DSGVO (Sicherheit der Verarbeitung)

Wie persoonsgegevens verwerkt, moet ze beschermen – ook als de apparaten waarop ze staan allang zijn afgedankt. De centrale bepaling hiervoor is art. 32 AVG. Dit woordenlijstitem legt uit wat het artikel vereist, wat dat betekent voor oude laptops, servers en harde schijven en welke bewijzen u in een audit nodig hebt.

Wat staat er in art. 32 AVG?

Art. 32 valt onder hoofdstuk IV van de Algemene Verordening Gegevensbescherming (AVG). Dit hoofdstuk regelt de verplichtingen van verwerkingsverantwoordelijken en verwerkers. Verwerkingsverantwoordelijke is wie over doel en middelen van een verwerking beslist – meestal uw bedrijf. Verwerker is een dienstverlener die in uw opdracht gegevens verwerkt. Het artikel heeft vier leden:

• Lid 1: Verplichting tot passende technische en organisatorische maatregelen. Af te wegen zijn de stand van de techniek, de kosten, de aard, reikwijdte, omstandigheden en doeleinden van de verwerking, alsook de waarschijnlijkheid en de ernst van het risico. Als voorbeelden worden genoemd pseudonimisering en versleuteling, het duurzaam waarborgen van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen, het snel herstellen na een incident en een procedure voor het regelmatig toetsen van de doeltreffendheid.
• Lid 2: Bij de beoordeling van het beschermingsniveau tellen met name de risico’s van vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking of ongeoorloofde toegang – hetzij per ongeluk, hetzij onrechtmatig.
• Lid 3: Goedgekeurde gedragscodes (art. 40) of certificeringsmechanismen (art. 42) kunnen als element dienen om de naleving aan te tonen.
• Lid 4: Personen die toegang hebben tot persoonsgegevens, mogen deze alleen op instructie verwerken.

Het artikel schrijft geen vaste maatregelen voor. Het vereist een beschermingsniveau dat bij het risico past. Dat maakt het flexibel, maar ook veeleisend: u moet kunnen motiveren waarom uw maatregelen passend zijn.

Wat betekent art. 32 AVG voor afgedankte IT?

Een afgedankt apparaat is voor de AVG geen bijzonder geval. Zolang er persoonsgegevens op een harde schijf, een SSD of een smartphone staan, vindt er verwerking plaats. Ook opslaan en wissen gelden als verwerking (art. 4 lid 2 AVG). Art. 32 geldt daarom tot het moment waarop de gegevens aantoonbaar niet meer bestaan.

Juist de risico’s uit lid 2 doen zich bij het afvoeren in versterkte mate voor: apparaten raken zoek tijdens het transport, staan onbeveiligd in de opslag of worden zonder wissen doorgegeven. Eenvoudig formatteren volstaat niet, want de gegevens zijn vaak te herstellen. Dit verschijnsel heet Dataremanentie. Passend zijn geteste wismethoden of een fysieke vernietiging die bij de beschermingsbehoefte past. Hoe u de beschermingsbehoefte bepaalt, legt het item uit Beschermingsbehoeftebepaling.

Schakelt u een dienstverlener in, dan blijft uw bedrijf verantwoordelijk. U moet hem zorgvuldig selecteren en contractueel binden, in de regel via een verwerkersovereenkomst op grond van art. 28 AVG. Daarin verplicht ook de dienstverlener zich tot de maatregelen volgens art. 32.

Verplichtingen en bewijzen bij het afvoeren

De tabel koppelt typische maatregelen aan de risico’s uit art. 32. Het is een richtlijn, geen uitputtende lijst.

Risico of beschermingsdoel	Typische maatregel	Bewijs
Ongeautoriseerde toegang in het pand	Afsluitbare verzamelcontainers, afgesloten opslagruimte	Ruimte- en sleutelbeleid
Verlies tijdens het transport	Verzegelde containers, directe rit, voertuigtracking	Overnameprotocol met zegelnummers
Onvolledige overdracht	Afstemming van serienummers bij overdracht en goederenontvangst	Inventarislijst, ontvangstprotocol
Openbaarmaking na de overdracht	Geteste gegevensverwijdering of vernietiging naar beschermingsbehoefte	Verwijderings- of vernietigingscertificaat per serienummer
Alleen handelen op instructie (lid 4)	Medewerkers verplichten tot vertrouwelijkheid	Verplichtingsverklaringen, trainingsbewijzen
Doeltreffendheid (lid 1 onder d)	Regelmatige toetsing van processen en dienstverleners	Auditrapporten, controleprotocollen

U hebt de bewijzen niet alleen nodig voor de toezichthouder. Volgens de Verantwoordingsplicht (art. 5 lid 2 AVG) moet u de naleving te allen tijde kunnen aantonen. Samen vormen de bewijzen de Chain of custody, dus de sluitende bewaarketen van elk apparaat.

Typische fouten

• Oude apparaten stapelen zich open en bloot op in gangen, kelders of vergaderruimtes.
• Harde schijven worden alleen geformatteerd, of het besturingssysteem wordt opnieuw geïnstalleerd.
• Een dienstverlener wordt ingeschakeld zonder verwerkersovereenkomst.
• Bewijzen vermelden alleen aantal of gewicht, maar geen serienummers.
• Gegevensdragers in printers, kopieerapparaten, usb-sticks of bedrijfstelefoons worden vergeten.
• De processen worden nooit getoetst, terwijl lid 1 precies dat vereist.

Overtredingen van art. 32 kunnen volgens art. 83 lid 4 AVG worden bestraft met geldboeten tot 10 miljoen euro of tot 2 % van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Gaan gegevens verloren, dan kan bovendien een meldplichtig Datalek volgens art. 33 AVG aan de orde zijn.

Praktijkvoorbeeld: 60 laptops en een server

Een vereenvoudigd voorbeeld laat zien hoe de eisen in een proces kunnen worden vertaald. Een bedrijf vervangt 60 laptops en een bestandsserver. Op alle apparaten staan personeels- en klantgegevens.

1. Beschermingsbehoefte vaststellen: De gegevens hebben een hoge beschermingsbehoefte. Er wordt vastgelegd: functionele gegevensdragers worden gecertificeerd gewist, defecte volgens DIN 66399 vernietigd.
2. De dienstverlener binden: Met de dienstverlener wordt een verwerkersovereenkomst gesloten die de maatregelen beschrijft.
3. Registreren en beveiligen: De IT maakt een lijst van alle serienummers. Tot het ophalen staan de apparaten in een afgesloten ruimte.
4. Overdragen: De containers worden verzegeld. Het overnameprotocol vermeldt aantal, zegelnummers en beide handtekeningen.
5. Afstemmen en wissen: Bij de goederenontvangst worden de serienummers afgestemd met de lijst. Daarna volgt de verwijdering of vernietiging.
6. Archiveren: De certificaten worden gekoppeld aan de inventarislijst en samen met het contract gearchiveerd.

Vraagt de toezichthouder later ernaar, dan kan het bedrijf voor elk serienummer aantonen wat ermee is gebeurd.

Art. 32 AVG bij Second IT

Second IT haalt afgedankte IT op met eigen beveiligde logistiek: directe ritten zonder tussenopslag, gps-bewaking, manipulatiebestendige verzegeling en verzekerd transport. Bij de goederenontvangst worden alle apparaten gecontroleerd op opslagmedia en op serienummer geregistreerd. De locatie is beschermd door toegangscontrole en camerabewaking. Medewerkers zijn gebonden aan gegevensgeheimhouding; op verzoek worden geheimhoudingsovereenkomsten gesloten. Gewist wordt met Blancco, met een digitaal ondertekend wiscertificaat per apparaat. Gegevensdragers die niet kunnen worden gewist, worden in eigen huis vernietigd volgens DIN 66399. Second IT is gecertificeerd volgens ISO/IEC 27001. Meer over gegevensbeveiliging in het verwerkingsproces.

Afbakening ten opzichte van verwante begrippen

Art. 32 beschrijft het doel, namelijk een passend beschermingsniveau. De concrete stappen daarheen heten Technische en organisatorische maatregelen (TOM). Art. 25 AVG (gegevensbescherming door ontwerp) zet eerder in, bij het plannen van systemen. Art. 5 lid 1 onder f AVG noemt integriteit en vertrouwelijkheid als beginsel; art. 32 maakt dit concreet. Een certificering volgens ISO/IEC 27001 is geen certificeringsmechanisme in de zin van art. 42 AVG. Ze laat echter wel zien dat een bedrijf informatiebeveiliging systematisch stuurt.

Welke AVG-verplichtingen bij de afvoer in een audit tellen, legt onze gids uit: Gegevensdragers afvoeren volgens de AVG. Waarom oude harde schijven een onderschat risico zijn, leest u in Gegevensbescherming bij oude harde schijven. Dit item vervangt geen juridisch advies.

Veelgestelde vragen over art. 32 AVG

Geldt art. 32 AVG ook voor apparaten die niet meer worden gebruikt?

Ja. Zolang er persoonsgegevens op een apparaat zijn opgeslagen, vindt er verwerking plaats. De beschermingsplicht eindigt pas wanneer de gegevens aantoonbaar zijn gewist of de gegevensdrager is vernietigd.

Schrijft art. 32 AVG een bepaalde wismethode voor?

Nee. Maatstaf zijn de stand van de techniek en het risico. Als oriëntatie dienen erkende normen zoals NIST SP 800-88 voor het wissen en DIN 66399 voor de fysieke vernietiging. Belangrijk is dat u uw keuze kunt motiveren en aantonen.

Wie is verantwoordelijk als een dienstverlener de verwijdering overneemt?

Uw bedrijf blijft verwerkingsverantwoordelijke. De dienstverlener is als verwerker zelf aan art. 32 gebonden. Regel de maatregelen in een verwerkersovereenkomst en laat u de uitvoering per apparaat aantonen.

Welke bewijzen moet ik bewaren?

Typisch zijn de inventarislijst met serienummers, het overnameprotocol, wis- of vernietigingscertificaten per serienummer, de verwerkersovereenkomst en auditrapporten van de dienstverlener. Hoe lang u deze documenten bewaart, legt u het best vast in uw wisbeleid.

Wat staat er te gebeuren bij overtredingen van art. 32 AVG?

Art. 83 lid 4 AVG voorziet in geldboeten tot 10 miljoen euro of tot 2 % van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daar komen mogelijke schadevergoedingsvorderingen van betrokkenen bij op grond van art. 82 AVG.