GDPR – Versleuteling

Bedrijven kunnen de kans op een datalek verkleinen en daarmee het risico op boetes in de toekomst verminderen als zij ervoor kiezen om persoonlijke gegevens te versleutelen. De verwerking van persoonlijke gegevens brengt van nature een zekere mate van risico met zich mee. Vooral tegenwoordig, waar cyberaanvallen bijna onvermijdelijk zijn voor bedrijven boven een bepaalde omvang. Daarom speelt risicobeheer een steeds grotere rol in IT-beveiliging en is gegevensversleuteling geschikt, naast andere middelen, voor deze bedrijven.

Over het algemeen verwijst encryptie naar de procedure die klare tekst omzet in een gehashte code met behulp van een sleutel, waarbij de uitgaande informatie pas weer leesbaar wordt door de juiste sleutel te gebruiken. Dit minimaliseert het risico op een incident tijdens de gegevensverwerking, aangezien versleutelde inhoud in principe onleesbaar is voor derden die niet de juiste sleutel hebben. Encryptie is de beste manier om gegevens te beschermen tijdens overdracht en een manier om opgeslagen persoonsgegevens te beveiligen. Het vermindert ook het risico op misbruik binnen een bedrijf, aangezien de toegang alleen is beperkt tot geautoriseerde personen met de juiste sleutel.

De verordening erkent ook deze risico’s bij de verwerking van persoonsgegevens en legt de verantwoordelijkheid bij de verwerkingsverantwoordelijke en de verwerker in art. 32(1) van de Algemene Verordening Gegevensbescherming om passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen. De AVG definieert opzettelijk niet welke specifieke technische en organisatorische maatregelen in elk geval geschikt worden geacht, om rekening te houden met individuele factoren. Het geeft de verwerkingsverantwoordelijke echter wel een catalogus van criteria om in overweging te nemen bij de keuze van methoden om persoonsgegevens te beveiligen. Deze zijn de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de verwerking. Naast deze criteria moet men altijd rekening houden met de ernst van de risico’s voor de rechten en vrijheden van de betrokkene en hoe waarschijnlijk het is dat deze risico’s zich zullen voordoen. Dit komt in feite neer op het volgende: hoe groter de risico’s die verbonden zijn aan de gegevensverwerking en hoe waarschijnlijker het is dat deze zich zullen manifesteren, des te sterker moeten de genomen beveiligingsmaatregelen zijn en des te meer maatregelen moeten worden genomen. Versleuteling als concept wordt expliciet genoemd als een mogelijke technische en organisatorische maatregel om gegevens te beveiligen in de lijst van art. 32(1) van de AVG, die niet uitputtend is. Opnieuw noemt de AVG geen expliciete versleutelingsmethoden om ruimte te laten voor de snelle technologische vooruitgang. Bij het kiezen van een methode moet men ook de bovengenoemde criteriacatalogus toepassen. Om de vraag te beantwoorden wat momenteel als “state of the art” wordt beschouwd, vertrouwen gegevensbeschermingsfunctionarissen meestal op de definities die zijn opgesteld in informatiebeveiligingsnormen zoals ISO/IEC 27001 of andere nationale IT-beveiligingsrichtlijnen.

Versleuteling van persoonsgegevens heeft aanvullende voordelen voor verwerkingsverantwoordelijken en/of bewerkers. Zo wordt het verlies van een eigentijds versleuteld mobiel opslagmedium dat persoonsgegevens bevat niet per se beschouwd als een datalek dat aan de gegevensbeschermingsautoriteiten moet worden gemeld. Bovendien moeten de autoriteiten bij een datalek positief rekening houden met het gebruik van versleuteling in hun beslissing over de vraag of en welk bedrag aan boete wordt opgelegd overeenkomstig Art. 83(2)(c) van de AVG.