32.1Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:
32.1.ade pseudonimisering en versleuteling van persoonsgegevens;
32.1.bhet vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
32.1.chet vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;
32.1.deen procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.
32.2Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.
32.3Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat dat de in lid 1 van dit artikel bedoelde vereisten worden nageleefd.
32.4De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden.
Handhaving onder dit artikel
07-05-2026UKSouth Staffordshire Plc and South Staffordshire Water PlcBoete€ 1,1 mln
26-01-2026SE⇄Sanctieboete voor Sportadmin vanwege gebrekkige beveiligingBoete€ 528k
19-12-2025FRArt-60-besluit EDPBI:FR:OSS:D:2025:3826: art. 12 — Security of processing€ 47
20-11-2025UKLastPass UK LtdBoete€ 1,4 mln
26-06-2025LUArt-60-besluit EDPBI:LU:OSS:D:2025:3510: art. 6 — Lawfulness of processing
27-05-2025FRArt-60-besluit EDPBI:FR:OSS:D:2025:3488: art. 32 — Security of processing
23-05-2025EEArt-60-besluit EDPBI:EE:OSS:D:2025:1784: art. 5 — Principles relating to processing of personal data
EDPB art-60registervermelding· AVG· zekerheid: citaat
art. 5art. 12art. 13art. 14art. 15art. 32
uitkomst: No violation Pagination First page First Previous page Previous … Page 6
Basic principlesData subject rightsCybersecurity
CSA:hrdeseesatnofrplskiedklt
nationale zaak: 2.1.-1/24/108-224-10
EDPBI:EE:OSS:D:2025:1784
citeer:2.1.-1/24/108-224-10·permalink