In de AVG worden deze methodes genoemd als mogelijke en aanbevelenswaardige beveiligingsmaatregelen. Je bent verplicht om die maatregelen te treffen die nodig zijn om een beveiligingsniveau te waarborgen dat is afgestemd op de desbetreffende risico’s. Dat verschilt dus per school en per soort verwerking, en het hoeft niet persé versleuteling of pseudonimisering te zijn. Een goede, gedocumenteerde risico-inschatting (meestal gebaseerd op een DPIA) is dus belangrijk.
