Meldplicht datalekken

Dit staat in de Wet Meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid CBP. Overheden en bedrijven moeten een inbreuk op de beveiliging direct melden bij de Autoriteit Persoonsgegevens.

Het moet gaan om datalekken die ernstige nadelige gevolgen hebben voor de bescherming van persoonsgegevens. Heeft de lek ook ernstige gevolgen voor de persoonlijke levenssfeer van betrokkenen? Bijvoorbeeld klanten en zakelijke relaties. Dan moeten deze onmiddellijk op de hoogte worden gebracht van de inbreuk.

Als een bedrijf, overheid of organisatie een datalek niet op tijd meldt, kan de Autoriteit Persoonsgegevens een boete opleggen. Die kan oplopen tot € 820.000 of 10% van de jaaromzet. [Wetboek van Strafrecht, artikel 23, vierde lid, zesde categorie]

Voorbeelden van datalekken
Voorbeelden van datalekken zijn: een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand.

Melden of niet?
Of organisaties verplicht zijn om een melding van een datalek te doen, hangt af van de ernst van het datalek. De ernst wordt onder meer bepaald door het soort persoonsgegevens dat is gelekt. Een datalek moet volgens de wet bij de toezichthouder worden gemeld als dit “leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens”. In sommige gevallen moeten organisaties het datalek ook melden aan de betrokkenen. Dit zijn de mensen van wie persoonsgegevens worden verwerkt. Zij moeten worden geïnformeerd als een datalek “waarschijnlijk ongunstige gevolgen zal hebben” voor hun persoonlijke levenssfeer.

Meldloket Autoriteit Persoonsgegevens
Organisaties die een datalek willen melden bij de Autoriteit Persoonsgegevens kunnen dat doen via het meldloket datalekken.

Downloads:
"Beleidsregels meldplicht datalekken" (pdf, 62 pagina's)
"Concept richtsnoeren meldplicht datalekken" (pdf, 55 pagina's)

Bron: Rijksoverheid / Autoriteit Persoonsgegevens > voorheen bekend als 'College bescherming persoonsgegevens (CBP)'