Meldplicht datalekken, in het kort

Op 26 mei 2015 heeft de Eerste Kamer ingestemd met de “Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens alsmede uitbreiding van de bevoegdheid van het College bescherming persoonsgegevens [nu Autoriteit Persoonsgegevens] om bij overtreding van het bepaalde bij of krachtens de Wet bescherming persoonsgegevens een bestuurlijke boete op te leggen”.

Met deze wijziging van de Wet bescherming persoonsgegevens (Wbp) geldt er sinds 1 januari 2016 een meldplicht voor datalekken.

Wat is een datalek?

Volgens artikel 13 van de Wbp “legt de verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking“.

Een datalek kan gedefinieerd worden als een “inbreuk op de genomen technische en organisatorische maatregelen voor de beveiliging van persoonsgegevens“ (beveiligingsincident) waarbij “persoonsgegevens verloren zijn gegaan, of onrechtmatige verwerking van de persoonsgegevens niet redelijkerwijs kan worden uitgesloten“ (AP, zj.; AP, 2015, p.5).

De meldplicht geldt niet voor alle datalekken

Niet alle datalekken hoeven gemeld te worden. De verantwoordelijke is alleen verplicht om een datalek “die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens” (artikel 34a, eerste lid, Wbp) binnen 72 uur te melden aan de Autoriteit Persoonsgegevens (AP) (AP, 2015, p.6).

De betrokkene hoeft pas geïnformeerd te worden indien het datalek “waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer” (artikel 34a, tweede lid, Wbp).

Bronnen

Leave a Reply

Your email address will not be published. Required fields are marked *

18 + 16 =