Door Joe Jay de Haas | Aansprakelijkheidsrecht | 2 juni 2023 | 3 min. leestijd
Het lekken van data vormt een serieuze bedreiging voor de privacy en veiligheid van individuen en organisaties. In Nederland zijn er specifieke regels opgesteld om de melding van datalekken te bevorderen. Het tijdig en adequaat melden van een datalek is van groot belang om de getroffenen te beschermen en verdere schade te beperken. In deze blog ga ik in op de plicht voor het melden van een datalek.
Wat is een datalek?
Een datalek verwijst naar de situatie waarin persoonsgegevens verloren zijn gegaan, gewijzigd zijn, onrechtmatig zijn verstrekt of toegankelijk zijn geworden voor onbevoegden. Dit kan het gevolg zijn van bijvoorbeeld een cyberaanval, diefstal van een laptop met gevoelige informatie, of het verzenden van persoonsgegevens naar de verkeerde ontvanger.
Meldplicht voor datalekken
In Nederland is de meldplicht voor datalekken vastgelegd in de Algemene verordening gegevensbescherming (AVG). Deze verordening vereist dat organisaties direct een datalek melden bij de Autoriteit Persoonsgegevens (AP), tenzij het niet waarschijnlijk is dat het lek leidt tot een risico voor de rechten en vrijheden van natuurlijke personen.[1]
Daarnaast moeten organisaties ook de betrokkenen zelf informeren als het datalek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden.[2] Het doel van deze meldplicht is om transparantie te waarborgen en getroffen personen in staat te stellen passende maatregelen te nemen om zichzelf te beschermen tegen mogelijke schade.
Zelf bepalen of een datalek gemeld moet worden, of niet? Bekijk dan hier een blog van kantoorgenoot Wouter Dammers.
Hoe een datalek melden?
Om een datalek te melden, moet de verantwoordelijke organisatie contact opnemen met de AP. Dit kan gebeuren via een online meldingsformulier op de website van de AP. Het formulier bevat vragen over de aard van het lek, de betrokken gegevens en de mogelijke gevolgen ervan. Het is belangrijk om zo gedetailleerd en nauwkeurig mogelijk te zijn bij het invullen van het formulier.
Naast het melden bij de AP, moeten organisaties ook de betrokkenen informeren over het lekken van de data, tenzij er passende technische en organisatorische maatregelen zijn genomen die ervoor zorgen dat de gelekte gegevens onbegrijpelijk zijn voor onbevoegden, zoals versleuteling.[3] De melding aan betrokkenen moet duidelijke en begrijpelijke taal bevatten en alle relevante informatie verstrekken, zoals de aard van het lek, de gevolgen en de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk aan te pakken.[4]
Mogelijke gevolgen van het niet melden van een datalek
Het niet voldoen aan de meldplicht voor datalekken kan leiden tot aanzienlijke boetes. De AP heeft de bevoegdheid om boetes op te leggen tot maximaal 10 miljoen euro. Of, in het geval van een onderneming, tot 2% van de wereldwijde jaaromzet.[5] Daarnaast kan het niet tijdig melden van een datalek reputatieschade veroorzaken en het vertrouwen van klanten en zakelijke partners aantasten.
Conclusie
Het melden van een datalek is in beginsel een wettelijke verplichting in Nederland en vormt een belangrijke stap bij het beschermen van de privacy en veiligheid van individuen en organisaties. Door te voldoen aan de meldplicht kunnen organisaties de gevolgen van een datalek beperken en het vertrouwen van betrokkenen behouden. Het naleven van de meldingsprocedure en het informeren van betrokkenen zijn cruciaal om transparantie te waarborgen en de gevolgen van een datalek te minimaliseren.
Tot slot
Heeft u vragen over (het melden van) een datalek? Onze professionals zijn u graag van dienst. Bel of mail vrijblijvend: 013-2077107 / info@lawfox.nl
Voetnoten/bronnen:
[1] Artikel 33 lid 1 AVG
[2] Artikel 34 lid 1 AVG
[3] Artikel 34 lid 3 AVG
[4] Artikel 34 lid 2 jo. artikel 33 lid 3 AVG
[5] Artikel 83 lid 4 AVG
