Bedrijven moeten passende maatregelen nemen om persoonsgegevens van hun klanten en werknemers te beschermen. Mocht er toch sprake zijn van een ernstige datalek, dan moeten zij dit zo spoedig mogelijk melden bij de Autoriteit Persoonsgegevens. Bij overtreding van deze meldplicht riskeert men een boete die kan oplopen tot € 820.000.
Vanaf 1 januari 2016 zijn bedrijven en overheden wettelijk verplicht een melding van een ernstige datalek te doen bij de Autoriteit Persoonsgegevens. Van een datalek is alleen sprake als bij een beveiligingsincident persoonsgegevens verloren zijn gegaan of als een organisatie onrechtmatige verwerking van de persoonsgegevens redelijkerwijs niet kan uitsluiten. Een beveiligingsincident is bijvoorbeeld een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand door een hacker.
Melden bij Autoriteit Persoonsgegevens
Volgens artikel 34a, eerste lid, Wet bescherming persoonsgegevens moet een datalek pas gemeld worden als het leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. Het moet dus gaan om gegevens die van gevoelige aard zijn, zoals:
- financiële of economische gegevens;
- bijzondere persoonsgegevens over bijvoorbeeld iemands godsdienst of
levensovertuiging, ras, gezondheid, seksuele leven of strafrechtelijke persoonsgegevens;
- (andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene, zoals gokverslaving, prestaties op werk of relatieproblemen;
- gegevens die kunnen worden misbruikt voor (identiteits)fraude, zoals biometrische gegevens, kopieën van identiteitsbewijzen en om het Burgerservicenummer (bsn);
- gebruiksnamen, wachtwoorden en andere inloggegevens.
Melden aan betrokkene
Daarnaast moet het datalek ook worden gemeld aan de persoon van wie de gegevens zijn gelekt, indien het waarschijnlijk ongunstige gevolgen zal hebben voor zijn persoonlijke levenssfeer. Hierbij valt te denken aan een onrechtmatige publicatie, aantasting in eer en goede naam, (identiteits)fraude of discriminatie. Of een organisatie een datalek moet melden, verschilt per geval en of er (achteraf) voldoende (beschermings)maatregelen zijn genomen. De melding moet zonder onnodige vertraging worden gedaan en zo mogelijk niet later dan 72 uur na de ontdekking van het datalek.
Klik hier voor het melden, aanvullen of intrekken van een datalek bij de Autoriteit Persoonsgegevens.
Wet: artikelen 16 en artikel 34a, eerste en tweede lid, Wet bescherming persoonsgegevens en artikel 23, vierde lid, van het Wetboek van Strafrecht
Meer informatie: Autoriteit Persoonsgegevens, 8 december 2015, Beleidsregels meldplicht datalekken
Geef een reactie