Het CBP heeft beleid ontwikkeld voor het toezicht op de meldplicht datalekken. Deze concept-richtsnoeren worden vier weken land publiek geconsulteerd. De meldplicht datalekken houdt in dat organisaties die persoonsgegevens verwerken een melding moeten doen bij de privacytoezichthouder zodra zich een ernstig datalek voordoet.
Het CBP zal daarbij een invulling geven aan de omschrijving in de wet, “aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen voor de bescherming van persoonsgegevens”. De personen wier gegevens in het geding zijn, moeten worden geïnformeerd indien het lek “waarschijnlijk ongunstige gevolgen zal hebben”. Ook in de parlementaire behandeling van de wet heeft die reikwijdte voor discussie gezorgd.
De meldplicht geldt vanaf 1 januari 2016. Het College Bescherming Persoonsgegevens (CBP) heet vanaf die dag de Autoriteit Persoonsgegevens. De .nl van die naam is in handen van het Rijk, maar (nog) niet in gebruik voor een website.
