Het College Bescherming Persoonsgegevens (CBP) heeft de beleidsregels gepubliceerd voor de meldplicht datalekken. Alle bedrijven en overheden die persoonsgegevens verwerken op grond van de Wet bescherming persoonsgegevens (Wbp) zijn vanaf 1 januari 2016 verplicht om een ernstig datalek direct te melden. De ernst wordt onder meer bepaald door het soort persoonsgegevens dat is gelekt.
De definitieve beleidsregels zijn een update van de begin 2013 gepubliceerde richtsnoeren. Ze zijn bedoeld voor het bedrijfsleven om te bepalen wanneer een melding moet worden gedaan, want er zitten meerdere drempels in de verplichting. Een gevonden zwakke plek in beveiliging van gegevens is nog niet meteen een datalek. Verder zijn sommige persoonsgegevens gevoeliger, zoals wachtwoorden, of medische gegevens.
Een datalek moet volgens de wet bij de toezichthouder worden gemeld als dit “leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens”.
In sommige gevallen moeten ook personen geïnformeerd worden wier gegevens zijn verwerkt. Zij moeten worden geïnformeerd als een datalek “waarschijnlijk ongunstige gevolgen zal hebben” voor hun persoonlijke levenssfeer.
Telecomaanbieders vallen onder twee meldplichten, die uit de Wbp en die uit de Telecommunicatiewet. Het CBP heeft maatregelen genomen om dubbele meldingen tegen te gaan. Voor bedrijven onder de Wet Financiële Transacties (Wft) gelden alleen de verplichtingen van dat toezicht.
Bij overtredingen kan de Autoriteit Persoonsgegevens – per 1 januari de opvolger van het CBP – een bestuurlijke boete opleggen van ten hoogste 820.000 euro. Een zaak kan ook eindigen in een bindende aanwijzing.
