Het Ministerie van Veiligheid en Justitie wil een meldplicht voor datalekken bij wet vastleggen. Staatssecretaris Teeven heeft het wetsvoorstel 25 juni naar de Tweede Kamer gestuurd. Het kabinet wil een dubbele meldplicht voor inbreuken op de beveiliging van persoonsgegevens: aan het College Bescherming persoonsgegevens (CBp) en – in bepaalde gevallen – ook aan degenen wier gegevens zijn gecompromitteerd. Het toezicht op de meldplicht verhuist van de ACM naar het CBp en er kunnen bestuurlijke boetes worden opgelegd tot maximaal 450.000 euro voor het niet tijdig melden.
De meldplicht rust op alle verantwoordelijken voor de verwerking, zowel in de private als publieke sector, schrijft V&J in de toelichting. Het doel van de meldplicht is het voorkomen van datalekken ten gevolge van doorbreking van beveiligingsmaatregelen en als deze zich toch voordoen, de gevolgen ervan voor de betrokkenen zoveel mogelijk te beperken.
De reikwijdte van de meldplicht wordt waarschijnlijk een belangrijk discussiepunt in de Tweede Kamer en Eerste Kamer. De Europese Commissie heeft begin vorig jaar een voorstel gepresenteerd voor een nieuwe Algemene verordening gegevensbescherming. Het Europees Parlement is bezig met de behandeling van het voorstel en de ruim 4000 amendementen die leden van het EP hebben ingediend.
Het CBp, maar ook VNO/NCW-MKB Nederland en Nederland ICT hebben erop aangedrongen om het Nederlandse wetsvoorstel aan te sluiten op de EU-tekst. Het kabinet legt die adviezen naast zich neer, met als argument dat het Europese voorstel nog onduidelijk is en dat de timing ervan nog niet vast ligt. De Raad van State zegt in zijn advies dat het wetsvoorstel “onbepaald” is geformuleerd: begrippen als 'redelijkerwijs', 'aanmerkelijk' en 'nadelig' kunnen verschillend worden ingevuld door het Cbp en degene die als verantwoordelijke in de zin van de Wbp kan worden aangemerkt.
De RvS verzoekt de regering om de reikwijdte nader te specificeren en stelt daarom ook vraagtekens bij de effectiviteit van de meldplicht en bij de lasten die deze meebrengt. V&J zegt in reactie dat voor de handhaving meer aansluiting wordt gezocht bij het toezicht op de Telecommunicatiewet. De parlementaire behandeling van de meldplicht is op advies van de Raad van State in een apart wetsvoorstel. Eerst zat het samen met een voorstel om het gebruik van particuliere camerabeelden te verruimen.
