Juridisch medewerker
Isabella Mahieu
AVG, IT-recht, International Media Law
12 september 2018
WiseMen |
- Privacy
Team Datalekken adviseert over meldplicht datalekken
Direct vrijblijvend advies? Bel of mail
Meldplicht datalekken
Op 1 januari 2016 was de meldplicht datalekken ingevoerd in de Wet bescherming persoonsgegevens. Organisaties moesten op grond daarvan een melding moeten doen bij de Autoriteit Persoonsgegevens na ontdekking van een ernstig datalek. Soms moesten zij het datalek ook melden aan de getroffen betrokkenen (de personen op wie de persoonsgegevens betrekking hebben). De Algemene Verordening Gegevensbescherming (AVG), dat van toepassing is sinds 25 mei 2018 en de Wbp heeft vervangen, bevat ook een meldplicht datalekken. Deze verschilt echter overigens van de meldplicht opgenomen in de Wbp.
Datalek
De term die in de AVG wordt gebruikt voor datalek is “inbreuk in verband met persoonsgegevens”. Dat is gedefineerd als:
“een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”
Denk daarbij bijvoorbeeld aan een hack of een verlies van een laptop met toegang tot die persoonsgegevens. Ook vernietiging van persoonsgegevens (zonder aanwezigheid van een back-up) is een voorbeeld.
Datalekken zijn grofweg onder te verdelen in de volgende categorieën:
-
Vertrouwelijkheidsinbreuk: onopzettelijke of ongeautoriseerde toegang tot persoonsgegevens;
-
Toegankelijkheidsinbreuk: onopzettelijke of ongeautoriseerde verlies of ontoegankelijkheid van persoonsgegevens;
- Integriteitsinbreuk: onopzettelijke of ongeautoriseerde wijziging van persoonsgegevens;
Na kennisgenomen te hebben van een datalek, moet de verwerkingsverantwoordelijke deze “zonder onredelijke vertraging” en, indien mogelijk, uiterlijk binnen 72 uur, melden aan de bevoegde toezichthoudende autoriteit. Dit geldt echter niet als het “niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.”
Wanneer het datalek “waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen”, moet de verwerkingsverantwoordelijke daarnaast het datalek “onverwijld” meedelen aan de betrokkene.
Als een verwerkingsverantwoordelijke een verwerker heeft ingeschakeld, moet die verwerker, nadat hij van een datalek heeft kennisgenomen, deze “zonder onredelijke vertraging” melden aan de verwerkingsverantwoordelijke. De ernst van het datalek is dan ook niet van belang voor de meldplicht van de verwerker.
Daarnaast heeft de verwerkingsverantwoordelijke een documentatieplicht ter zake van voorgekomen datalekken, ongeacht of deze datalekken onder de meldplicht vallen.
Er zijn verschillen met de meldplicht datalekken in de Wbp. Zo moet onder de AVG de verwerkingsverantwoordelijke in beginsel alle datalekken melden aan de toezichthouder, tenzij het niet waarschijnlijk is dat het datalek een hoog risico inhoudt, terwijl de verantwoordelijke onder de Wbp een datalek alleen hoefde te melden aan de toezichthouder als deze leidde tot een aanzienlijke kans op “ernstige nadelige gevolgen” of ernstige nadelige gevolgen had voor de bescherming van persoonsgegevens. Daarnaast legt de AVG, anders dan de Wbp, een uitdrukkelijke plicht op aan de verwerker tot melding van datalekken aan de verwerkingsverantwoordelijke, ongeacht of hierover afspraken zijn gemaakt in een verwerkersovereenkomst.
Analyse van het datalek
De vraag hoe een verantwoordelijke of verwerker moet handelen bij ontdekking van een datalek, is niet eenvoudig te beantwoorden. Niet alleen moet worden vastgesteld of daadwerkelijk sprake is van een datalek, ook moet beoordeeld worden of het datalek moet worden gemeld, aan wie gemeld moet worden, welke informatie daarbij moet worden gegeven en hoe snel de melding moet worden gedaan. De Artikel 29-Werkgroep (de gezamenlijke Europese privacytoezichthouders, inmiddels geheten European Data Protection Board’, heeft nuttige guidelines geschreven die hierbij helpen.
Het Team Datalekken van WiseMen
Ons team van privacy-advocaten helpt u graag bij het maken van de analyse in het geval u vermoedt dat sprake is van een datalek. Neemt u contact met ons op voor meer informatie.
Advies
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Archief
Juridisch medewerker
Femke Prinsen
Internationaal handelsrecht, Intellectuele Eigendom en IT-recht
