Nieuwe meldplicht datalekken
Op 1 januari 2016 is de meldplicht datalekken ingegaan. Deze meldplicht houdt in dat organisaties (zowel bedrijven als overheden) direct een melding moeten doen bij de Autoriteit Persoonsgegevens (het voormalige CBP) zodra zij een ernstig datalek hebben. En soms moeten zij het datalek ook melden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt).
Meldloket Autoriteit Persoonsgegevens
Organisaties die een datalek willen melden bij de Autoriteit Persoonsgegevens kunnen dat doen via het meldloket datalekken.
Datalek
Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. We spreken van een datalek als er een inbreuk is op de beveiliging van persoonsgegevens (zoals bedoeld in artikel 13 van de Wet bescherming persoonsgegevens). Bij een datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking – dus aan datgene waartegen de beveiligingsmaatregelen bescherming moeten bieden.
Voorbeelden datalekken
Voorbeelden van datalekken zijn: een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand door een hacker. Maar ook bij het volgende voorbeeld is sprake van een datalek. Neem een mailing of bekendmaking aan een groep mensen die werkzaam zijn bij verschillende organisaties. Van tijd tot tijd gaat daarbij iets fout: alle geadresseerden horen te zijn opgenomen in het BCC-veld, maar ze komen terecht in het CC-veld. Gevolg is, dat alle geadresseerden niet alleen van elkaar weten dat ze in hetzelfde bestand zitten, maar dat ze nu ook elkaars mailadres kennen. Omdat persoonlijke mailadressen – ook zakelijk gezien – gelden als persoonsgegeven, is deze CC-fout een overtreding met een meldplicht.
Beleidsregels meldplicht datalekken
De Autoriteit Persoonsgegevens heeft beleidsregels opgesteld over de meldplicht datalekken. Deze beleidsregels zijn bedoeld om organisaties te helpen bij het bepalen of sprake is van een datalek dat zij moeten melden bij de Autoriteit Persoonsgegevens en eventueel aan de betrokkenen.
Telefonische informatie over de meldplicht datalekken
Op autoriteitpersoonsgegevens.nl vindt u informatie en antwoorden op vragen over de meldplicht datalekken. Heeft u op deze website geen antwoord op uw vraag gevonden? Dan kunt u contact opnemen met de Autoriteit Persoonsgegevens. Het telefoonnummer is 0900-3282535 (voor dit nummer betaalt u uw gebruikelijke telefoonkosten).