Door Anoniem: De verwerkingsverantwoordelijke moet er juist voor zorgen dat zij relevante informatie krijgen. Dat is juist de essentie van die "verantwoordelijkheid". Normaal gesproken geven ze zelf tickets uit. Nu besluiten ze het niet zelf te doen (lekker makkelijk en goedkoop), maar dat betekent dus niet dat ze daarmee ook hun verantwoordelijkheid kwijt zijn. Daarom moeten ze er in de verwerkingsovereenkomst goede afspraken over opnemen. Doe je dat niet, of controleer je niets, dan neem je je verantwoordelijkheid niet... Zover ik het in de GDPR kan zien is er nergens een verplichting voor de verwerkingsverantwoordelijke zelf een administratie te moeten voeren met persoonsgegevens om klanten met een eigen administratie voir een datalek te kunnen informeren. Die taak ligt bij de uitbesteding bij de verwerker omdat die de gegevens heeft. Aangezien de verwerker zelf de fout in is gegaan is het raar om dat te proberen af te schuiven. De AP speelt hierbij de kwalijke rol om de weg van afpersing voor niet ...