Het kabinet is van plan om de reikwijdte van de voorgestelde meldplicht datalekken in te perken, zodat organisaties, overheden en bedrijven alleen melding hoeven te maken als een lek "ernstige nadelige gevolgen" heeft voor de bescherming van persoonsgegevens.

Dat blijkt uit een wijzigingsnota die staatssecretaris Teeven van Veiligheid en Justitie naar de Tweede Kamer heeft gestuurd. Oorspronkelijk was het plan dat de meldplicht zou gelden voor alle datalekken waarvan redelijkerwijs kon worden aangenomen dat ze nadelige gevolgen voor de persoonsgegevens zouden kunnen hebben.

Teeven wil nu dat de meldplicht alleen gaat gelden voor datalekken met ernstige nadelige gevolgen. Dit zou volgens de staatssecretaris de meldplicht moeten verduidelijken en vereenvoudigen en daarmee voor de praktijk beter hanteerbaar maken.

Kritiek

Het College bescherming persoonsgegevens (CBP) is niet over de aanpassing te spreken. "De melding krijgt daarmee het karakter van de put die wordt gedempt wanneer het kalf reeds verdronken is; na de zelf-incriminatie van de verantwoordelijke rest de toezichthouder slechts de mogelijkheid tot repressief optreden." Het CBP stelt dat de preventieve rol die voor de toezichthouder in het oorspronkelijk ingediende wetsvoorstel nog was weggelegd in de wijzigingsnota geheel is verdwenen.

In een brief aan Teeven laat het CBP weten dat het geen aanleiding voor de ingrijpende aanpassing ziet. Daarnaast zouden de voorgestelde wijzigingen niet in lijn zijn met de meldplicht zoals die is vormgegeven in de voorstellen van de Europese Commissie.

Europa

Ook de Europese Commissie werkt aan een voorstel voor een meldplicht datalekken. Daarin staat dat in het geval van een datalek bij bedrijven er een boete van 100.000.000 euro kan worden opgelegd, of 5% van de wereldwijde omzet, afhankelijk van welke hoger is. Veel meer dan de 450.000 euro die het CBP als bestuurlijke boete kan opleggen. Verder maakt het EU-wetsvoorstel geen onderscheid dat een datalek eerst nadelige gevolgen moet hebben voordat getroffen gebruikers worden ingelicht.

De voorstellen van zowel Teeven als de Europese Commissie zijn nog in behandeling. De staatssecretaris heeft het wetsvoorstel ingediend bij de Tweede Kamer, die het hierna nog moet behandelen en aannemen, waarna het voorstel door kan naar de Eerste Kamer. Het EU-voorstel wordt naar verwachting dit jaar aangenomen, waarbij het vanaf 2016 zal worden gehandhaafd.