Het College bescherming persoonsgegevens (CBP) heeft vandaag de conceptregels over de nieuwe meldplicht datalekken gepubliceerd die volgend jaar ingaat en vraagt partijen om de komende vier weken op deze conceptversie van de regels te reageren.

De meldplicht datalekken houdt in dat organisaties die persoonsgegevens verwerken een melding moeten doen bij de privacytoezichthouder zodra zich een ernstig datalek voordoet. Als het datalek waarschijnlijk ongunstige gevolgen zal hebben voor betrokkenen zal de organisatie ook hen moeten informeren. De meldplicht datalekken gaat vanaf 1 januari 2016 gelden.

Vanaf die datum heeft het CBP ook een nieuwe naam: Autoriteit Persoonsgegevens. Eventuele datalekken zullen dan ook bij de Autoriteit Persoonsgegevens moeten worden gemeld. De Autoriteit Persoonsgegevens kan organisaties een boete geven als zij een datalek ten onrechte niet melden. De maximale boete is 810.000 euro.

Wanneer melden

Of organisaties verplicht zijn om een melding van een datalek te doen hangt af van de ernst van het datalek. Een datalek moet volgens de wet bij de toezichthouder worden gemeld als dit "leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens". In sommige gevallen moeten organisaties het datalek ook melden aan de betrokkenen. Dit zijn de mensen van wie persoonsgegevens worden verwerkt. Zij moeten worden geïnformeerd als een datalek "waarschijnlijk ongunstige gevolgen zal hebben" voor hun persoonlijke levenssfeer.

De regels van het College bescherming persoonsgegevens zijn bedoeld om organisaties te helpen bij het bepalen of sprake is van een datalek dat zij moeten melden bij de toezichthouder en eventueel aan de betrokkenen. De komende 4 weken kan er op de conceptversie worden gereageerd. Vandaag verscheen op Security.NL ook het achtergrondartikel "Nieuwe meldplicht datalekken: vrees voor boetes terecht?", dat ingaat op het risico dat bedrijven straks lopen om beboet te worden.