De organisaties waren door Ticketcounter gewaarschuwd dat ze het datalek bij de AP moesten melden, maar hebben dit niet gedaan.

Door Briolet:
Klinkt als afschuiven. Voor mij lijkt het logisch dat het bedrijf waar het datalek plaats heeft, dit meldt.

Door Briolet: Klinkt als afschuiven. Voor mij lijkt het logisch dat het bedrijf waar het datalek plaats heeft, dit meldt.

Door Anoniem:
Formeel kan het bedrijf met het datalek dit alleen melden aan haar klanten. Daarvoor zijn ze de verwerker en niet de verwerkingsverantwoordelijke. Deze laatste moet haar klanten weer waarschuwen, want verantwoordelijk voor de data. De mensen vullen de gegevens in op of via hun site, de gegevens worden doorgegeven aan of er wordt doorgelinkt naar Ticketcounter.

Door karma4: Als de verwermingsverantwoordijke geen gegevens heeft kunnen ze het niet melden. Een verplichting om persoonsgegevens te gaan verwerken wegens een melding lijkt me tegen de GDPR in te gaan.

Door Anoniem:
De verwerkingsverantwoordelijke moet er juist voor zorgen dat zij relevante informatie krijgen. Dat is juist de essentie van die "verantwoordelijkheid".
Normaal gesproken geven ze zelf tickets uit. Nu besluiten ze het niet zelf te doen (lekker makkelijk en goedkoop), maar dat betekent dus niet dat ze daarmee ook hun verantwoordelijkheid kwijt zijn.
Daarom moeten ze er in de verwerkingsovereenkomst goede afspraken over opnemen. Doe je dat niet, of controleer je niets, dan neem je je verantwoordelijkheid niet...

Door Anoniem: De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Een verwerkingsverantwoordelijke kan dingen uitbesteden aan verwerkers, maar blijft verantwoordelijk voor het resultaat. Als een museum of een dierentuin online ticketverkoop uitbesteedt aan Ticketcounter dan is Ticketcounter de verwerker, de verwerkingsverantwoordelijke is nog steeds dat museum of die dierentuin, en die blijven eindverantwoordelijk voor de verwerking.

[knip]

Als zo'n verwerker zelf betrokkenen gaat inlichten overtreedt hij zelf de AVG, omdat ook dat een verwerking van persoonsgegevens is die zonder geldige grondslag niet mag.

Door Briolet:
Klinkt als afschuiven. Voor mij lijkt het logisch dat het bedrijf waar het datalek plaats heeft, dit meldt.

Door Anoniem: De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Een verwerkingsverantwoordelijke kan dingen uitbesteden aan verwerkers, maar blijft verantwoordelijk voor het resultaat. Als een museum of een dierentuin online ticketverkoop uitbesteedt aan Ticketcounter dan is Ticketcounter de verwerker, de verwerkingsverantwoordelijke is nog steeds dat museum of die dierentuin, en die blijven eindverantwoordelijk voor de verwerking.

Artikelen 33 en 34 van de AVG beschrijven hoe de meldingen verlopen: de verwerker meldt het aan de verwerkingsverantwoordelijke, en die doet de meldingen aan de toezichthoudende autoriteit en aan de betrokkenen.

Bedenk dat een melding aan de betrokkenen zelf ook weer een verwerking van persoonsgegevens is. Die mag niet gedaan worden zonder wettelijke grondslag. Die wettelijke grondslag heeft de verwerkingsverantwoordelijke wel, die is namelijk verplicht die melding aan de betrokkenen te doen, die verplichting is een geldige grondslag. Een verwerker aan wie een verwerking is uitbesteed heeft die grondslag niet, die mag met persoonsgegevens doen wat is afgesproken, maar niet meer dan dat.

Als je beseft dat een melding aan de betrokkene zelf een verwerking van persoonsgegevens is en de AVG-logica ook daarop loslaat dan is de logische uitkomst daarvan dat het zo werkt als in de AVG staat.

Ik kan me voorstellen dat voor het doen van meldingen aan de betrokkenen ook weer een verwerkingsovereenkomst met dezelfde verwerker kan worden gesloten. Of dat in één keer vooraf voor alle toekomstige datalekken te regelen is betwijfel ik. De AVG blijft de verantwoordelijkheid namelijk bij de ververkingsverantwoordelijke leggen, en dan moet die dus de situatie beoordelen en besluiten of er gecommuniceerd wordt en wat precies. Als de verwerker dat op eigen houtje gaat invullen doet die een verwerking van persoonsgegevens zonder geldige grondslag. Dat de feitelijke mailing erover wordt uitbesteed aan de verwerker waar het fout ging zal vermoedelijk kunnen, maar ook dat moet dan dus met een geldige verwerkersovereenkomst zijn geregeld.

Dit is dus geen kwestie van afschuiven maar van handelen volgens de wettelijk geregelde verantwoordelijkheden. Het bedrijf waar het datalek plaatsvindt heeft absoluut de verantwoordelijkheid om dat te melden, maar als dat bedrijf alleen een verwerker is en niet de verwerkingsverantwoordelijke dan houdt die verantwoordelijkheid in om het te melden aan de verwerkingsverantwoordelijke. Als zo'n verwerker zelf betrokkenen gaat inlichten overtreedt hij zelf de AVG, omdat ook dat een verwerking van persoonsgegevens is die zonder geldige grondslag niet mag.

Door Briolet:
Duidelijke uitleg waarom de dierentuinen etc zelf de melding naar de klanten moeten doen. Dat zal liggen hoe de adressen verwerkt worden. Ik had verwacht dat de dierentuinen helemaal geen adressen van de bezoekers hadden. Dat hebben ze ook niet nodig want je komt met een geldig ticket bij de ingang. Als ik rechtstreeks bij een dierentuin een ticket bestelde, stond er ook nooit een naam op het ticket. (Kon ook niet, want dat waren tickets om onder per personeel te verdelen)

Alleen de melding richting AP vind ik nog steeds onlogisch. Ticketcounter geeft aan dat zij zelf een melding richting AP gedaan hebben. Het datalek is dan al bekend bij AP. Waarom zou je datzelfde datalek dan tientallen keren moeten melden via de klanten van Ticketcounter? Het AP gaat er echt geen tientallen onderzoeken naar doen, maar zal dit ook als één case gaan verwerken.

In de laatste zin hierboven wordt nog een boete voor booking.com genoemd. Ook daar heeft het boekingskantoor de boete gekregen en niet de hotels waar de bezoekers naar toe gingen.

Door Anoniem:
TicketCounter had helemaal geen melding bij het AP mogen doen, daarmee hebben ze hun rol als verwerker overtreden.
Het enigste wat ze hadden moeten doen is hun klanten informeren. En daarbij ook nog eens niet de wijze waarop die klant moet melden voorkauwen, ofwel aangeven als je een melding doet gebruik onze melding maar als template.
TicketCounter zit hier echt fout.
En ja, het AP hoort inderdaad 150 meldingen binnen te krijgen, namelijk alle klanten van TicketCounter afzonderlijk. Dat een deel van de informatie daarbij hetzelfde is is prima.
maar de meeste informatie, welke data is er gelekt, wat zijn de vervolg acties die je genomen hebt etc. zijn organisatie specifiek.
Doordat TicketCounter dit heeft proberen voor te kauwen, hebben ze geprobeerd het beeld bij het AP te beïnvloeden en net alsof te doen of het allemaal wel mee viel.
ALs je vanaf begin augustus 2020 t/m eind februari 2021 een kopie van je gehele productie database online hebt staan, kun je niet bepaald claimen dat met het verwijderen daarvan (waaronder van het dark web) de het datalek is opgelost. En zeker niet dat de schade nihil is.