Meldplicht datalekken
In het voorjaar van 2015 heeft de Eerste Kamer de Wet meldplicht datalekken aangenomen. Deze wet treedt op 1 januari 2016 in werking en gaat gelden voor iedere organisatie die persoonsgegevens verwerkt. De veranderingen die deze wet met zich meebrengt, kunnen een grote impact hebben op uw organisatie.
Inhoud en achtergrond Wet meldplicht datalekken
De meldplicht houdt in dat organisaties en overheden een (mogelijk) datalek moeten melden bij de Autoriteit persoonsgegevens (voor 1 januari 2016 bekend als het College bescherming persoonsgegevens). In sommige gevallen moet de desbetreffende organisatie of overheid het datalek ook melden aan diegene wiens gegevens worden verwerkt. De meldplicht datalekken wordt opgenomen in de Wet bescherming persoonsgegevens (hierna: “Wbp”).
Veel organisaties en overheden verwerken in meer of mindere mate persoonsgegevens. Persoonsgegevens zijn volgens de Wbp alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit kan directe informatie over een persoon zijn of informatie waarmee een persoon kan worden herleid. Er bestaan gevoelige persoonsgegevens (zoals medische gegevens en seksuele geaardheid) en minder gevoelige persoonsgegevens (bijvoorbeeld geboortedatum).
Op grond van de Wbp is iedere organisatie of overheid die persoonsgegevens verwerkt al verplicht om er zorg voor te dragen dat de persoonsgegevens voldoende worden beveiligd. Na 1 januari 2016 komt daar de meldplicht datalekken bij. Middels de meldplicht wordt de verplichting om zorg te dragen voor een goede beveiliging van de gegevens indirect gehandhaafd. De sanctie voor het niet melden van een datalek is fors: de geldboete die de Autoriteit persoonsgegevens kan opleggen bedraagt maximaal € 810.000,- (2015).
De wetgever hoopt dat door het invoeren van de meldplicht bij datalekken wordt bijgedragen aan het behoud en herstel van het vertrouwen in de omgang met de persoonsgegevens, maar ook om organisaties en overheden te laten nadenken over de bescherming van de persoonsgegevens.
Wat is een datalek?
Een datalek dat moet worden gemeld onder de nieuwe wet is het daadwerkelijk vrijkomen van gegevens (het lekken), maar ook de onrechtmatige verwerking van gegevens.
Er wordt wel eens aangenomen dat een datalek alleen zou kunnen ontstaan door een hack of cyberaanval van buitenaf. Dat is niet waar. Ook wanneer een medewerker van uw bedrijf een USB-stick verliest met daarop gevoelige informatie, kan er sprake zijn van een datalek. Met andere woorden: het gaat om alle inbreuken op de maatregelen die zijn genomen om de persoonsgegevens te beveiligen.
Wanneer melden?
De ernst van het datalek bepaalt of er een melding moet worden gemaakt of niet. Van invloed is welke soort gegevens zijn gelekt. De gevolgen van een lek zijn voor de betrokkene mogelijk groter als het gevoelige persoonsgegevens betreft dan wanneer dat niet het geval is.
Wat betekent dit voor uw organisatie?
Met de invoering van de nieuwe wet worden bedrijven en overheden gedwongen om beter na te denken over de beveiliging van persoonsgegevens, maar ook over de vragen of het wel noodzakelijk is om deze persoonsgegevens te verwerken en of die verwerking wel conform de wettelijke bepalingen plaatsvindt.
Voor bedrijven kan het in bepaalde gevallen zeer nuttig zijn om een ‘compliance check’ te laten uitvoeren en de privacyrisico’s in kaart te brengen. Dit kan bijvoorbeeld in de vorm van een ‘privacy impact assessment’ (PIA). Mocht u dit overwegen, of vragen hebben over de Wet meldplicht datalekken of een compliance check, neemt u dan contact op met Damsté.