RECHT - 24.06.2016

Geen risico met meldplicht datalekken?

Vertrouwelijke gegevens . In de moderne tijd zitten de persoonsgegevens van iemand in vele honderden bestanden van bedrijven en overheidsorganisaties. Met deze gegevens dienen ondernemers vertrouwelijk om te gaan, anders komen ze in strijd met de Wet bescherming persoonsgegevens. Dat betekent dat iedere ondernemer passende maatregelen moet nemen om ervoor te zorgen dat persoonsgegevens van klanten, contractspartijen of van werknemers niet op straat komen te liggen. Is dat ondanks alle beveiligingsmaatregelen toch het geval, dan wordt gesproken van ‘datalekken’.

Datalek?

Kwijtraken USB-stick, laptop, enz. Van een datalek is sprake wanneer er persoonsgegevens verloren gaan of als een bedrijf (of overheidsorganisatie) niet kan uitsluiten dat persoonsgegevens op onrechtmatige wijze worden verwerkt of door derden worden ge(mis)bruikt. Een datalek kan onder meer ontstaan door het kwijtraken van een USB-stick met persoonsgegevens, door verlies of diefstal van een pc of laptop of door inbraak in het databestand van een bedrijf door een hacker. Maar een datalek kan ook ontstaan door een fout van een medewerker die persoonlijke informatie abusievelijk toestuurt naar de verkeerde partij.

Gegevens van gevoelige aard. Het moet dan gaan om verlies van gegevens die voor de betrokken persoon van gevoelige aard zijn. Dat zijn met name:

• financiële of economische gegevens;
• gegevens die gebruikt kunnen worden voor (identiteits)fraude, zoals kopieën van legitimatiebewijzen of het BSN-nummer;
• gebruikersnamen, wachtwoorden en inloggegevens;
• bijzondere persoonsgegevens, zoals iemands godsdienst, ras of levensovertuiging;
• andere gegevens die tot stigmatisering of uitsluiting van de betreffende persoon kunnen leiden, zoals strafrechtelijke persoonsgegevens, gegevens over drank- of gokverslaving of gegevens over de prestaties op het werk.

Meldplicht?

Melden. Bestaat de kans dat het datalek tot ernstige gevolgen voor de betreffende persoon kan leiden, dan is het bedrijf verplicht om het datalek te melden bij de Autoriteit Persoonsgegevens. Dat kan online via de website https://www.autoriteitpersoonsgegevens.nl onder het kopje ‘Meldplicht datalekken’. Deze wettelijke meldplicht geldt sinds 1 januari 2016. Ook moet u het datalek melden aan de persoon van wie de gegevens verkeerd zijn verwerkt of in handen van derden zijn gekomen. Deze verplichting geldt met name als valt te verwachten dat het datalek ongunstige gevolgen voor de persoonlijke levenssfeer van de betrokken persoon zal hebben.

Snel reageren. De wet zegt dat een datalek zo snel mogelijk moet worden gemeld. Dat moet in ieder geval binnen 72 uur na ontdekking van het datalek. Deze verplichting moet niet te gemakkelijk opzij worden geschoven. Als achteraf blijkt dat een datalek voor een of meerdere personen ernstige nadelige gevolgen heeft en er is niet (of te laat!) voldaan aan de meldplicht, dan riskeert de ondernemer een boete die tot € 820.000,- kan oplopen!