Moet ik elk datalek melden, ook een e-mail naar de verkeerde collega?

Nee. Lid 1 maakt een uitzondering als het niet waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van mensen. U moet die inschatting wel maken en vastleggen, want lid 5 verplicht u om alle inbreuken te documenteren, ook de niet gemelde. Overweging 85 koppelt dit aan het verantwoordingsbeginsel: u moet kunnen aantonen waarom een risico onwaarschijnlijk is.

De 72 uur zijn bijna om en ik weet nog niet precies wat er is gebeurd. Wat nu?

Meld wat u al weet. Lid 4 staat toe dat u de informatie in stappen aanlevert als u nog niet alles tegelijk kunt geven. Meldt u later dan 72 uur, dan moet u de vertraging motiveren (lid 1). Overweging 85 bevestigt dat een melding in fasen is toegestaan.

Vanaf wanneer tellen die 72 uur?

Vanaf het moment dat de verwerkingsverantwoordelijke kennis heeft genomen van de inbreuk (lid 1). Ontdekt uw verwerker het lek, dan moet hij u zonder onredelijke vertraging informeren (lid 2). Overweging 87 zegt dat u passende maatregelen moet hebben om snel vast te stellen of er een inbreuk is; u kunt de termijn dus niet rekken door niet te kijken.

Artikel 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit

Praxikon houdt artikel 33 (Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 33 regelt wat een verwerkingsverantwoordelijke moet doen bij een inbreuk in verband met persoonsgegevens, in gewone taal een datalek: gegevens zijn bijvoorbeeld gestolen, per ongeluk naar de verkeerde gestuurd of niet meer toegankelijk. De verwerkingsverantwoordelijke meldt zo'n inbreuk zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname aan de toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van mensen (lid 1). Een verwerker die een inbreuk ontdekt, informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging (lid 2). De melding heeft een vaste inhoud (lid 3), mag in stappen worden aangevuld (lid 4), en elke inbreuk moet intern worden gedocumenteerd, ook als er geen melding nodig is (lid 5). Overweging 85 legt uit waarom: een inbreuk die niet snel wordt aangepakt kan leiden tot identiteitsfraude, financieel verlies, reputatieschade of verlies van controle over de eigen gegevens; levert de inbreuk waarschijnlijk een hoog risico op, dan moet u ook de betrokkene zelf informeren volgens artikel 34.

Kernbegrip: Meldplicht datalekken: een inbreuk in verband met persoonsgegevens moet waar mogelijk binnen 72 uur na kennisname bij de toezichthoudende autoriteit worden gemeld, tenzij een risico voor betrokkenen onwaarschijnlijk is (lid 1)

Raakt direct:verwerkingsverantwoordelijkeverwerkerfunctionaris voor gegevensbeschermingtoezichthouder

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.

De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.

In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld: a) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie; b) de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen; c) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; d) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de informatie zonder onredelijke vertraging in stappen worden verstrekt.

De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de toezichthoudende autoriteit in staat de naleving van dit artikel te controleren.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Richt een procedure in waarmee u een inbreuk snel herkent, het risico voor betrokkenen beoordeelt en, als een risico niet onwaarschijnlijk is, zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname meldt bij de toezichthoudende autoriteit (lid 1). Zorg dat de melding de onderdelen uit lid 3 bevat en vul in stappen aan als nog niet alles bekend is (lid 4). Documenteer elke inbreuk met de feiten, de gevolgen en de genomen maatregelen, ook als u niet meldt (lid 5).

Verwerker

Informeer de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra u een inbreuk ontdekt (lid 2). U meldt zelf niet bij de toezichthoudende autoriteit; dat doet de verwerkingsverantwoordelijke (lid 1). Artikel 28 lid 3 onder f verplicht u bovendien om de verwerkingsverantwoordelijke bij deze meldplicht bij te staan.

Functionaris gegevensbescherming

Uw naam en contactgegevens gaan mee in de melding als contactpunt waar de toezichthoudende autoriteit meer informatie kan krijgen (lid 3 onder b). Zorg dat u bereikbaar bent en de inhoud van de melding kent.

Compliance checklist

Er is een procedure waarmee inbreuken worden herkend, intern gemeld en beoordeeld op het risico voor de rechten en vrijheden van betrokkenen (lid 1, overweging 87).Een inbreuk die waarschijnlijk een risico oplevert, wordt zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname gemeld bij de volgens artikel 55 bevoegde toezichthoudende autoriteit (lid 1).Als de melding later dan 72 uur plaatsvindt, bevat zij een motivering voor de vertraging (lid 1).Met elke verwerker is afgesproken dat hij een inbreuk zonder onredelijke vertraging aan de verwerkingsverantwoordelijke meldt (lid 2).De melding beschrijft de aard van de inbreuk met categorieën en aantallen betrokkenen en registers, de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen (lid 3).Informatie die nog ontbreekt, wordt in stappen aangeleverd zonder onredelijke verdere vertraging (lid 4).Alle inbreuken, ook de niet gemelde, zijn gedocumenteerd met feiten, gevolgen en corrigerende maatregelen (lid 5).

Gerelateerde overwegingen

(85)

Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke per...

(86)

De verwerkingsverantwoordelijke moet de betrokkene zonder onredelijke vertraging in kennis stellen van de inbreuk in verband met persoonsgegevens wanneer die inbreuk in verband met persoonsgegevens gr...

(87)

Nagegaan moet worden of alle passende technische en organisatorische maatregelen zijn genomen om vast te stellen of een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, en om de toezichth...

(88)

Bij de vaststelling van gedetailleerde regels betreffende de methode en de procedures voor het melden van inbreuken in verband met persoonsgegevens dient de nodige aandacht te worden besteed aan de om...

(89)

Richtlijn 95/46/EG voorzag in een algemene verplichting om de verwerking van persoonsgegevens aan de toezichthoudende autoriteiten te melden. Die verplichting leidt tot administratieve en financiële l...

Kruisverwijzingen

Art. 55: Competentie

Veelgestelde vragen

← Art. 32: Beveiliging van de verwerking Art. 34: Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene →

Samenhang

Thema’s waarin dit terugkomt

Melden: datalekken en ernstige incidenten

De tegenhanger in de andere wet