Voorstel: datalekmelding alleen bij hoog risico, binnen 96 uur, via één loket (artikel 33 AVG)

Waar het over gaat

De meldplicht aan de toezichthouder geldt alleen nog voor datalekken die waarschijnlijk een hoog risico voor betrokkenen opleveren (nu: tenzij het onwaarschijnlijk is dat er een risico is). De termijn gaat van 72 naar 96 uur. Melden gebeurt via een Europees enkel loket bij ENISA onder de NIS2-richtlijn; tot dat loket bestaat, meldt u rechtstreeks bij de toezichthouder. De EDPB stelt een gemeenschappelijk meldformulier en een lijst van hoogrisico-omstandigheden voor, die de Commissie via een uitvoeringshandeling vaststelt en minstens elke drie jaar herziet. De EDPB en EDPS (gezamenlijk advies 2/2026 van 10 februari 2026) verwelkomen de hogere drempel, de langere termijn en het loket, maar willen dat de EDPB het formulier en de lijst zelf opstelt en vaststelt.

Wat dit betekent voor de praktijk

Als dit wordt aangenomen, meldt u minder datalekken bij de toezichthouder en heeft u een dag extra. U moet dan wel goed kunnen onderbouwen waarom een lek geen hoog risico oplevert; de interne registratieplicht van artikel 33, lid 5 blijft. De meldplicht aan betrokkenen bij hoog risico (artikel 34) verandert niet. Vandaag gelden nog 72 uur en de lage drempel: op 15 september 2026 is dit nog een voorstel, zonder standpunt van Raad of Parlement en zonder triloog.

De AVG-artikelen waar het om gaat

• Artikel 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit
• Artikel 34: Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene
• Artikel 70: Taken van het Comité