Richtsnoeren 9/2022 over de melding van inbreuken in verband met persoonsgegevens onder de AVG

Waar het over gaat

Deze richtsnoeren zijn een licht bijgewerkte versie van WP250 rev.01 van de Artikel 29-werkgroep. Verwijzingen naar WP250 gelden voortaan als verwijzingen naar Richtsnoeren 9/2022. Ze beschrijven wanneer een datalek moet worden gemeld, de termijn van 72 uur en de melding aan betrokkenen. Versie 1.0 werd op 10 oktober 2022 aangenomen voor een gerichte consultatie. Versie 2.0, aangenomen op 28 maart 2023 en gepubliceerd op 4 april 2023, verduidelijkt het volgende: alleen het hebben van een vertegenwoordiger in de EU activeert het one-stop-shopmechanisme niet. Een verantwoordelijke buiten de EU moet het lek daarom melden bij elke toezichthouder van een lidstaat waar getroffen betrokkenen wonen.

Wat dit betekent voor de praktijk

U moet een procedure hebben om een lek te herkennen, te beoordelen en binnen 72 uur nadat u er kennis van hebt gekregen te melden. Verwerkers moeten u zonder onnodige vertraging informeren; leg dat vast in de verwerkersovereenkomst. Is er waarschijnlijk een hoog risico, dan informeert u ook de betrokkenen zelf. Bent u niet in de EU gevestigd, reken dan niet op één leidende toezichthouder: meld bij elke betrokken nationale toezichthouder.

De AVG-artikelen waar het om gaat

• Artikel 3: Territoriaal toepassingsgebied
• Artikel 27: Vertegenwoordigers van niet in de Unie gevestigde verwerkingsverantwoordelijken of verwerkers
• Artikel 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit
• Artikel 34: Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene