Moet ik de betrokkenen zelf informeren bij een datalek?

Bij een hoog risico voor de betrokkenen geldt de plicht

Ja, als een datalek waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de mensen wier gegevens het treft, dan geldt de plicht om die betrokkenen daar zelf over te informeren. Dat staat los van de melding aan de toezichthouder, die al bij een lagere drempel — gewoon "risico" — binnen 72 uur moet gebeuren. Bij het informeren van de betrokkene zelf ligt de lat dus hoger: het gaat om situaties waarin er, zonder ingrijpen, serieuze nadelige gevolgen kunnen optreden, zoals identiteitsfraude, financiële schade of reputatieschade. De betrokkene krijgt dan in duidelijke en eenvoudige taal te horen wat er is gebeurd, wat de te verwachten gevolgen zijn, welk aanspreekpunt er is voor meer informatie, en welke maatregelen zijn of worden genomen om de schade te beperken.

Er zijn uitzonderingen waarbij deze individuele informatieplicht vervalt. Dat is het geval wanneer passende beveiligingsmaatregelen — zoals versleuteling — de gegevens onbegrijpelijk maakten voor wie er geen recht op inzage had, wanneer achteraf genomen maatregelen ervoor zorgen dat het hoge risico zich waarschijnlijk niet meer voordoet, of wanneer individueel informeren onevenredig veel inspanning zou vergen. In dat laatste geval kan een openbare mededeling of een vergelijkbare, even effectieve maatregel in de plaats komen van het individueel benaderen van elke betrokkene.

De basis: artikel 34 AVG, naast artikel 33

Deze verplichting volgt uit artikel 34 van de AVG, dat de individuele informatieplicht regelt naast artikel 33, dat de melding aan de toezichthouder betreft — twee aparte verplichtingen met elk hun eigen drempel. Wat een datalek precies is en hoe de risico-inschatting wordt gemaakt, staat toegelicht op de pagina van de Autoriteit Persoonsgegevens over datalekken. De plicht uit artikel 34 zelf is overal in de EU gelijk, omdat de AVG rechtstreeks werkt; alleen de meldroute naar de toezichthouder loopt per land anders — in Nederland naar de Autoriteit Persoonsgegevens, in Duitsland naar de toezichthouder van de deelstaat waar de vestiging staat.