Moet ik de betrokkenen zelf informeren bij een datalek?

Alleen bij een hoog risico voor de betrokkenen

Bij een datalek geldt dat het informeren van de betrokkenen zelf niet in alle gevallen aan de orde is; dit speelt in de situaties waarin het lek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Denk aan een lek waarbij wachtwoorden, financiële gegevens of bijzondere persoonsgegevens zijn buitgemaakt, of waarbij mensen risico lopen op identiteitsfraude of andere schade. In die gevallen geldt dat de betrokkenen zonder onnodige vertraging op de hoogte worden gebracht, in begrijpelijke taal, met daarin onder meer een omschrijving van het lek, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen.

Is er wel een meldplicht aan de Autoriteit Persoonsgegevens, maar is het risico voor de betrokkenen niet hoog, dan geldt dat een melding aan de mensen zelf niet nodig is. Ook geldt dat deze informatieplicht kan vervallen wanneer passende technische maatregelen zijn genomen die de gegevens onbegrijpelijk maken voor onbevoegden — versleuteling is daar een voorbeeld van — of wanneer achteraf maatregelen zijn genomen waardoor het hoge risico zich niet meer kan verwezenlijken. Ook kan gelden dat een publieke mededeling volstaat in plaats van een individuele melding, bijvoorbeeld wanneer individueel informeren onevenredige inspanning zou vergen.

Waar dit uit volgt: artikel 34 AVG

Deze verdeling tussen de meldplicht aan de toezichthouder en de informatieplicht aan betrokkenen volgt uit de AVG: artikel 33 regelt de melding aan de Autoriteit Persoonsgegevens bij een datalek, en artikel 34 regelt wanneer de betrokkenen zelf worden geïnformeerd, namelijk bij een waarschijnlijk hoog risico. Artikel 34 lid 3 noemt ook de uitzonderingen, zoals versleuteling en het alsnog wegnemen van het risico. De Autoriteit Persoonsgegevens werkt deze afweging verder uit op haar pagina over datalekken melden, waar ook wordt toegelicht hoe de risico-inschatting in de praktijk wordt gemaakt.