mijn leverancier meldt een datalek moet ik dat zelf ook melden

Een datalek bij je leverancier kan ook jouw meldplicht raken

Ja, dat kan, ook al heeft de leverancier het lek zelf al gemeld. Een leverancier die klantgegevens voor je verwerkt — een boekhoudpakket, een mailingtool, een hostingpartij — is in de taal van de AVG meestal een verwerker, en jijzelf blijft dan de verwerkingsverantwoordelijke. De meldplicht aan de toezichthouder en aan betrokkenen ligt bij de verwerkingsverantwoordelijke, niet bij de verwerker. De leverancier die het aan zijn eigen toezichthouder meldt, dekt dus niet automatisch jouw eigen verplichting.

Wat de leverancier volgens de verwerkersovereenkomst wél moet doen, is het lek zonder onnodige vertraging aan jou melden zodra hij ervan weet. Vanaf dat moment begint voor jou de beoordeling of het gaat om een inbreuk zoals bedoeld in wat is een datalek precies?, en of die meldplichtig is bij de Autoriteit Persoonsgegevens en eventueel bij de betrokkenen. Dat een leverancier het incident bij zijn eigen toezichthouder heeft aangemeld — soms in een ander land — verandert niets aan die eigen beoordeling die jij als verwerkingsverantwoordelijke maakt.

Waar dat volgt uit artikel 28 en artikel 33 AVG

Artikel 28 van de AVG regelt de verhouding tussen verwerkingsverantwoordelijke en verwerker, en de bijbehorende verwerkersovereenkomst legt vast dat de verwerker een inbreuk aan de verwerkingsverantwoordelijke moet melden; artikel 33 van de AVG legt de meldplicht aan de toezichthouder bij de verwerkingsverantwoordelijke, met de termijn en criteria die de Autoriteit Persoonsgegevens en de EDPB in hun richtsnoeren verder uitwerken. Deze verdeling geldt in elke lidstaat gelijk, alleen verschilt welke toezichthouder de melding ontvangt: in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten de toezichthouder van dat land — relevant als de leverancier daar zit of als klantgegevens van betrokkenen uit meerdere landen zijn betrokken. Wat de eigen afspraken met de leverancier hierover moeten regelen, en of die overeenkomst voldoet, staat beschreven bij moet ik een verwerkersovereenkomst tekenen die mijn klant stuurt?.