Wanneer moet ik een datalek melden bij de Autoriteit Persoonsgegevens?

Melden is de hoofdregel, tenzij een risico onwaarschijnlijk is

Een datalek meldt u aan de toezichthouder zodra het waarschijnlijk is dat het lek een risico oplevert voor de rechten en vrijheden van de mensen wier gegevens zijn getroffen. Dat is de kern van artikel 33 AVG: melding is het uitgangspunt, en alleen wanneer aannemelijk is dat er géén risico ontstaat, blijft die melding achterwege. In de praktijk betekent dit dat de meeste lekken met persoonsgegevens — een verkeerd verstuurde mail met klantgegevens, een gestolen laptop, een gehackte database — onder de meldplicht vallen, terwijl een lek dat overduidelijk niemand kan raken (bijvoorbeeld omdat de gegevens versleuteld waren en de sleutel niet is buitgemaakt) daarbuiten kan vallen.

Voor die inschatting kijkt u naar wat er precies is gebeurd, welke gegevens het betreft en wie erdoor getroffen kan worden. Bijzondere gegevens, financiële gegevens of gegevens van kinderen wegen daarbij zwaarder mee dan een los e-mailadres. De klok van 72 uur uit artikel 33 AVG gaat lopen vanaf het moment dat u zich bewust wordt van het lek, niet vanaf het moment dat het ontstond — die twee liggen soms weken uit elkaar. Een beslisboom die deze afweging stap voor stap doorloopt, is nooit een vervanging voor het eigen oordeel over het concrete lek, maar helpt wel om de vraag "meldplichtig of niet" gestructureerd te doorlopen.

Waar dit uit artikel 33 AVG en de EDPB-richtsnoeren volgt

De meldplicht zelf staat in artikel 33 AVG; de invulling van begrippen als "risico" en "onverwijld" komt uit de richtsnoeren van de EDPB over datalekmeldingen, en de Autoriteit Persoonsgegevens licht dit toe voor de Nederlandse praktijk. De AVG geldt rechtstreeks in elke lidstaat, maar bij wie u meldt verschilt: in Nederland is dat het meldloket van de Autoriteit Persoonsgegevens, de enige toezichthouder voor het hele land. In Duitsland meldt u bij de toezichthouder van de deelstaat waar de vestiging staat, aangezien daar zestien deelstaattoezichthouders naast een federale toezichthouder bestaan.