Wanneer moet ik een datalek melden bij de Autoriteit Persoonsgegevens?

Melding is hoofdregel, tenzij risico onwaarschijnlijk is

Een datalek meldt zich bij de Autoriteit Persoonsgegevens zodra sprake is van een inbreuk op persoonsgegevens die een risico kan opleveren voor de rechten en vrijheden van de betrokkenen. Dat risico hoeft niet groot te zijn: de wet legt de lat bewust laag, zodat melden het uitgangspunt is en het achterwege laten van een melding de uitzondering vormt. Alleen wanneer redelijkerwijs vaststaat dat de inbreuk geen risico met zich meebrengt — bijvoorbeeld omdat de gegevens goed versleuteld waren en de sleutel niet in verkeerde handen is gevallen — blijft een melding bij de toezichthouder achterwege.

In de praktijk valt onder een meldingsplichtig datalek bijvoorbeeld een gestolen laptop met onversleutelde klantgegevens, een verkeerd geadresseerde e-mail met een bijlage vol persoonsgegevens, of een systeem dat is binnengedrongen waarbij gegevens zijn ingezien of gekopieerd. Zodra zo'n gebeurtenis bekend wordt, gaat een klok van 72 uur lopen waarbinnen de melding bij de Autoriteit Persoonsgegevens gedaan kan worden; is dat niet haalbaar, dan hoort daar een reden voor de vertraging bij. Deze klok staat los van de vraag of de betrokkenen zelf ook geïnformeerd worden — dat is een aparte afweging met een eigen, zwaardere risicodrempel.

Dit staat in artikel 33 van de AVG

De meldplicht aan de toezichthouder en de termijn van 72 uur staan in artikel 33 van de AVG, met de risico-uitzondering expliciet in hetzelfde artikel benoemd. Hoe een risico-inschatting in de praktijk gemaakt wordt, staat verder uitgewerkt in de richtsnoeren van de EDPB over datalekmeldingen, en de Autoriteit Persoonsgegevens geeft op haar eigen pagina over datalekken een praktische toelichting op wanneer en hoe een melding gedaan wordt.