wie is verantwoordelijk voor het melden van een datalek binnen mijn bedrijf

De verantwoordelijkheid ligt bij de organisatie, niet bij één werknemer

De AVG legt de meldplicht bij de organisatie die verwerkingsverantwoordelijke is, niet bij een individuele medewerker die het lek ontdekt of veroorzaakt heeft. Wie binnen het bedrijf de melding daadwerkelijk uitvoert, regelt de AVG niet — dat is een interne kwestie. In de praktijk is dat meestal de eigenaar, een directeur, of iemand die specifiek is aangewezen om privacyzaken te behartigen, zoals een functionaris gegevensbescherming als die is aangesteld. Bij een zzp'er of een klein bedrijf zonder aparte functie valt die verantwoordelijkheid vaak vanzelf bij degene die de onderneming drijft.

Wat wel vaststaat, is dat er iemand moet zijn die weet dat een melding kan spelen zodra een lek zich voordoet, en die kan beoordelen of wat er precies onder een datalek valt hier van toepassing is. Een bedrijf dat niets heeft vastgelegd over wie dit oppakt, loopt het risico dat een lek wordt gesignaleerd maar dat niemand de volgende stap zet — terwijl de klok vanaf het moment van ontdekking al loopt. Ook als de verwerking is uitbesteed aan een derde partij, verandert dat niets aan wie verantwoordelijk blijft voor de melding: dat is en blijft de eigen organisatie, ook wanneer een leverancier zelf een datalek meldt.

Waar dat uit volgt: artikel 33 van de AVG

Artikel 33 van de AVG spreekt steeds over "de verwerkingsverantwoordelijke" als de partij die moet melden aan de toezichthouder, zonder een interne functie of persoon voor te schrijven; wie dat feitelijk uitvoert is aan de organisatie zelf. De Autoriteit Persoonsgegevens bevestigt op haar pagina over datalekken dat de meldplicht bij de organisatie ligt en niet bij een specifieke medewerker. Bij welke toezichthouder een melding moet gebeuren, verschilt wel per lidstaat: in Nederland is dat de Autoriteit Persoonsgegevens, terwijl elders in de EU de eigen nationale toezichthouder de aangewezen instantie is. Meer over de te volgen stappen en de rol van de toezichthouder staat bij wanneer een datalek bij de Autoriteit Persoonsgegevens gemeld moet worden.