Moet ik ook datalekken bijhouden die ik niet meld?

Ook niet-gemelde datalekken horen in het interne register

Ja, in de meeste gevallen geldt dat ieder datalek wordt vastgelegd, ook als dat lek niet bij de Autoriteit Persoonsgegevens wordt gemeld. Het melden aan de toezichthouder en het bijhouden van een eigen overzicht zijn twee verschillende verplichtingen die los van elkaar staan. Of een lek gemeld moet worden, hangt af van het risico voor de betrokkenen. Of een lek wordt vastgelegd, hangt daar niet van af: dat geldt voor elk datalek, hoe klein ook.

Wat er in zo'n intern overzicht thuishoort, is beschreven in de AVG zelf: de feiten rond het lek, de gevolgen ervan en de maatregelen die zijn genomen om het op te lossen of de schade te beperken. Dit is geen vrijblijvend geheugensteuntje. Het is bedoeld als verantwoording: mocht de Autoriteit Persoonsgegevens ooit vragen stellen over de manier waarop met datalekken wordt omgegaan, dan is dit overzicht het bewijs dat er structureel naar is gekeken, ook naar de gevallen die destijds niet meldingswaardig werden geacht.

Dit volgt uit artikel 33, vijfde lid van de AVG

Deze verplichting staat in artikel 33, vijfde lid, van de AVG. Daar staat dat een verwerkingsverantwoordelijke alle datalekken documenteert, met de feiten, de gevolgen en de genomen maatregelen, zodat de toezichthouder kan controleren of aan de meldplicht is voldaan. De tekst maakt daarbij geen onderscheid tussen lekken die wel en lekken die niet zijn gemeld: de documentatieplicht geldt voor het geheel. De Autoriteit Persoonsgegevens bevestigt op haar website dat een organisatie zelf moet kunnen aantonen welke afweging bij een datalek is gemaakt, ook wanneer die afweging heeft geleid tot de conclusie dat melden niet nodig was.