Moet ik ook datalekken bijhouden die ik niet meld?

Ook lekken zonder melding horen in het register

Ja, in de meeste gevallen geldt dat elk datalek een plek in het register krijgt, ook als er geen melding is gedaan bij een toezichthouder. Het register is niet bedoeld als overzicht van meldingen, maar als overzicht van alle inbreuken die zich hebben voorgedaan, mét de afweging die daarbij is gemaakt: wat is er gebeurd, welke gegevens waren betrokken, welk risico is ingeschat en waarom is er wel of niet gemeld. Een lek dat geen meldplicht oplevert omdat het risico voor de betrokkenen laag werd ingeschat, valt daar gewoon onder.

Wat meestal niet in het register hoeft, zijn incidenten die geen inbreuk op persoonsgegevens zijn — bijvoorbeeld een storing zonder dat er gegevens zijn gelekt, verloren gegaan of onrechtmatig verwerkt. Zodra er wél sprake is van een inbreuk, telt die mee voor het register, los van de vraag of er is gemeld bij de toezichthouder en los van de vraag of betrokkenen zijn geïnformeerd.

Dit volgt uit de documentatieplicht van artikel 33 AVG

Artikel 33 van de AVG regelt niet alleen de melding binnen 72 uur, maar bevat ook een aparte documentatieplicht: elke inbreuk op persoonsgegevens wordt vastgelegd, met de feiten, de gevolgen en de genomen maatregelen, zodat een toezichthouder dit later kan controleren. Die vastleggingsplicht staat los van de vraag of daadwerkelijk is gemeld. Welke toezichthouder dat register kan opvragen, verschilt per lidstaat — in Nederland is dat de Autoriteit Persoonsgegevens, in Duitsland de toezichthouder van de deelstaat waar de vestiging zit — maar de verplichting om te documenteren komt rechtstreeks uit de verordening en geldt in die vorm in elke lidstaat gelijk. Ook de Autoriteit Persoonsgegevens wijst er in haar informatie over datalekken op dat vastleggen een aparte stap is, los van het al dan niet melden.