wat zijn de gevolgen als ik een datalek niet meld bij de AP

Niet melden kan gevolgen hebben die verder gaan dan het lek zelf

Wie een meldingsplichtig datalek niet meldt bij de toezichthouder, riskeert dat die toezichthouder daar zelf achter komt en optreedt op grond van artikel 33 van de AVG, dat de meldplicht binnen de daarin genoemde termijn regelt. De Autoriteit Persoonsgegevens en de andere Europese toezichthouders hebben de bevoegdheid om onderzoek te doen, vragen te stellen en bij een geconstateerde overtreding een sanctie op te leggen. Dat een lek niet gemeld is, komt vaak juist naar boven doordat een betrokkene zelf klaagt, doordat gegevens elders opduiken, of doordat een verwerker of leverancier het lek meldt en de toezichthouder van daaruit doorvraagt — zie ook wat te doen als een leverancier een datalek meldt.

Naast het risico bij de toezichthouder speelt er nog iets: het niet melden van een lek staat los van de vraag of de mensen wiens gegevens het betreft, geïnformeerd moeten worden. Die verplichting volgt uit artikel 34 van de AVG en kan blijven bestaan ook als de melding aan de toezichthouder achterwege is gebleven — met alle imagoschade en vertrouwensverlies die daarbij kan komen als dat later toch aan het licht komt. Ook een lek dat niet meldingsplichtig is, hoort in de eigen administratie te blijven staan; zie waarom ook niet-gemelde datalekken bijgehouden horen te worden.

Wat hierover in de regels staat

De verplichting om te melden staat in artikel 33 van de AVG, en die verplichting geldt rechtstreeks in elke lidstaat van de EU. Waar de melding terechtkomt, verschilt per land: in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten de nationale toezichthouder van dat land — de EDPB houdt een overzicht van deze toezichthouders en publiceert richtsnoeren over de uitleg van de meldplicht. De precieze uitwerking van wanneer iets wél of niet gemeld hoeft te worden, staat beschreven op de pagina over het beoordelen of een datalek gemeld moet worden.