Is een e-mail naar de verkeerde ontvanger een datalek?

Een verkeerd verzonden e-mail kan een datalek zijn

Een e-mail die naar de verkeerde ontvanger gaat, valt onder de definitie van een datalek zoals de AVG die hanteert: er is dan sprake van een inbreuk op de beveiliging die leidt tot ongewenste inzage in persoonsgegevens door iemand die daar geen recht op heeft. Of het gaat om een cv, een factuur met een adres, of een intern memo met namen — zodra persoonsgegevens bij de verkeerde persoon terechtkomen, is de kwalificatie "datalek" in beginsel aan de orde.

Dat iets een datalek is, betekent niet automatisch dat het gemeld moet worden. Artikel 33 van de AVG koppelt de meldplicht aan de toezichthouder aan het risico dat de inbreuk oplevert voor de rechten en vrijheden van de betrokkene: hoe gevoelig zijn de gegevens, hoeveel mensen zijn er geraakt, en is de e-mail teruggehaald of ongeopend gebleven. Een verkeerd verzonden e-mail met alleen een naam en een afspraaktijd weegt anders dan een e-mail met financiële gegevens of gezondheidsinformatie aan een grote groep verkeerde ontvangers. Die afweging maakt de organisatie die de fout maakte zelf, en zij bepaalt ook zelf of zij meldt.

Dit volgt uit artikel 33 van de AVG

De definitie van een inbreuk op de beveiliging van persoonsgegevens en de koppeling met de meldplicht binnen 72 uur staan in artikel 33 van de AVG; de Autoriteit Persoonsgegevens werkt op haar pagina over het melden van datalekken uit hoe die risico-afweging in de praktijk gemaakt wordt. De AVG geldt als verordening rechtstreeks in elke lidstaat, dus deze kern is overal gelijk — wat verschilt, is waar gemeld wordt. In Nederland is dat de Autoriteit Persoonsgegevens, als enige landelijke toezichthouder. In Duitsland ligt dat anders: daar meldt een organisatie bij de toezichthouder van de deelstaat waar de vestiging staat, en zijn er zestien deelstaattoezichthouders naast de federale BfDI.