De AVG bepaalt dat een datalek dat een risico voor betrokkenen kan opleveren, gemeld moet worden aan de Autoriteit Persoonsgegevens zodra u er kennis van heeft genomen. De termijn daarvoor is kort: 72 uur. Meldt u niet, of meldt u te laat, dan voldoet u op dat punt niet aan een verplichting uit de AVG. Wat dat concreet betekent, hangt af van de situatie, en dat is precies waar wij als redactie geen uitspraak over doen: dat is aan uzelf, uw jurist of de toezichthouder.
Wat wel te beschrijven is: de AVG geeft de Autoriteit Persoonsgegevens bevoegdheden om onderzoek te doen naar een datalek dat niet of te laat is gemeld, en om daarop te reageren. Welke reactie dat is en of die volgt, ligt niet vast en is niet te voorspellen. Voor u als ondernemer is de vraag dus niet zozeer "wat is de straf", maar "wat moet ik regelen zodat ik op tijd kan beoordelen of een melding nodig is".
Wat de meldplicht precies vraagt
De AVG maakt onderscheid tussen een melding aan de toezichthouder en een melding aan de betrokkenen zelf. De eerste is aan de orde bij een lek dat een risico kan opleveren; de tweede, zwaardere variant is aan de orde bij een hoog risico. Beide beoordelingen moeten snel gebeuren, en de 72-uurstermijn voor de toezichthouder loopt vanaf het moment dat u het lek heeft ontdekt, niet vanaf het moment dat het is ontstaan. Wie dat onderscheid nog niet scherp heeft, kan het in een paar vragen doorlopen: in vijf vragen zien waar u staat geeft direct een indicatie of een melding aan de orde is.
De kern van het probleem bij een te late melding is meestal niet onwil, maar tijd die verloren gaat aan onduidelijkheid: wie moet dit oppakken, is het wel een datalek in de zin van de AVG, en hebben we eigenlijk overzicht van welke systemen persoonsgegevens bevatten. Dat laatste is precies waar een verwerkingsregister zijn waarde bewijst: zonder overzicht van uw verwerkingen kost het uitzoeken van de omvang van een lek onnodig veel van de 72 uur die u heeft.
Ook niet-melden moet u kunnen verantwoorden
Een minder bekend punt is dat de AVG ook vraagt om vast te leggen wanneer u besluit een lek niet te melden, en waarom. De verantwoordingsplicht geldt namelijk voor de afweging zelf, niet alleen voor de melding als die er komt. Een lek dat u beoordeelt als "geen risico voor betrokkenen" en waarvan u die afweging nergens vastlegt, is achteraf lastig te onderbouwen, mocht daarnaar gevraagd worden. De richtsnoeren van de EDPB gaan hier uitgebreid op in; de vindplaats en de uitleg daarvan zijn terug te vinden in de kennisbank per onderwerp.
Gevolgen die verder gaan dan de toezichthouder
Buiten de verhouding met de Autoriteit Persoonsgegevens zijn er nog twee plekken waar een gemiste melding kan opspelen. De eerste is de verwerkersovereenkomst: als u voor een klant persoonsgegevens verwerkt, staat daar vaak een eigen meldtermijn in, soms korter dan de wettelijke 72 uur, en die termijn geldt dan naast de AVG. De tweede is de betrokkene zelf: iemand van wie gegevens zijn gelekt en die daar zelf achter komt zonder dat u heeft gemeld, kan dat vertrouwen niet meer terugkrijgen, wat los staat van enige juridische beoordeling.
Ook een verzekeraar of een aanbestedende partij die achteraf vraagt hoe een lek is afgehandeld, kijkt naar of er tijdig is beoordeeld en, waar nodig, gemeld. Dat is iets anders dan een boete, maar het raakt wel aan wat vaak de aanleiding is om privacy op orde te brengen: kunnen aantonen dat er een proces is, niet alleen dat er nooit iets is misgegaan.
Waarom de klok vaak het knelpunt is
In de praktijk is het zelden de wil om te melden die ontbreekt, maar de snelheid waarmee een organisatie kan vaststellen wat er is gebeurd, welke gegevens het raakt en wie erbij betrokken is. Een systeem dat de 72-uursklok laat meelopen zodra een mogelijk lek wordt geregistreerd, voorkomt dat die tijd wegvloeit in interne discussie. Hoe zo'n systeem is opgebouwd en waar de informatie op is gebaseerd, staat beschreven op de pagina over waar de informatie vandaan komt.
Of een specifiek voorval bij u meldingsplichtig is, welke termijn precies geldt in uw geval en wat de gevolgen zijn als een melding is gemist, is niet in algemene zin te beantwoorden. Voor die beoordeling is een jurist of de Autoriteit Persoonsgegevens zelf het aangewezen aanspreekpunt.
Wilt u eerst zelf een beeld krijgen van waar u staat, zonder verplichtingen? De gratis quick-scan en de kennisbank geven een eerste indicatie per onderwerp, inclusief de vindplaats in de officiële tekst.