Dit hoofdstuk geeft antwoord op de vraag wat de Autoriteit Persoonsgegevens doet met uw datalekmelding. Ook gaat dit hoofdstuk in op de handhaving bij overtreding van de meldplicht.
Na het melden van een datalek ontvangt u per omgaande een ontvangstbevestiging.
Als de melding de Autoriteit Persoonsgegevens aanleiding geeft tot nadere actie, dan zal de deze daarover contact met u opnemen. In eerste instantie zal het daarbij gaan om verificatie dat de gedane melding daadwerkelijk van u afkomstig is, en om eventuele inhoudelijke vragen over de melding.
Het is uw verantwoordelijkheid om de oorzaak van het datalek op te sporen, en om maatregelen te treffen om herhaling te voorkomen. Het is ook aan u om te bepalen of u de betrokkenen informeert en op welke manier u dit doet. Een van de doelen van deze beleidsregels is om u bij deze afweging te ondersteunen. De Autoriteit Persoonsgegevens biedt, als toezichthouder, geen ondersteuning bij de afhandeling van een concreet datalek.
De ontvangen datalekmeldingen stellen de Autoriteit Persoonsgegevens in staat om erop toe te zien dat betrokkenen adequaat worden geïnformeerd over datalekken die hen persoonlijke raken, of waarvan zij last kunnen ondervinden. Als u het datalek niet heeft gemeld aan de betrokkene kan de Autoriteit Persoonsgegevens, indien deze van oordeel is dat het datalek waarschijnlijk ongunstige gevolgen zal hebben voor de betrokkene, van u verlangen dat u alsnog een kennisgeving doet (artikel 34a, zevende lid, Wbp). Dit staat gelijk aan een bindende aanwijzing, en het niet-nakomen kan worden bestraft met een bestuurlijke boete.47Kamerstukken I 2014/15, 33 662, nr. C, blz. 23.
Ook kan de Autoriteit Persoonsgegevens op basis van de ontvangen datalekmeldingen actie ondernemen om de adequate beveiliging van persoonsgegevens meer in de breedte te bevorderen. Als uit de ontvangen datalekmeldingen blijkt dat de beveiliging van persoonsgegevens mogelijk niet op orde is, dan kan dat voor de Autoriteit Persoonsgegevens aanleiding vormen voor nader onderzoek naar de naleving van de beveiligingsverplichtingen uit de Wbp.
De Autoriteit Persoonsgegevens houdt een register bij van de ontvangen datalekmeldingen. Dit register is niet openbaar. Het belang bij het vertrouwelijk blijven van gegevens over de beveiliging van de gegevensverwerking of over gelekte persoonsgegevens staat daaraan in de weg. Wel kan de Autoriteit Persoonsgegevens op basis van de gedane meldingen in jaarverslagen of andere publicaties op geanonimiseerd en geaggregeerd niveau aandacht besteden aan datalekken.48Kamerstukken II 2013/14, 33 662, nr. 6, blz. 32–33.
De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de wettelijke regels voor bescherming van persoonsgegevens. Onder meer kan de Autoriteit Persoonsgegevens onderzoek doen naar mogelijke overtredingen van de wet (artikel 60 Wbp). Heeft de Autoriteit Persoonsgegevens tijdens het onderzoek overtredingen geconstateerd die voortduren, dan kan deze handhavend optreden (artikel 65 en 66 Wbp). Daarbij kan de Autoriteit Persoonsgegevens gebruik maken van informatie uit ontvangen datalekmeldingen. Op eventuele publicatie van deze informatie zijn de Beleidsregels actieve openbaarmaking door de Autoriteit Persoonsgegevens van toepassing.
De Autoriteit Persoonsgegevens kan samenwerkingsafspraken maken met andere toezichthouders. Deze afspraken worden vastgelegd in een samenwerkingsprotocol, dat wordt gepubliceerd in de Staatscourant (artikel 51a lid 1 Wbp). In het kader van deze afspraken kan de Autoriteit Persoonsgegevens ook informatie uit ontvangen datalekmeldingen doorgeven aan deze toezichthouders (artikel 51a lid 2 Wbp).
Bij overtreding van datgene dat bij of krachtens artikel 34a Wbp wordt bepaald, kan de Autoriteit Persoonsgegevens een bestuurlijke boete opleggen. Deze bestuurlijke boete bedraagt ten hoogste het bedrag van de zesde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht (artikel 66, tweede lid, Wbp).
Als sprake is van een overtreding van de Wbp die opzettelijk is gepleegd of het gevolg is van ernstig verwijtbare nalatigheid, kan de toezichthouder direct een bestuurlijke boete opleggen (artikel 66, vierde lid, Wbp). Onder 'ernstig verwijtbare nalatigheid' wordt in de parlementaire geschiedenis verstaan: "[…] grof, aanzienlijk onzorgvuldig, onachtzaam dan wel onoordeelkundig handelen. Indien meerdere malen eenzelfde type overtreding heeft plaatsgevonden, kan sneller worden aangenomen dat sprake is van nalatigheid."49Kamerstukken II 2013/14, 33 662, nr. 16, blz. 1.
Indien er geen sprake is van een overtreding van de Wbp die opzettelijk is gepleegd of het gevolg is van ernstig verwijtbare nalatigheid, gaat een bindende aanwijzing vooraf aan het opleggen van een bestuurlijke boete. De Autoriteit Persoonsgegevens kan de overtreder een termijn stellen waarbinnen de aanwijzing moet worden opgevolgd (artikel 66, derde lid, Wbp). Bij het niet nakomen van een bindende aanwijzing kan de Autoriteit Persoonsgegevens een bestuurlijke boete opleggen van ten hoogste het bedrag van de geldboete van de zesde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht (artikel 66, vijfde lid, Wbp).
Bij het opleggen van een bestuurlijke boete houdt de Autoriteit Persoonsgegevens rekening met alle omstandigheden van het geval. Een omstandigheid van het geval kan bestaan uit het feit dat de gegevens waarover het gaat niet door derden zijn ingezien en de privacybelangen van de betrokkenen niet daadwerkelijk zijn geschaad.50Kamerstukken II 2014/15, 33 662, nr. 24.
Artikel 11
Wat doet de Autoriteit Persoonsgegevens met mijn melding?
Onderdeel van Meldplicht datalekken Wet bescherming persoonsgegevens· Privacy
Deze tekst geldt sinds 16 december 2015