U moet het datalek onverwijld melden aan de Autoriteit Persoonsgegevens (artikel 34a, eerste lid, Wbp).
Het onverwijld melden houdt in dat u, na het ontdekken van een mogelijk datalek, enige tijd mag nemen voor nader onderzoek teneinde een onnodige melding te voorkomen.
Wat in een concreet geval als 'onverwijld' moet worden aangemerkt zal afhangen van de omstandigheden van het geval. Onderstaand treft u de uitgangspunten aan die de Autoriteit Persoonsgegevens met het oog op zijn toezichthoudende en handhavende bevoegdheden hanteert.28Kamerstukken II 2013/14, 33 662, nr. 6, blz. 16.
De termijn voor het melden van het datalek begint te lopen op het moment dat uzelf, of een bewerker die u heeft ingeschakeld, op de hoogte raakt van een incident dat mogelijk onder de meldplicht datalekken valt.
Zonder onnodige vertraging, en zo mogelijk niet later dan 72 uur na de ontdekking, doet u een melding bij de Autoriteit Persoonsgegevens, tenzij op dat moment inmiddels al uit uw onderzoek is gebleken dat het incident niet onder de meldplicht datalekken valt. Indien u het incident later dan 72 uur na ontdekking aan de toezichthouder meldt, dan kunt u desgevraagd motiveren waarom u de melding later heeft gedaan.29Zie art. 31, eerste lid, van de concept-Algemene Privacy-verordening, uit de tekst zoals geamendeerd door de Raad van de Europese Unie: "In geval van een inbreuk in verband met persoonsgegevens […] meldt de verantwoordelijke de overeenkomstig artikel 51 bevoegde toezichthoudende autoriteit deze inbreuk zonder onnodige vertraging en zo mogelijk niet later dan 72 uur nadat hij ervan kennis heeft gekregen. Wanneer de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat deze vergezeld van een motivering."
Mogelijk heeft u 72 uur na de ontdekking van het incident nog niet volledig zicht op wat er gebeurd is en om welke persoonsgegevens het gaat. In dat geval doet u de melding op basis van de gegevens waarover u op dat moment beschikt. Eventueel kunt u de melding naderhand nog aanvullen of intrekken.
Om datalekken tijdig te kunnen melden zult u goede afspraken moeten maken met de bewerkers die u eventueel inschakelt, zodat zij u tijdig en adequaat informeren over alle relevante incidenten.
Artikel 6
Wanneer moet ik het datalek melden aan de Autoriteit Persoonsgegevens?
Onderdeel van Meldplicht datalekken Wet bescherming persoonsgegevens· Privacy
Deze tekst geldt sinds 16 december 2015