U moet het datalek onverwijld melden aan de betrokkene (artikel 34a, tweede lid, Wbp).
Het onverwijld melden houdt in dat u, na het ontdekken van het datalek, enige tijd mag nemen voor nader onderzoek zodat u de betrokkene op een behoorlijke en zorgvuldige manier kunt informeren. Wel moet u er rekening mee houden dat de betrokkene naar aanleiding van uw melding mogelijk maatregelen moet nemen om zich te beschermen tegen de gevolgen van het datalek. Hoe eerder u de betrokkene daarover informeert, hoe eerder deze in actie kan komen.
Net als bij de melding aan de Autoriteit Persoonsgegevens kunt u er eventueel voor kiezen om de betrokkene in eerste instantie te informeren op basis van de informatie waarover u op dat moment beschikt, zodat deze alvast maatregelen kan gaan treffen om zich te beschermen tegen de gevolgen van het datalek, en om deze informatie in tweede instantie op basis van nader onderzoek aan te vullen. Een voorbeeld van een dergelijke situatie is dat u weet dat onbevoegden toegang hebben gehad tot een database met inloggegevens, maar dat u nog aan het onderzoeken bent of de onbevoegden ook andere persoonsgegevens hebben ingezien. U kunt in een dergelijk geval meteen al beginnen met het resetten van de getroffen wachtwoorden en met het informeren van de betrokkenen, waarbij u aangeeft dat betrokkenen, als zij elders dezelfde inloggegevens gebruiken, deze moeten wijzigen.
In de melding aan de Autoriteit Persoonsgegevens moet u aangeven of u het datalek al aan de betrokkenen heeft gemeld en, zo niet, wanneer u dat gaat doen. De termijn die u in de melding aan de Autoriteit Persoonsgegevens aangeeft, moet u ook nakomen. Mocht deze termijn bij nader inzien niet haalbaar blijken te zijn, dan laat u dit aan de Autoriteit Persoonsgegevens weten door middel van een aanpassing van de melding.
Artikel 9
Wanneer moet ik het datalek melden aan de betrokkene?
Onderdeel van Meldplicht datalekken Wet bescherming persoonsgegevens· Privacy
Deze tekst geldt sinds 16 december 2015