Meldplicht datalekken

Mag het een onsje minder met het melden van datalekken?

Eén van de laatste artikelen van de AVG (art 97) schrijft voor dat om de vier jaar een evaluatie moet plaatsvinden. De AVG is in mei 2016 aangenomen (met een “gewenningstermijn” van twee jaar die organisaties konden benutten om zich voor te bereiden) en dat betekent dat de eerste evaluatie in mei 2020 heeft plaatsgevonden. De Europese Commissie stelde de evaluatie op op basis van onder meer de input van een groot aantal lidstaten. Eén van de suggesties was om de meldplicht datalekken aan te passen.

Stortvloed aan meldingen, mag het een onsje minder?

Zo hebben onze oosterburen ervaren dat de meldplicht datalekken heeft geleid tot een overweldigende hoeveelheid meldingen. De oorzaak is de formulering in de AVG die er voor zorgt dat een “simpele” inbreuk al leidt tot een melding. Ook in Nederland zien we een groot aantal meldingen. Veel bedrijven/organisaties nemen, zeker gezien het boetebeleid van de Autoriteit Persoonsgegevens bij het niet of te laat melden, het zekere voor het onzekere en melden al vrij snel een datalek. Zie hier het recept voor de stortvloed aan datalekken.

Verlichting meldplicht

De suggestie is de meldplicht zodanig te veranderen dat een melding aan de Autoriteit alleen nodig is als er sprake is van een hoog risico voor de betrokkenen. Helaas is deze suggestie niet terug te vinden in de evaluatie door de Europese Commissie. De verlichting van de administratieve last van de meldplicht is daarmee voorlopig van de baan en de meldplicht blijft onverkort van toepassing.

Vragen of hulp nodig?

Hoe weet u dat uw organisatie in staat is datalekken goed af te handelen? Contakt Consulting kan u helpen met het organiseren van datalekoefeningen, het opstellen van processen om een datalek af te handelen en uitvoeren awareness programma om medewerkers van de organisatie bewust te maken van wat een datalek is en hoe dan te handelen.

En mocht u daadwerkelijk te maken krijgen met een datalek dan kan Contakt Consulting u helpen bij de afhandeling ervan en eventueel de melding aan de Autoriteit Persoonsgegevens en betrokkenen.