Meldplicht datalekken

Vorige week is het wetsvoorstel Meldplicht datalekken aangenomen door de Eerste Kamer. Hierdoor worden een aantal bepalingen uit de Wet bescherming persoonsgegevens (Wbp) en de Telecommunicatiewet (Tw) gewijzigd. Deze wijzigingen worden waarschijnlijk op 1 januari 2016 van kracht.  In dit blog beschrijf ik de belangrijkste wijzigingen.

Meldplicht

Een datalek is iedere inbreuk op de beveiliging van persoonsgegevens. Deze inbreuken moeten worden gemeld bij het College bescherming persoonsgegevens (Cbp) wanneer de inbreuk nadelige gevolgen kan hebben voor de beveiliging. De verantwoordelijke voor de verwerking van de persoonsgegevens moet het datalek ook aan de betrokkene (over wiens persoonsgegevens het gaat) melden als de kans bestaat dat er nadelige gevolgen kunnen zijn. Hiervan is sprake wanneer bijvoorbeeld medische gegevens zijn gelekt.

Bewerkersovereenkomst

Al eerder schreef ik over de bewerkersovereenkomst en de vereisten die zijn neergelegd in de aanstaande privacy verordening. Door het wetsvoorstel Meldplicht datalekken moeten bewerkersovereenkomsten voldoen aan de vereisten uit het wetsvoorstel. Wanneer een verantwoordelijke voor de persoonsgegevens een derde inschakelt (bijvoorbeeld een softwareleverancier van een database), moet in de bewerkersovereenkomst ook geregeld zijn hoe wordt omgegaan met een datalek.

Uitbreiding handhavingsmogelijkheden

Het wetsvoorstel zorgt er ook voor dat het Cbp in meer situaties boetes kan opleggen, bijvoorbeeld als persoonsgegevens niet zorgvuldig worden verwerkt of wanneer een datalek niet wordt gemeld. De hoogte van de boetes kan oplopen tot € 810.000 of 10% van de omzet van een organisatie.

En nu?

Het Cbp gaat richtsnoeren opstellen voor het bedrijfsleven die handvatten geven over hoe om te gaan met de nieuwe wetgeving. Maar vooruitlopend op de inwerkingtreding en de richtsnoeren, kan het zeker geen kwaad om binnen uw organisatie kritisch te kijken naar de privacy aspecten. Heeft u wel bewerkersovereenkomsten met derden? Verwerkt u bijzondere gegevens, zoals medische gegevens? Heeft u passende maatregelen genomen om de gegevens goed te beveiligen? Ik help u graag met het maken van een privacyscan en het opstellen van bewerkersovereenkomsten en een intern privacybeleid. Neem voor meer informatie contact met ons op.