Meldplicht Datalekken
Een meldplicht datalekken is een wettelijke verplichting om toezichthoudende autoriteiten en, in sommige gevallen, getroffen personen te informeren wanneer persoonsgegevens zijn gecompromitteerd door een inbreuk op de beveiliging. Onder de AVG moeten verwerkingsverantwoordelijken hun toezichthoudende autoriteit binnen 72 uur na het bekend worden van een inbreuk die een risico vormt voor de rechten en vrijheden van personen op de hoogte stellen, en getroffen personen rechtstreeks informeren indien de inbreuk een hoog risico met zich meebrengt.
Wettelijke Grondslag
"In geval van een inbreuk in verband met persoonsgegevens meldt de verwerkingsverantwoordelijke deze onverwijld en indien mogelijk binnen 72 uur nadat hij daarvan kennis heeft gekregen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen."
— Artikel 33, lid 1, Verordening (EU) 2016/679 (AVG)
"Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de verwerkingsverantwoordelijke de betrokkene onverwijld de inbreuk in verband met persoonsgegevens mee."
— Artikel 34, lid 1, Verordening (EU) 2016/679 (AVG)
Waarom Het van Belang Is
Meldplichten bij datalekken zijn van toepassing op elke organisatie die persoonsgegevens verwerkt in het kader van politieke advertentiediensten. Voor sponsors, uitgevers en aanbieders van politieke advertentiediensten onder Verordening 2024/900 betekent dit dat elke ongeoorloofde toegang tot, verlies van of wijziging van persoonsgegevens die worden gebruikt voor targeting of advertentielevering onmiddellijk moet worden gemeld aan de relevante gegevensbeschermingsautoriteit.
Het meldvenster van 72 uur is strikt en begint op het moment dat de organisatie kennis krijgt van de inbreuk, niet wanneer zij klaar is met het onderzoeken ervan. Organisaties moeten interne processen hebben om inbreuken snel te detecteren, onderzoeken en melden. Het niet melden kan leiden tot boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet onder de AVG.
Voor politieke advertenties in het bijzonder zijn inbreuken waarbij targetinggegevens, kiezersprofielen of politieke voorkeuren betrokken zijn bijzonder gevoelig. Deze inbreuken kunnen individuen blootstellen aan manipulatie, discriminatie of vergeldingsschade, waardoor tijdige melding cruciaal is voor de bescherming van democratische processen en individuele rechten.
Belangrijkste Punten
- Verwerkingsverantwoordelijken moeten hun toezichthoudende autoriteit binnen 72 uur na het bekend worden van een inbreuk op de hoogte stellen, tenzij het onwaarschijnlijk is dat de inbreuk de rechten en vrijheden van individuen in gevaar brengt
- Indien de inbreuk een hoog risico voor individuen met zich meebrengt, moeten zij onverwijld rechtstreeks worden geïnformeerd
- Meldingen moeten de aard van de inbreuk beschrijven, de categorieën en het geschatte aantal getroffen personen en bestanden, en de genomen maatregelen om deze te verhelpen
- Verwerkers moeten verwerkingsverantwoordelijken onmiddellijk op de hoogte stellen bij het ontdekken van een inbreuk, zodat verwerkingsverantwoordelijken hun eigen meldtermijnen kunnen halen
- Organisaties dienen documentatie bij te houden van alle inbreuken, inclusief die welke niet zijn gemeld, om naleving aan te tonen
- Boetes voor het niet melden kunnen oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is
Meldplicht Datalekken vs. Transparantieverklaring
Hoewel beide openbaarmakingsverplichtingen inhouden, hebben meldingen van datalekken en transparantieverklaringen verschillende doeleinden. Een melding van een datalek is een reactieve, incidentgestuurde verplichting die wordt geactiveerd wanneer de beveiliging van persoonsgegevens is gecompromitteerd. Deze moet binnen 72 uur worden afgeleverd aan toezichthoudende autoriteiten en aan getroffen personen wanneer er een hoog risico bestaat.
Een transparantieverklaring (zoals de privacyverklaring vereist onder artikel 13-14 AVG of de transparantieverklaring voor politieke advertenties onder Verordening 2024/900) is een proactieve, doorlopende verplichting om individuen te informeren over hoe hun gegevens worden verwerkt vóór of op het moment van verzameling. Transparantieverklaringen zijn preventief en informatief; meldingen van inbreuken zijn corrigerend en urgent.
| Aspect | Meldplicht Datalekken | Transparantieverklaring |
|---|---|---|
| Trigger | Beveiligingsincident | Gegevensverzameling/-verwerking |
| Timing | 72 uur (aan autoriteit) | Vóór/bij verzameling |
| Doelgroep | Autoriteit + getroffen personen | Alle betrokkenen |
| Doel | Incidentrespons | Doorlopende transparantie |
Gerelateerde Termen
- Persoonsgegevens
- Gegevensbeschermingsautoriteit
- Verwerkingsverantwoordelijke
- Verwerker
- AVG-naleving
- Targetingtechnieken
- Beveiligingsmaatregelen
- Toezichthoudende autoriteit
- Privacyverklaring
- Rechten van betrokkenen