Wanneer begint de AVG-termijn van 72 uur te lopen?
Wanneer de verwerkingsverantwoordelijke kennis krijgt van de inbreuk in verband met persoonsgegevens, niet wanneer de inbreuk begon. Artikel 33, lid 1, telt de 72 uur vanaf het moment van kennisname. Richtsnoeren van het Europees Comité voor gegevensbescherming gaan ervan uit dat een verwerkingsverantwoordelijke kennis heeft als hij met redelijke zekerheid weet dat er een beveiligingsincident is geweest waarbij persoonsgegevens zijn geraakt. Een kort eerste onderzoek om dat vast te stellen mag, maar het moet snel; kennisname uitstellen door niet te kijken kan niet. Een verwerker die een inbreuk ontdekt, moet de verwerkingsverantwoordelijke onverwijld inlichten (artikel 33, lid 2), en diens termijn begint meestal als hij het hoort. Leg daarom in uw incidentlog het exacte tijdstip vast waarop iemand concludeerde dat persoonsgegevens betrokken waren. NetSenX laat u dat moment per incident vastleggen en bewaart de alerts die tonen wanneer de activiteit begon.
Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.
Lees verder
Gerelateerde vragen
- Eén incident, meerdere meldingen: hoe verhouden NIS2, de AVG en DORA zich?
- Wat is een ernstig ICT-gerelateerd incident onder DORA?
- Wat zijn de meldtermijnen voor incidenten onder DORA?
- Waar worden kwetsbaarheidsmeldingen onder de Cyberweerbaarheidsverordening ingediend?
- Moeten we een cyberincident naast de toezichthouder ook bij de politie melden?