Wanneer moeten we betrokkenen informeren over een datalek?
Als het lek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert. Artikel 34 van de AVGAVG: Algemene verordening gegevensbescherming. De Europese privacywet (Verordening (EU) 2016/679). verplicht de verwerkingsverantwoordelijke dan hen onverwijld in te lichten, in duidelijke en eenvoudige taal, met de aard van de inbreuk, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en het contact van de functionaris gegevensbescherming. Hoog risico gaat meestal over gegevens die echte schade kunnen doen, zoals identiteitsbewijzen, bank- of gezondheidsgegevens, wachtwoorden of informatie die fraude mogelijk maakt. Artikel 34, lid 3, kent uitzonderingen: de gegevens zijn onbegrijpelijk gemaakt, bijvoorbeeld met sterke versleuteling; latere maatregelen maken het hoge risico onwaarschijnlijk; of individuele berichten zouden onevenredige inspanning vergen, en dan volstaat een openbare mededeling. Ook de toezichthouder kan eisen dat u betrokkenen informeert. Vertel mensen wat ze moeten doen, zoals wachtwoorden wijzigen of alert zijn op phishing.
Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.
Lees verder
Gerelateerde vragen
Begrippen op deze pagina
- AVG (Algemene verordening gegevensbescherming)
- De Europese privacywet (Verordening (EU) 2016/679).