Hoge boetes voor niet-melden datalekken vanaf 1 januari

De Wet meldplicht datalekken wordt op 1 januari 2016 van kracht. De wet past de Wet bescherming persoonsgegevens (Wbp) en de Telecommunicatiewet aan. De nieuwe wet behelst een verplichting voor verantwoordelijken en bewerkers om datalekken te melden.

Meldplicht datalek

Een datalek moet worden gemeld als het leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als de kans hierop aanzienlijk is. Als het lek voor de belanghebbenden van belang is, moet het ook aan hen gemeld worden.

Vanaf 1 januari 2016 moeten ook aanbieders van openbare elektronische communicatiediensten een eventuele melding bij de Autoriteit Persoonsgegevens doen. Tot die tijd melden zij nog bij de Autoriteit Consument en Markt. ‘Autoriteit Persoonsgegevens’ is de nieuwe, op 1 januari ingaande, benaming van het College bescherming persoonsgegevens (CBP). 

Boetes

De Autoriteit Persoonsgegevens (dus het oude CBP) krijgt de bevoegdheid boetes tot € 810.000 op te leggen. Op dit moment kan alleen een boete worden opgelegd als er sprake is van het schenden van een administratief voorschrift. Dat verandert. In de volgende gevallen kan de Autoriteit Persoonsgegevens voortaan ook een boete opleggen bij:

• niet behoorlijk of zorgvuldig verwerken van gegevens of deze gegevens te lang bewaren
• slechte beveiliging
• slecht georganiseerd beheer van gegevens
• misbruik van gevoelige informatie, zoals politieke voorkeur of levensovertuiging 

Impact

Het niet-voldoen aan de wettelijke verplichtingen kan niet alleen leiden tot een hoge boete, maar ook tot grote imagoschade. En als de organisatie komt stil te liggen door een datalek, zelfs tot bedrijfsschade. Zeker in kleine organisaties is nog onvoldoende aandacht voor deze problematiek. 

Gevolgen voor de adviseur

De nieuwe wetgeving brengt grote risico’s met zich mee voor bedrijven. De adviseur Schade bedrijven moet deze risico’s meenemen bij zijn risicoanalyse en de klant adviseren over mogelijke preventie. Vaak zijn ook andere bedrijven direct of indirect betrokken bij het beheer van persoonsgegevens. Het is van belang dat de bedrijven die (eind)verantwoordelijk zijn voor het beheer van persoonsgegevens ook weten hoe hun toeleveranciers of andere gebruikers met de beveiliging van de gegevens omgaan. 

Meer over privacy?

Meer informatie over onze opleidingen op dit gebied:

• Privacy Compliance
• Overige opleidingen Governance en Compliance  
• Wft Schadeverzekeringen Zakelijk