Wet meldplicht datalekken

Bovendien is een wetswijziging van de Wet bescherming persoonsgegevens (Wbp) op komst. De belangrijkste wetswijzigingen zal ik hier bespreken. Voor meer informatie over het recente arrest van het HvJ verwijs ik naar mijn andere blog.

Meldplicht datalekken

Een van de belangrijkste wijzigingen die vanaf 1 januari 2016 in werking treedt, is de meldplicht datalekken. Een bedrijf dat persoonsgegevens verzamelt en verwerkt, in de wet aangeduid als de “verantwoordelijke”, zal dientengevolge verplicht zijn om iedere inbreuk op zijn beveiliging te melden aan de Autoriteit persoonsgegevens, indien er een aanzienlijke kans bestaat op nadelige gevolgen voor de bescherming van persoonsgegevens. De inbreuk dient ook aan de persoon zelf gemeld te worden, indien de inbreuk waarschijnlijk ongunstige gevolgen voor zijn persoonlijke levenssfeer zal hebben. Aan beiden dient in ieder geval informatie te worden verstrekt over de aard van de inbreuk, de instanties waar meer informatie kan worden verkregen en de aanbevolen maatregelen om de gevolgen van de inbreuk te beperken.

Nakoming verplichtingen door de bewerker

Vaak werkt een bedrijf bij de verwerking van persoonsgegevens samen met andere bedrijven. Die worden dan aangemerkt als “bewerker”. De verantwoordelijke is onder de Wbp verplicht om ervoor zorg te dragen dat ook de bewerker de kernvoorwaarden voor de bescherming van persoonsgegevens in acht neemt. Zo moet iedere medewerker die toegang heeft tot de persoonsgegevens verplicht zijn tot geheimhouding dienaangaande en dienen er passende technische en organisatorische maatregelen te worden genomen om persoonsgegevens behoorlijk te beveiligen. Bovendien is ook de bewerker verplicht om een inbreuk op zijn beveiliging te melden.

Uitbreiding boetebevoegdheid

De nieuwe eisen onder de Wbp worden kracht bij gezet door de uitbreiding van de bevoegdheid tot het opleggen van een bestuurlijke boete van de Autoriteit persoonsgegevens. Tot op heden kan deAutoriteit persoonsgegevens alleen boetes uitdelen voor het schenden van administratieve verplichtingen. Vanaf 1 januari 2016 kan deAutoriteit persoonsgegevens ook boetes opleggen indien de verantwoordelijke in strijd handelt met andere verplichtingen onder de Wbp. Dit kan het geval zijn indien de persoonsgegevens op een onzorgvuldige manier worden verwerkt of langer worden bewaard dan noodzakelijk is. Ook indien de beveiliging niet toereikend is kan de Autoriteit persoonsgegevens een boete opleggen en uiteraard heeft deAutoriteit persoonsgegevens deze bevoegdheid ook indien niet wordt voldaan aan de meldplicht datalekken.

Problemen voorkomen: wetswijziging anticiperen

Voor ieder bedrijf dat persoonsgegevens verzamelt en verwerkt is het dus noodzaak om ervoor zorg te dragen dat het uiterlijk op 1 januari 2016 aan de nieuwe eisen voldoet. Bestaande en nieuwe contracten dienen daarop te worden nagelopen en ook de organisatorische inrichting dient op de nieuwe verplichtingen te worden afgestemd. Om een datalek ook daadwerkelijk onverwijld te kunnen melden moeten de verantwoordelijkheden en taken immers op voorhand duidelijk verdeeld zijn. GMW advocaten ondersteunt u graag bij de voorbereiding op de wijziging van de Wbp. Voor advies en vragen kunt u contact opnemen met de sectie Onderneming & Insolventie .