Onlangs kreeg een groot bedrijf een boete van € 475.000 opgelegd door de Autoriteit Persoonsgegevens (AP) vanwege het te laat melden van een grootschalig datalek. Welke lessen kunnen hieruit getrokken worden?
Op grond van artikel 33 van de AVG moet een inbreuk op de persoonsgegevens, ook wel datalek genoemd, zonder onredelijke vertraging en indien mogelijk binnen 72 uur nadat de verwerkingsverantwoordelijke hiervan kennis heeft genomen, worden gemeld bij de AP. Dat is in ieder geval nodig als er een redelijke mate van zekerheid bestaat dat zich een veiligheidsincident heeft voorgedaan dat tot de compromittering van persoonsgegevens heeft geleid. Het maken van een melding is niet nodig als het niet waarschijnlijk is dat die inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
In veel gevallen zal er onderzoek nodig zijn of er daadwerkelijk sprake is van een datalek. Dat onderzoek kan enige tijd in beslag nemen. Toch is het noodzakelijk om ieder incident onmiddellijk te onderzoeken om te bepalen of er sprake is van een inbreuk op persoonsgegevens. Als er van een inbreuk sprake is, moeten er ook direct maatregelen worden genomen om dit te corrigeren en moet het datalek worden gemeld. Op basis van de AVG zou een termijn van 72 uur hiervoor in principe voldoende moeten zijn.
Het grote bedrijf dat eerder een boete kreeg, vond dat de overschrijding van deze 72 uurs-termijn gerechtvaardigd was, omdat het bedrijf eerst onderzoek moest doen voordat het het incident kon melden. Daarnaast vond de onderneming dat zij vanuit efficiency-oogpunt incidenten had mogen bundelen, ook al werd hierdoor de 72 uurs-termijn overschreden.
De rechter oordeelde echter dat het bedrijf de nodige steken had laten vallen en, ook na de eerste melding, onvoldoende voortvarend had gehandeld. Daarbij was van belang dat de onderneming niet had gehandeld conform haar eigen protocollen, waarin was opgenomen dat ieder vermoeden van een incident direct moest worden doorgezet naar het Security Team.
De eerste les die uit deze uitspraak kan worden getrokken is dat het verstandig is om bij een mogelijk datalek binnen 72 uur in ieder geval een pro-formamelding bij de AP te doen. Daarmee kunt u een boete vanwege een te late melding voorkomen.
Tip! Vermeld in de pro-formamelding welke actie er al ondernomen is en dat het onderzoek nog loopt. Daarnaast is het van belang dat de eigen protocollen strikt worden nageleefd, zoals het opvolgen van de daarin genoemde escalatielijn. Als er van de eigen protocollen wordt afgeweken, kan dit ertoe leiden dat er niet adequaat is opgetreden en kan er een boete worden opgelegd.
Ontdek meer actuele inzichten en praktische updates van Cooster.
Een man komt vanuit India aan op Schiphol en wordt gecontroleerd door de Douane. Bij de controle ontdekt de Douane dat hij 1.200 sigaretten bij zich heeft. Voor 200 sigaretten krijgt hij een vrijstelling, maar voor de overige 1.000 sigaretten legt de
Lees artikelVanaf 1 januari 2027 wijzigen de regels voor het samenvoegen van loon en socialezekerheidsuitkeringen bij de loonheffingen. Deze aanpassing heeft financiële gevolgen voor werknemers die een socialezekerheidsuitkering via hun werkgever
Lees artikelEen man en vrouw hebben in 2023 uitsluitend bank- en spaartegoeden van in totaal € 229.802. Op deze tegoeden ontvangen zij gedurende het jaar € 1.575 aan rente. De Belastingdienst stelt het belastbaar inkomen uit sparen en beleggen (box 3)
Lees artikelEen ondernemer claimt aftrek van voorbelasting. Een deel van zijn administratie is echter verloren gegaan door lekkage, waardoor hij de geclaimde voorbelasting niet kan onderbouwen. Het verlies van de administratie door lekkage komt volgens de
Lees artikelDe aanvraagtermijn voor huurtoeslag, zorgtoeslag en kindgebonden budget over 2025 is met vier maanden verlengd. De aanvraagtermijn voor deze toeslagen loopt nu tot en met 31 december 2026. Voorheen was het mogelijk deze toeslagen aan te vragen tot en
Lees artikelEen belastingplichtige betoogt dat de box 3-heffing ongeldig is, omdat de wet geen expliciet genietingsmoment bevat. Hij betoogt dat zonder wettelijke bepaling die vastlegt wanneer het inkomen wordt genoten, het niet kan worden belast. De rechtbank
Lees artikel
Wil je altijd op de hoogte blijven van het laatste nieuws omtrent financiën en accountancy?
Schrijf je dan in voor onze nieuwsbrief en mis niets.
Wilt u onze nieuwsbrief niet meer ontvangen? dan kunt u zich hier uitschrijven.
