Meldplicht voor datalekken wordt zwakker

Juridische volzin

De meldplicht staat in de wet als volgt beschreven: "De verantwoordelijke stelt het College overwijld in kennis van een inbreuk op de beveiliging, waarvan redelijkerwijs kan worden aangenomen dat die leidt tot een aanmerkelijke kans op nadelige gevolgen voor de bescherming van de verwerkte persoonsgegevens." Met andere woorden: als een systeem is gekraakt en er is een kans dat persoonsgegevens op straat kunnen komen te liggen, dan dient dat gemeld te worden bij het CBP.

Aangevreten formulering

In de wijziging die Teeven nu voorstelt, staat een veel minder strenge omschrijving. Wanneer een systeemkraak is uitgevoerd, moet dat pas gemeld worden als "De inbreuk ernstige nadelige gevolgen heeft voor de bescherming van de verwerkte persoonsgegevens." Dus er hoeft alleen een melding te worden gedaan als er een zeer ernstige inbreuk is geweest, anders mogen bedrijven hun mond houden.

Minder registratie

Het CBP stoort zich ook aan het verdwijnen van de administratieplicht. Nu is het nog zo dat de verantwoordelijke een overzicht moet bijhouden van alle inbreuken die zijn gemaakt op de opgeslagen gegevens. In de nieuwe versie van de wet komt dat niet meer ter sprake.