II.4.2.1 Meldplicht bij datalekken

De AVG bevat de verplichting om inbreuken in verband met persoonsgegevens te melden aan de toezichthoudende autoriteit (artikel 33 AVG). Dergelijke meldplichten bestonden al in specifieke sectoren, bijvoorbeeld in de telecommunicatie.1 Een algemene meldplicht ontbrak. Slechts een aantal landen – waaronder Nederland sinds 2016 – kende al een algemene meldplicht voor inbreuken op persoonsgegevens.2

Met de introductie van deze meldplicht lijkt de Europese wetgever het Californische voorbeeld te hebben gevolgd.3 Nadere analyse van de inhoud van de meldplicht laat echter een aantal verschillen zien, bijvoorbeeld in de definities van begrippen, de drempel om te moeten melden, de termijn en de geadresseerde.

Anders dan de California Civil Code definieert de AVG het begrip ‘persoonsgegevens’ niet als een limitatieve lijst van gegevens. De term ‘persoonsgegevens’ beslaat alle informatie over een geïdentificeerde of (direct of indirect) identificeerbare natuurlijke persoon.4 Door de limitatieve opsomming is in de VS de beoordeling of sprake is van een persoonsgegeven eenvoudiger. De betekenis van het begrip ‘personal information’ is bovendien enger. In Europa zal de verwerkingsverantwoordelijke bij een inbreuk moeten onderzoeken of er informatie is vrijgekomen waarmee betrokkenen al dan niet indirect geïdentificeerd kunnen worden. In de VS kan de verantwoordelijke kort gezegd volstaan met het zetten van vinkjes.

Daarnaast is de definitie van het begrip ‘inbreuk’ onder de AVG breder dan onder de Amerikaanse (statenrechtelijke) regelgeving. Immers, volgens de wetgeving in California is slechts sprake van een inbreuk bij ‘acquisition by an unauthorized person’(zie paragraaf 3.4). Dat is een engere definitie dan in de AVG. Hierin wordt bijvoorbeeld het verlies of de wijziging van persoonsgegevens ook als ‘inbreuk’ wordt aangemerkt (artikel 4 sub 12 AVG).5 De brede definitie van ‘inbreuk’ in de AVG lijkt meer op het ruimere begrip dat in de VS ten aanzien van medische gegevens wordt gehanteerd in de (federale wet) HIPAA. De waarde die in de VS slechts aan dergelijke uiterst gevoelige gegevens wordt toegekend, wordt in Europa kennelijk aan alle soorten gegevens wordt toegekend.

Onder de AVG hoeft niet iedere inbreuk te worden gemeld. Die situatie is als een uitzondering op de hoofdregel omschreven: inbreuken moeten worden gemeld, tenzij niet waarschijnlijk is dat de inbreuk een risico voor de rechten en vrijheden voor natuurlijke personen inhoudt. Deze omschrijving betekent dat de verwerkingsverantwoordelijke ter beoordeling van haar meldplicht een uitgebreide risico-inventarisatie moet uitvoeren.6 De wetgeving in de VS kent een dergelijke meldingsdrempel niet. Dit betekent dat iedere inbreuk moet worden gemeld. Een risico-inventarisatie hoeft daarbij niet te worden gemaakt. Dit maakt de beslissing om wel of niet te melden in de VS een stuk eenvoudiger dan in Europa. Enkel indien de gegevens adequaat zijn versleuteld en de sleutel niet is verkregen, hoeft in de VS niet te worden gemeld.7

Een meer praktisch verschil tussen de Amerikaanse meldplichten en de AVG is te zien in de meldingstermijn. De AVG bepaalt dat de melding moet plaatsvinden ‘zonder onredelijke vertraging’ en uiterlijk binnen 72 uur na kennisname van de inbreuk. Indien er aan de betrokkenen dient te worden gemeld, dan moet dit ‘onverwijld’ gebeuren.8 Onder de AVG zullen bedrijven worden gedwongen om al vooraf een incident response plan gereed te hebben; tijd om nog een uitgebreid plan te maken op het moment na kennisname van de inbreuk, is er niet. Organisaties zullen dus een helder beeld moeten hebben van hun verwerkingen en de getroffen beveiligingsmaatregelen.9 Dit is ook overigens met het oog op het accountability-beginsel (artikel 5 lid 2 en 24 AVG) verplicht.

De termijn in de Amerikaanse regelgeving verschilt; vrijwel alle staten hanteren uitgangspunten als ‘zo snel mogelijk’ en ‘zonder onredelijke vertraging’, maar de uiteindelijke deadlines variëren van dertig, vijfenveertig, zestig tot zelfs negentig dagen.10 De gemiddelde termijn waarbinnen wordt gemeld, is veertig dagen.11 De noodzaak om snel te melden is voor Amerikaanse organisaties dus niet zozeer gelegen in compliance, maar in beperking van de eigen reputatieschade en het voorkomen van claims.

Een ander groot verschil tussen de meldplichten in de VS en in Europa is de geadresseerde: waar in de VS de betrokkenen altijd moeten worden geïnformeerd en de overheid (de Attorney General) eerder niet dan wel, wordt in Europa de melding op de eerste plaats aan de overheid (de toezichthoudende autoriteit) gedaan en slechts onder omstandigheden aan de betrokkenen. Een ander verschil is gelegen in aanvullende verplichtingen, zoals het onder omstandigheden verplicht gratis aanbieden van schadebeperkende diensten.12 In de AVG zijn dergelijke verplichtingen niet opgenomen.

Een verklaring voor deze verschillen kan worden gezocht in het doel van de meldplicht. De Amerikaanse meldplichten lijken zich niet zozeer te richten op bescherming van fundamentele rechten, maar meer op de rechten van ‘de consument’: voorkoming van financiële schade en (identiteits)fraude.13 De Europese meldplicht beoogt ook dit soort schade voor natuurlijke personen te voorkomen,14 maar dit lijkt niet het enige doel te zijn. De Artikel 29-Werkgroep15 schrijft: “The focus of any breach response plan should be on protecting individuals and their personal data. Consequently, breach notification should be seen as a tool enhancing compliance in relation to the protection of personal data.”16 Hieruit kan worden afgeleid dat het doel van de meldplicht uiteindelijk de bescherming is van natuurlijke personen tegen de aantasting van een fundamenteel recht. De meldplicht waarborgt dus het overkoepelende doel van de AVG.