Wbp en datalekken

De Wet bescherming Persoonsgegevens is sinds 1 januari 2016 gewijzigd naar aanleiding van een groot aantal incidenten, waarbij door een inbreuk op de beveiliging van, onder meer, websites persoonsgegevens vrijkwamen met nadelige gevolgen voor de persoonlijke levenssfeer. De Wbp regelt nu, in artikel 34a, de zogenaamde meldplicht datalekken en ook is de bestuurlijke boetebevoegdheid van de Autoriteit Persoonsgegevens uitgebreid. Ook bij overtreding van de meldplicht datalekken kan de Autoriteit Persoonsgegevens een bestuurlijke boete opleggen. De toezichthouder kan  sancties van € 810.000 (voorheen € 4.500) opleggen. Alleen ernstige datalekken moeten worden gemeld via een webformulier. De gemeente moet binnen 24 uur datalekken bij de toezichthouder melden. Voorbeelden van datalekken zijn: een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand door een hacker. Vaak zijn menselijke fouten de oorzaak van datalekken.

Ketenaansprakelijkheid en bewerkersovereenkomst

De wet meldplicht Datalekken gaat uit van een vorm van ketenaansprakelijkheid. KING/IBD hebben een bewerkersovereenkomst ontwikkeld. De bewerkersoveernkomst dient te waarborgen dat de verplichtingen die vanuit de Wbp zijn gesteld, ook door de leverancier worden nageleefd. Daartoe dienen in de bewerkersovereenkomst afspraken te worden gemaakt voor het beschermen van de persoonsgegevens. Deze afspraken zijn voornamelijk gericht op de vertrouwelijkheid en integriteit van de gegevens van uw gemeentelijke klanten

Zo staat in deze overeenkomst  het volgende:

De bewerker zal onmiddellijk bij het ontdekken van beveiligingsinbreuken of datalekken deze melden aan de verantwoordelijke, al dan niet onder verbeurte van een boete in geval van niet-nakoming, conform artikel 9.3 van deze overeenkomst.

Calamiteitenplan en datalekken

De meeste gemeenten hebben het landelijke informatiebeveiligingsplan van de IBD vertaald naar de eigen organisatie. Dat is een waarborg op strategisch niveau. In feite is datalekken een calamiteit, gelijk een wateroverlast in een archiefruimte. Voor de uitvoering van de meldplicht datalekken kan de uitwerking op operationeel niveau in het calamiteitenplan een aanrader zijn.

Welke gemeente of andere organisatie heeft de uitvoering van deze wet anders belegd ? Graag ervaringen delen.