Uitzondering op meldplicht aan betrokkene
ISOR:Uitzondering op melden van datalek aan betrokkene
Naar navigatie springen
Naar zoeken springen
|
Stelling
De verantwoordelijke hoeft het datalek niet te melden aan de betrokkene als:
- Het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, en/of:
- De verwerkingsverantwoordelijke passende technische en organisatorische beschermingsmaatregelen heeft genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling, en/of:
- De verwerkingsverantwoordelijke achteraf maatregelen heeft genomen om ervoor te zorgen dat het bij het eerste streepje bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen, of:
- De mededeling onevenredige inspanningen zou vergen; in dat geval komt in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd, of:
- Het een verwerking is die berust op een andere wettelijke bepaling waarvoor een specifieke meldplicht geldt AVG Art. 23; UAVG Art. 42, of:
- De organisatie een financiële onderneming is in de zin van de Wet op het financieel toezichtUAVG Art. 42.
- De verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit plaatsvindt, die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteitAVG overweging 18.
Toelichting
- Telecommunicatiewet: heeft eigen meldingsverplichting bij datalekkenTelecommunicatiewet Art. 11.3a.
- UAVG 42 luidt "Artikel 34 van de verordening is niet van toepassing op financiële ondernemingen als bedoeld in de Wet op het financieel toezicht". AVG Art. 34 betreft de meldplicht aan betrokkenen. Financiële ondernemingen moeten dus wél aan AP melden maar niet aan de betrokkenen. De financiële sector kent een eigen zorgplicht jegens betrokkenen.
- De volgende specifieke uitzonderingsgronden worden gesteldAVG Art. 23 lid 1:
- De nationale veiligheid;
- De landsverdediging;
- De openbare veiligheid;
- De voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
- Andere belangrijke doelstellingen van algemeen belang van de EU of van een lidstaat, met name een belangrijk economisch of financieel belang van de EU of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;
- De bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures;
- De voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;
- Een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten (a) tot en met (e) en punt (g) bedoelde gevallen;
- De bescherming van de betrokkene of van de rechten en vrijheden van anderen;
- De inning van civielrechtelijke vorderingen.
- De wettelijke maatregelen bevatten met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minsteAVG Art. 23 lid 2:
- De doeleinden van de verwerking of van de categorieën van verwerking;
- De categorieën persoonsgegevens;
- Het toepassingsgebied van de ingevoerde beperkingen;
- De waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte;
- De specificatie van de verwerkingsverantwoordelijke of de categorieën van verwerkingsverantwoordelijken;
- De opslagperiodes en de toepasselijke waarborgen, rekening houdend met de aard, de omvang en de doeleinden van de verwerking of van de categorieën van verwerking;
- De risico's voor de rechten en vrijheden van de betrokkenen, en:
- Het recht van betrokkenen om van de beperking op de hoogte te worden gesteld, tenzij dit afbreuk kan doen aan het doel van de beperking.
- De AVG geldt ook voor verwerkingsverantwoordelijken en verwerkers die de middelen verschaffen voor de verwerking van persoonsgegevens voor dergelijke persoonlijke of huishoudelijke activiteiten.
- Tot persoonlijke of huishoudelijke activiteiten kunnen behoren het voeren van correspondentie of het houden van adresbestanden, het sociaal netwerken en online-activiteiten in de context van dergelijke activiteitenAVG overweging 18.
Bovenliggende principe(s)
Deze norm realiseert het principe Meldplicht Datalekken via de conformiteitsindicator uitzondering.
Grondslag