Beleidsregels openbaarmaking door de Autoriteit Persoonsgegevens

4 MB·Dutch

by  Nederlandse overheid

Beleidsregels openbaarmaking door de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens
Geletop artikel 3 en 8 van de Wet openbaarheid van bestuur,
In aanmerking nemende dat de AutoriteitPersoonsgegevens, geletop hetbepaalde in artikel 4:81
van de Algemene wetbestuursrecht, inzicht wenst te gevenin zijn openbaarmakingsbeleïd met
het oog op dehemin artikel 51 en 52Wetbescherming persoonsgegevens opgedragen
toezichthoudende enadviserende taken,
Steltde gewijzigdeBeleidsregels openbaarmakingdoor de AutoriteitPersoonsgegevensvasten
trekt de geldende Beleidsregels actieve openbaarmakingdoor het CBPin:
1. Definities
In ditbesluit wordtverstaan onder:
a. Autoriteit Persoonsgegevens: het Collegebeschermingpersoonsgegevens, genoemd inartikel
51 van de Wetbeschermingpersoonsgegevens (Wbp);
a. Awb: Algemene wetbestuursrecht;
b. (bedrijfs)vertrouzt’etjkegegevens: gegevens zoalsbedoeld in artikel 10, eerste lid, van deWet
openbaarheid vanbestuur (Wob);
c. belanghebbende:degene wiensbelang rechtstreeksbij eenbesluit isbetrokkenzoalsbedoeld in
artikel 1:2 Awb.
d, bestuurlijke boete: debestraffende sanctie, inhoudende een onvoorwaardelijke verplichting tot
betalingvan een geidsomals bedoeld in artikel 5:40Awb;
e. bindendeaanwijzing:eenaanwijzingalsbedoeld in artikel 66, derde lid, Wbp;
f. CBP: Collegebescherming persoonsgegevens;
g. cornmttnicatk’k-anaal: elkmedium van informatie waaronder drukpers, radio, televisie, internet,
bijeenkomstenen overige media;
h. definitievebevindingen:de eindbevindingen van onderzoekdoor de Autoriteit
Persoonsgegevens;
i. handhar’ingsbestuiten: besluiten van de AutoriteitPersoonsgegevenster handhaving van de Wbp
en daaraangerelateerde wet- en regelgevingop grond van artikel 61, vierde lid, 65 en 66 Wbp en
artikel 5:32, eerste lid, Awb, zoals eenlast onderbestuursdwang, een last onder dwangsomofeen
boetebesluit. Tevens worden hieroverige uit de toepassing vandeze artikelenvoortvloeiende
besluiten verstaan, waaronderbesluiten omtrentinvordering;
j. onderzoek: ambtshalve onderzoek ofonderzoek opverzoekvaneenbelanghebbendezoals
bedoeld in artikel 60, eerste lid, Wbp;
k. deonderzochte (rechts)persoon: de natuurlijke persoon, rechtspersoonofhetbestuursorgaan
waarbij deAutoriteit Persoonsgegevens een onderzoek verrichtnaar deverwerking van
persoonsgegevens;
1. openbaannakingsbestuit: een schriftelijkebeslissingvan de AutoriteitPersoonsgegevens die strekt
totopenbaarmakingvan in hetbesluitgenoemde documenten;
m. overtreding: eengedragingdie in strijd is met hetbepaaldebij ofkrachtensenigwettelijk
voorschriftuitdeWbp, de Wet politiegegevens (Wpg), deWetjustitiëleen strafvorderlijke
gegevens (Wjsg), deWetbasisregistratie personen Wbpr), ofandere wetgeving die deAutoriteit
Persoonsgegevenseenbevoegdheid geeft om toezicht tehouden;
n. overtreder:degene die deovertreding pleegtofmedepleegt. Overtredingenkunnenworden
begaan doornatuurlijke personen en rechtspersonen. Artikel 51, tweede en derde lid, van het
WetboekvanStrafrecht is van overeenkomstigetoepassing.
o. toezichtbezock: onderzoek ter plaatsebij eennatuurlijkpersoon, rechtspersoon of
bestuursorgaanom toe tezien op de verwerking van persoonsgegevensovereenkomstighetbij of
krachtens de wetbepaalde;
p. verantwoordelijke: verantwoordelijke zoals bedoeld in artikel 1, onder d, Wbp;
q. Wbp:Wetbeschermingpersoonsgegevens;
r. Wob: Wet openbaarheid vanbestuur;
s. wetgevingsadvies: advies van de Autoriteit Persoonsgegevensovervoorstellen van weten
ontwerpen van algemene maatregelenvanbestuurdie geheel ofvoor eenbelangrijkdeel
betrekking hebbenop deverwerkingvanpersoonsgegevens zoals bedoeld in artikel 51, tweede
lid, Wbp;
t. zienswijze van deAutoriteitPersoonsgegevens: zienswijzevan de Autoriteit Persoonsgegevens
ingenomenop verzoekvan één ofmeer verantwoordelijken over nieuwe ofonopgelostevragen
over de toepassingofuitleg vandeWbp, de Wpg, deWjsg, deWbpr, ofandere wetgeving die in
belangrijke matebetrekkingheeft op de verwerking van persoonsgegevens, zoalsbedoeld in de
Regels voor hetverzoek om eenzienswijze (Staatscourant 11 april 2008, nr. 71).
2. Algemene uitgangspunten
2.1 De Autoriteit Persoonsgegevensverschaftuiteigenbeweging informatie overhetbeleid,
daaronderbegrepende voorbereiding en uitvoeringdaarvan methet oog op (i) het tijdig
en afdoende informeren van het publiek overovertredingen die henpersoonlijk (kunneru
treffenende naleving van de geconstateerde overtredingen.
ii) transparantie overzijnbeleid en de uitvoeringdaarvan, (iii) het afleggen van
verantwoording over dewijze waarop de AutoriteitPersoonsgegevensvan zijn
bevoegdheden gebruikmaakt, (iv) het effectueren vanhetbeleid van de Autoriteit
Persoonsgegevens.
2.2 1-letverschaffen van informatie door de AutoriteitPersoonsgegevensblijft achterwege
voor zover artikel 10 Wob ofbijzondere omstandighedenzoals bedoeld in artikel 4:84
Awb zichhiertegenverzetten.
2.3 Namenvan verantwoordelijken resp. van de onderzochte (rechts)persoonworden door
de AutoriteitPersoonsgegevens nietaangemerktals (bedrijfs)vertrouwelijke gegevens,
tenzij de AutoriteitPersoonsgegevens op zwaarwichtige gronden andersbeslist. Voor
zover denaamvan eennatuurlijkepersoon deel uitmaakt van debedrijfsnaam, wordt de
bedrijfsnaamniet gepubliceerd.
3. Bevindingen
3.1 De AutoriteitPersoonsgegevensmaaktde definitieve bevindingen, met uitzondering van
bevindingen in het kader van eenboeteonderzoek,na vaststelling daarvan openbaar.
3.2 In de definitievebevindingen is tevenshet standpuntvande onderzochte (rechts)persoon
ten aanzienvan dezebevindingen samengevat en zakelijk weergegeven.
3.3 Voorafgaande aan openbaarmakingvande definitievebevindingen wordt aan de
onderzochte (rechts)persoon een voornementot openbaarmaking toegezonden. In het
voornemeniseen termijnvan tien werkdagenopgenomen teneinde de onderzochte
(rechts)persoonin de gelegenheid testellenomschriftelijk engemotiveerd aan de
AutoriteitPersoonsgegevens te berichtenofde bevindingen dan wel hun standpuntenop
de bevindingenalsbedoeld inartikel 3.2 volgens hen (bedrijfs)vertrouweijkegegevens
bevatten alsbedoeld in artikel 10, eerste lid, van deWob. Gelijktijdig kan de onderzochte
(rechts)persoon zijn bedenkingen tegen de voorgenomen openbaarmakingvan de
bevindingenaan de Autoriteit Persoonsgegevenskenbaar maken metvermeldingvan de
relevanteuitzonderingsgronden uit artikel 10, tweede lid, van de Wob. Deze termijn
vervalt wanneerde onderzochte (rechts)persoon te kennenheeft gegeven geen gebruik te
zullen maken van deze mogelijkheid.
3.4 Nahet verstrijken van de termijn als bedoeld in artikel 3.3van deBeleidsregels, beslist de
Autoriteit Persoonsgegevens ten aanzienvan de openbaarmaking van de definitieve
bevindingen.
3.5 Openbaarmaking geschiedtniet eerderdan tienwerkdagenna verzendingvanhet
openbaarmakingsbesluit. In geval van openbaarmakingworden het
openbaarmakingsbesluiten de openbareversievande definitievebevindingen
toegezondenaan de onderzochte (rechts)persoon.
3.6 Gedurende deze termijn van tien werkdagen kan de onderzochte (rechts)persoon die
bezwaarheeft tegen het openbaarmakingsbesluitrechtsmiddelen instellen.
3.7 De termijnvan tien werkdagen zoalsbedoeld in artikel 3.3en de termijnvan tien
werkdagenzoals bedoeld in artikel 3.5vervallenindien de onderzochte (rechts)persoon
de inhoud van debevindingen (deels) zelfopenbaarheeft gemaakt, ofopenbaar heeft
doenmaken, ofschriftelijk aan de AutoriteitPersoonsgegevens te kennenheeft gegeven
geen bedenkingen te hebben tegen openbaarmaking.
4. Handhavingsbesluiten
4.1 DeAutoriteitPersoonsgegevens maakthandhavingsbesluiten openbaar.
4.2 In hethandhavingsbesluitis tevens het standpunt van de onderzochte (rechts)persoon
ten aanzien vanhet voornemen tothandhavingsamengevatenzakelijk weergegeven.
4.3 Voorafgaande aanopenbaarmakingvan hethandhavingsbesluitwordt aan de
onderzochte (rechts)persoonperbriefeen voornemen tot openbaarmakingtoegezonden.
In het voornemenis een termijn van tien werkdagenopgenomen teneinde de onderzochte
(rechts)persoonin de gelegenheid testellen omschriftelijken gemotiveerd aande
Autoriteit Persoonsgegevens te berichten ofhet handhavingsbesluitdanwel zijn
standpuntenop het voornemen tothandhavingalsbedoeld in artikel4.2 volgens de
onderzochte (rechts)persoon (bedrijfs)vertrouwelijke gegevensbevatals bedoeld in
artikel 10, eerste lid, van de Wob. Gelijktijdigkan de onderzochte (rechts)persoon
bedenkingen tegen het voornemen tot openbaarmakingvanhethandhavingsbesluit
kenbaarmaken met vermelding van de relevante uitzonderingsgronden uit artikel 10,
tweedelid, vandeWob.Deze termijn vervalt wanneer de onderzochte (rechts)persoon te
kennen heeft gegevengeen gebruik te zullenmaken van deze mogelijkheid.
4.4 Na het verstrijken vande termijn alsbedoeld in artikel 4.3 van de Beleidsregels, beslistde
AutoriteitPersoonsgegevens ten aanzien t’an de openbaarmaking van het
handhavingsbesluit. In geval van openbaarmakingwordenhet openbaarmakingsbesluit
en de openbare versie van hethandhavingsbesluit toegezonden aan de onderzochte
(rechts)persoon totwiehet handhavingsbesluit is gericht.
4.5 Openbaarmakingzoals bedoeld in artikel4.1 geschiedtnieteerder dan tien werkdagen na
verzendingvai-thet openbaarmakingsbesluit.
4.6 Gedurende deze termijn van tien werkdagen kan de onderzochte (rechts)persoondie
bezwaar heeft tegen (gedeeltelijke) openbaarmakingvan het handhavingsbesluit
rechtsmiddelen aanwenden.
4.7 In gevalvanopenbaarmaking wordt op de website van de Autoriteit Persoonsgegevens
vermeld ofhethandhavingsbesluitonherroepelijk is ofnog rechtsmiddelenopen staan
tegen het handhavingsbesluit.
4.8 De termijnvan tien tverkdagen zoals bedoeld inartikel4.3 en de termijn van tien
werkdagenzoals bedoeld in artikel 4.5 vervallen indien de onderzochte (rechts)persoon
de inhoud van het handhavingsbesluit (deels) zelfopenbaar heeft gemaakt, ofopenbaar
heeft doen maken, of schriftelijk aan de AutoriteitPersoonsgegevens te kennenheeft
gegeven geenbedenkingen te hebben tegen openbaarmaking.
5. Overige besluiten
5.1 De Autoriteit Persoonsgegevens maakt besluiten die niet totéén ofmeer
belanghebbenden zijn gericht bekend door middel van een kennisgeving van het besluit
of van de zakelijke inhoud ervan in de Staatscourant tenzij bij wettelijkvoorschriftanders
isbepaald.
5.2 de Autoriteit Persoonsgegevens maakt besluiten waarop de uniformeopenbare
voorbereidingsprocedurevan afdeling3.4 Awb van toepassing is, openbaar, tenzij de in
artikel 2.2 genoemde belangen zich daartegen verzetten.
5.3 De AutoriteitPersoonsgegevens maakt besluiten genomen in het kader van artikel 23,
eerste lid, onderf, Wbp openbaar, tenzij de Autoriteit Persoonsgegevensop
zwaarwichtige gronden anders beslist.
5.4 In het geval de AutoriteitPersoonsgegevens een verzoek om informatie als bedoeld in
artikel 3 van de Wob inwilligt, maakt het de teverstrekken informatie voor een ieder
openbaarop zijn website.
6. Wetgevingsadviezen
6.1 De Autoriteit Persoonsgegevens maakt wetgevingsadviezen openbaar, nadat de inhoud
van het voorstel waarop het advies ziet openbaar is gemaakt, tenzij het CBP op
zwaarwichtige gronden andersbeslist.
7. Zienswijze van deAutoriteit Persoonsgegevens
7.1 De AutoriteitPersoonsgegevens maakt zijn zienswijzen zoalsbedoeld in de Regels voorhet
verzoekom een zienswijze, Staatscourant 11 april 200$, nr. 71, openbaar, tenzij de Autoriteit
Persoonsgegevens op zwaarwichtige gronden anders beslist.
7.2 De Autoriteit Persoonsgegevens stelt de verantwoordelijke gedurende een termijn van
tien werkdagen na toezending van de niet-openbareversie van de zienswijze in de
gelegenheid om schriftelijk en gemotiveerd aan de AutoriteitPersoonsgegevens mede te
delen welke onderdelen vande zienswijze hij als (bedrijfs)vertrouwelijk aanmerkt, tenzij
de verantwoordelijke schriftelijk te kennen heeft gegeven van deze gelegenheid geen
gebruik te willen maken.
7.3 Openbaarmaking zoalsbedoeld onder artikel 7.1 geschiedt niet eerder dan tien
werkdagen nadat de openbare versie ter kennisgeving is toegezonden aan de
verantwoordelijke.
7.4 De termijn van tien werkdagen zoals bedoeld in artikel 7.2 en de termijn van tien
werkdagen zoalsbedoeld in artikel 7.3 vervallenindiende verantwoordelijke de inhoud
van dezienswijze (deels) zelf openbaar heeft gemaakt, ofopenbaar heeft doen maken of
schriftelijkaanhet CBP tekennen heeft gegeven geen bedenkingen tehebben tegen
openbaarmaking.
8. Persberichten en mededelingen
8.1 DeAutoriteit Persoonsgegevensbrengtvia de communicatiekanalen die het daartoe
geradenachtpersberichten en/ofmededelingennaar buiten omtrent bevindingen,
besluiten, wetgevingsadviezen, zienswijzen en overige resultaten, tenzij de in artikel 2.2
genoemdebelangen zichdaartegen verzetten. Betrefthet persberichten/ofmededeling
een onderzochte (rechts)persoon, dan wordthet persberichten/ofde mededeling vooraf
terkennisgevingaan deze (rechts)persoontoegezonden.
8.2 Persberichten en mededelingen diebetrekkinghebben op besluiten zoalsbedoeld in in
artikel 4.1 en overigebesluiten alsbedoeld in artikel 5 worden voorafterkennisgeving
toegezonden aan de onderzochte (rechts)persoon.
8.3 Persberichtenen mededelingen diebetrekkinghebben op hevil7dingen alsbedoeld in
artikel 3 van de dezebeleidsregels en zienswijzen van de Autoriteit Persoonsgegevens
zoalsbedoeld in artikel 7vandezebeleidsregels worden voorafter kennisgeving
toegezonden aan de onderzochte (rechts)persoonrespectievelijkde verantwoordelijke.
8.4 DeAutoriteit Persoonsgegevens kan indienzwaarwichtige gronden daartoe aanleiding
geven via de communicatiekanaten die het daartoegeraden acht persberichtenen
mededelingen naarbuitenbrengen over toezichthezoeken, lopende onderzoeken en
anderelopende werkzaamheden.
9. Intrekking eerderbesluit
9.1 DeBeleidsregels actieveopenbaarmakingdoorhet CB? van 5 november2013 (Stcrt. 2013,
ur.31433, 14 november2013) worden ingetrokken.
10. Aanhaling
10.1 Ditbesluit wordt aangehaald als: Beleidsregels openbaarmaking door de Autoriteit
Persoonsgegevens.
11. Inwerkingtreding
11.1 Dit besluit treedtin werking een dagna publicatiein de Staatscourant.
Den Haag, 9juni2015
Het Collegebeschermingpersoonsgegevens
J. Kohnstamm
Voorzitter
POSTADRES Postbus93374, 2509M Den Haag
TEL [phone] .x 070- 8588501
De meldphchtdatalekken
in de Wet bescherming persoonsgegevens (Wbp)
Beleidsregels voor toepassing van artikel 34a van de Wbp
8december2015
DATUM
INHOUDSOPGAVE
Samenvatting 4
Kader 4
Afwegingen 4
Datalek 5
Melden aan de AutoriteitPersoonsgegevens 5
Melden aan debetrokkene 6
Uitzonderingenop de meldplicht 6
Boete 7
Inleiding 8
Leeswijzer 9
1. Is de meldplicht datalekken uit de Wbp op mij van toepassing’ 11
1.1. Is ersprake van verwerkingvan persoonsgegevens? 11
1.2. Ben ik de verantwoordelijke voor de verwerking ofdiens vertegenwoordiger? 12
1.3. Is deWbp van toepassing op de verwerking? 13
2. Wat moet ik regelen als ik persoonsgegevens laat verwerken door een bewerker? 16
2.1. Waarom is het belangrijkom dit goed te regelen? 16
2.2. Waarover moet ikafsprakenmaken met de bewerker’ 16
2.3. Hoemoetik de afsprakenvastteggen die ik met de bewerker maak7 17
2.4. Watals ikgebruik maakvan een bewerkerin hetbuitenland7 17
3. Is dit een datalek’ 19
3.1 Is ersprake van een inbreuk op de beveiliging? 19
3.2 Zijn bij de inbreukpersoonsgegevens verlorengegaan? 21
3.3 Kan ik redelijkerwijsuitsluiten dat erpersoonsgegevens onrechtmatig zijnverwerkt?..21
4. Moet ik dit datalek melden aan de Autorïteit Persoonsgegevens’ 23
4.1. Valt het datalek (gedeeltelijk) onder de meldplicht datalekken uit deTw 23
4.2. Iser sprake van (een aanzienlijke kans op) ernstige nadelige gevolgen voorde
bescherming van persoonsgegevens? 24
4.2.1. Zijner persoonsgegevens van gevoelige aard gelekt? 26
4.2.2. Leiden de aard en omvangvan de inbreuktot(een aanzienlijkekans op) emstige
nadeligegevolgen’ 27
5. Hoe moet ik het datalek melden aan de Autoriteit Persoonsgegevens’ 30
6. Wanneer moet ik het Uatalek melden aan de Autoriteit Persoonsgegevens? 31
7. Moet ik het datalek melden aan de betrokkene? 32
7.1. Ben ik een financiële onderneming zoals bedoeld indeWet op het financieel toezicht?33
AutoriteitPersoonsgegevens 1 De meldplicht datalekken in deWbp 1
7.2. Biedt de cryptografie die ikheb toegepast voldoende bescherming om de melding aan
de betrokkene achterwege te kunnen laten2 33
7.2.1. Zijnde persoonsgegevens blootgesteld aan vernietiging ofaantasting? 35
7.2.2. Waren de persoonsgegevens versleuteld op het momentdat de inbreuk
plaatsvond? 35
7.2.3. Is de versteuteling adequaat2 36
7.2.4. Is het restrisicoacceptabel? 37
7.3Bieden deandere technische beschermingsmaatregelen die ikheb toegepast vo]doende
bescherming om de melding aan debetrokkeneachterwege te kunnen laten2 38
7.4. Zal het datalek waarschijnlijk ongunstige gevolgen hebben voor de persoonlijke
levenssfeer van debetrokkene7 39
7.5. Zijn er zwaarwegende redenen om de melding aan debetrokkeneachterwege te laten?41
8. Hoe moet ik het datalek melden aan de betrokkene’ 43
9. Wanneer moet ik het datalek melden aan de betrokkene? 45
10. Welke gegevens moet ik vastieggen over dit datalek? 46
11. Wat doet de Autoriteit Persoonsgegevens met mijn melding? 48
11.1 Administratieveafhandeling 48
11.2Inhoudelijke afhandeling 48
11.3Register vanontvangen datalekmetdngen 4$
11.4 Handhaving 49
Bijlage: gegevens in de melding 51
Aard van de melding 51
Wettelijk kader voor de melding 51
Algemene informatie encontactgegevens 51
Gegevens over het datalek 52
Vervolgacties naar aanleiding van het datalek 53
Inlichtenvan de betrokkenen 53
Technischebeschermingsmaatregelen 54
Internationale aspecten 54
Vervolgmelding 54
Bijlage: Tekst van de geciteerde wetsartikelen 55
Artikel 1 Wbp 55
Artikel2Wbp 55
Artikel 3 Wbp 56
Artikel4Wbp 56
Artikel l3Wbp 56
Artikel 14 ‘vVbp 56
Artikel 34a Wbp 57
Autoriteit Persoonsgegevens1 De meldplichtdatalekken in deWbp 2
Artikel 43 Wbp.58
Artikel Sla Wbp 58
Artikel 60 Wbp 59
Artikel 65 Wbp 59
Artikel 66 Wbp 59
Artikel 1.1 Tw 60
Artikel ll.3a Tw 60
Artikel 4Verordening611/2013 61
Autoriteit Persoonsgegevens 1 De meldplichtdatalekken in deWbp 3
_____________________________________________________________________________
SAMENVATTING
Op 1 januari 2016 gaatdemeldplichtdatalekkenin.Dezemeldplichthoudtin dat
organisaties (zowelbedrijven alsoverheden) onvenvijldeenmelding moeten doenhij
de Autoriteit Persoonsgegevenszodra zij eenernstig datalekhebben. Enineenaantal
gevallen moetenzij het datatekook melden aandebetrokkenen (de mensenvantvie
de persoonsgegevens zijn gelekt).
Kader
Iedereenheeft recht opeerbiediging enbescherming van zijn persoonlijkelevenssfeer
eneen zorgvuldigeomgang met zijn persoonsgegevens. Deregelshiervoor zijn
vastgelegd in deWetbeschermingpersoonsgegevens (Wbp). Hierinstaatdatu de
persoonsgegevensdie ii verwerktmoetbeveiligentegenverlies entegen
onrechtmatigeverwerking (artikel 13 Wbp). Eendatalekmoet worden gemeld aande
Autoriteit Persoonsgegevens als het leidttoteen aanzienlijkekans opernstige
nadelige gevolgen voor debeschermingvan persoonsgegevens, of als het ernstige
nadeligegevolgenheeft voor de beschermingvanpersoonsgegevens (artikel Ma,
eerste lid, Wbp). 1-let datalekmoetdaarnaastookworden gemeld aandebetrokkene
indienhet waarschijnlijkongunstige gevolgen zal hebbenvoor diens persoonlijke
levenssfeer(artikel 34a, tweede lid, Whp).
Afwegingen
Bij de beslissing of u een gebeurtenis die zich heeft voorgedaanmoet meldenaande
AutoriteitPersoonsgegevens, en eventueel daarnaast ook aan debetrokkene, moet u
een aantal afwegïngen maken. Het onderstaande schema geeft deze afwegingenweer.
[
Heeftzich een
beveiligingsinciclent
Beveiligingsincident
voorgedaan?
Zijn bij hetbeveiligingsincident
persoonsgegevens verloren gegaan, ofis
onrechtmatige verwerking redelijkerwijs niet Datalek
uitte sluiten?
Gaat hetom persoonsgegevens van gevoelige t
aard, ofiserom een andere reden sprake van Meldenaande
(een aanzienlrjke kans op) ernstige nadehge Autoriteit
gevolgen voorde bescherming van de verwerkte Peoonsgegevens
persoonsgegevens?
Waren niet alle gelekte gegevens (goed)
versleuteld, ofheefthetdatalekom andere
redenenwaarschijnlijkongunstige gevolgen
voorde persoonlijke levenssfeer van de
betrokkene?
Autoriteit Persoonsgegevens 1 De meldplicht datalekken in deWbp 4