Vragen van het lid Van den Berg (JA21) aan de Staatssecretarissen van Economische Zaken en Klimaat en van Justitie en Veiligheid over het Datalek bij Basic-Fit (ingezonden 15 april 2026).

Antwoord van Staatssecretaris Van Bruggen (Justitie en Veiligheid) (ontvangen 3 juni 2026). Zie ook Aanhangsel Handelingen, vergaderjaar 2025–2026, nr. 2005.

Vraag 1

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de Autoriteit Persoonsgegevens al een onderzoek is gestart naar aanleiding van het datalek bij Basic-Fit?

Antwoord 1

De Autoriteit Persoonsgegevens (AP) doet geen mededelingen over eventuele lopende onderzoeken. Haar onafhankelijkheid brengt bovendien mee dat het aan de AP zelf moet worden gelaten in welke gevallen een onderzoek noodzakelijk en wenselijk is.

Vraag 2

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of er wordt gekeken naar een mogelijke overtreding van artikel 5 AVG?

Antwoord 2

Over die informatie beschik ik niet. Mocht het inderdaad zo zijn dat de AP onderzoek doet, dan informeert zij het kabinet daar niet over, ook niet desgevraagd. Op grond van artikel 52 AVG treedt de AP volledig onafhankelijk op en blijft zij vrij van externe invloed en vragen.

Vraag 3

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de regelgeving (voornamelijk de AVG) of de handhaving moet worden aangescherpt, wellicht omdat sommige AVG-artikelen onduidelijk of achterhaald zijn?

Antwoord 3

Ik beschik niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont, mede gezien de brede werkingssfeer van de AVG. Het komt eerder aan op naleving van de regelgeving; dat deze in voorkomende gevallen tekort schiet, is eerder toe te schrijven aan verschillende andere factoren dan aan de bepalingen in de AVG zelf.

Vraag 4

Basic-Fit valt niet onder de Cyberbeveiligingswet. Deelt u de opvatting dat grote bedrijven met veel data onder de reikwijdte van de Cyberbeveiligingswet zouden moeten vallen als «belangrijke entiteit»? Basic-Fit genereert namelijk zo’n 1,4 miljard omzet.

Antwoord 4

Omdat de NIS2-richtlijn streeft naar harmonisatie tussen de lidstaten, is in de NIS2-richtlijn bewust bepaald alleen essentiële en belangrijke entiteiten uit specifieke kritieke sectoren, subsectoren en soorten entiteiten onder het toepassingsbereik van de NIS2-richtlijn te brengen die zeer belangrijk zijn voor het functioneren van de economie en maatschappij. Incidenten bij deze entiteiten kunnen leiden tot verstoring of compromittering van hun dienstverlening. Deze kunnen grote economische schade veroorzaken of in sommige gevallen ook tot ontwrichting van de samenleving leiden. Bij de omzetting van de NIS2-richtlijn heeft het kabinet ervoor gekozen om niet meer te regelen dan op grond van de Europese regelgeving noodzakelijk is. Dit zou een nationale kop zijn en het kabinetsbeleid is dat er geen nationale koppen komen op Europese regelgeving.

Vraag 5

Als Basic-Fit onder de Cyberbeveiligingswet zou vallen, had volgens u beiden het datalek dan voorkomen kunnen worden (voornamelijk in het licht van de zorgplicht)?

Antwoord 5

Op grond van de zorgplicht in de Cyberbeveiligingswet moeten essentiële entiteiten en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen te beheersen. Zorgplichtmaatregelen dragen bij aan het voorkomen van een incident, het beperken van de impact van een incident, het efficiënt en effectief reageren op een incident en het zo snel mogelijk herstellen van een incident. Het risico op een datalek blijft echter altijd aanwezig en kan daarom nooit geheel worden voorkomen.

Vraag 6

Kunt u beiden iedere vraag afzonderlijk van elkaar beantwoorden?

Antwoord 6

De vragen zijn afzonderlijk beantwoord.