33 662 Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens alsmede uitbreiding van de bevoegdheid van het College bescherming persoonsgegevens om bij overtreding van het bepaalde bij of krachtens de Wet bescherming persoonsgegevens een bestuurlijke boete op te leggen (meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Cbp)

Nr. 14 AMENDEMENT VAN HET LID VAN WIJNGAARDEN C.S.

Ontvangen 3 februari 2015

De ondergetekenden stellen het volgende amendement voor:

In artikel I, onderdeel B, onderdeel 2, wordt in artikel 34a, zesde lid, «Het eerste en tweede lid zijn niet van toepassing» vervangen door: Het tweede lid is niet van toepassing.

Toelichting

Dit amendement regelt dat de verantwoordelijke het College bescherming persoonsgegevens ook onverwijld in kennis stelt van een inbreuk op de beveiliging tegen verlies of enige vorm van onrechtmatige verwerking, die ernstige nadelige gevolgen heeft voor de verwerkte persoonsgegevens, indien de verantwoordelijke passende technische beschermingsmaatregelen heeft genomen waardoor de persoonsgegevens die het betreft onbegrijpelijk of ontoegankelijk zijn voor een ieder die geen recht heeft op kennisname van de gegevens (versleuteling van de gegevens).

Het tweede lid van het voorgestelde artikel 34a blijft wel uitgezonderd ingeval sprake is van versleutelde gegevens. Dit heeft tot gevolg dat de verantwoordelijke de betrokkene in een dergelijk geval niet onverwijld in kennis hoeft te stellen van een inbreuk op de beveiliging tegen verlies of enige vorm van onrechtmatige verwerking. Het is bij adequate versleuteling van de persoonsgegevens immers niet waarschijnlijk dat de inbreuk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer. Echter, op grond van het zevende lid van het voorgestelde artikel 34a kan het College van de verantwoordelijke verlangen alsnog een kennisgeving aan de betrokkene te doen.

Versleutelde persoonsgegevens zijn in de regel juist extra gevoelig (bijvoorbeeld: email-, credit card-, bankgegevens) en kunnen ontsleuteld worden. Als ontsleuteling een reële dreiging vormt, kan het College gebruik maken van artikel 34a, zevende lid, en van de verantwoordelijke verlangen dat hij alsnog een kennisgeving doet aan de betrokkene. Voor een kennisgeving kan aanleiding zijn indien het College, na een beoordeling van de melding en de daarbij door de verantwoordelijke verstrekte informatie, van oordeel is dat een kennisgeving aan betrokkene op zijn plaats is, in verband met het aanbevelen van maatregelen om de negatieve gevolgen van de inbreuk te beperken (zoals het wijzigen van wachtwoorden).

Van Wijngaarden Oosenbrug Schouw