Moet mijn bedrijf een datalek melden bij de Autoriteit Persoonsgegevens?

Sinds de meldplicht datalekken (AVG, art. 33/34) moet u een datalek meteen (binnen 72 uur) melden bij de Autoriteit Persoonsgegevens (AP), tenzij het onwaarschijnlijk is dat de inbreuk een risico voor de rechten en vrijheden van personen oplevert. Is er bijvoorbeeld echt gevoelige data gelekt of kans op misbruik, dan moet u ook de betrokkenen informeren. Alleen als het lek triviaal is en geen schade kan veroorzaken, mag u afzien van melding. Bij twijfel is melden aan de AP vaak verstandig: als later blijkt dat er wel risico was, kan een boete volgen voor niet-melden. Zorg dus voor een intern datalekprotocol en reageer snel na ontdekking van een lek.