Sinds 1 januari 2016 bent u verplicht om een (ernstig) datalek direct te melden aan de Autoriteit Persoonsgegevens, voorheen College bescherming persoonsgegevens (CBP). Of een datalek gemeld moet worden is afhankelijk van de (potentiële) impact van het datalek op de bescherming van de persoonsgegevens en de persoonlijke levenssfeer van betrokkenen. Maar wat verstaan we eigenlijk onder een datalek? Als er alleen sprake is van een zwakke plek in de beveiliging, spreken we van een beveiligingslek en niet van een datalek. In het laatste geval hoeft geen melding gedaan te worden aan de Autoriteit Persoonsgegevens (bron: De IT-Jurist).

We hebben in de praktijk al langer te maken met de “Wet bescherming persoonsgegevens” (Wbp), de Nederlandse uitwerking van een EU-privacyrichtlijn uit 1995. De Wbp geeft betrokkenen (degenen van wie persoonsgegevens worden verwerkt) een aantal rechten. Zoals het verzoeken om inzage, correctie of zelfs verwijdering van hun persoonsgegevens bij organisaties.

De Algemene verordening gegevensbescherming (AVG) is de Nederlandse implementatie van de General Data Protection Regulation (GDPR) en is op 25 mei 2018 in werking getreden en vervangt de hiervoor genoemde EU-privacyrichtlijn uit 1995. De Wbp komt dan ook te vervallen, net als nationale privacywetten van de andere EU-lidstaten.

Het is van belang al bij het aangaan van softwarecontracten rekening te houden met de AVG.