Onlangs heeft de Tweede Kamer de wet die een meldplicht datalekken en een boetebevoegdheid voor het CBP introduceert met algemene stemmen aangenomen. Gedurende de behandeling van de wet heeft de Tweede Kamer enkele wijzigingen op het oorspronkelijke voorstel aangebracht. De Eerste Kamer heeft vervolgens laten weten dat zij graag het wetsvoorstel nog voor de komende kamerwisseling zou willen behandelen (dus nog voor juni dit jaar). Het zou dus wel eens snel kunnen gaan met dit wetsvoorstel. Een goed moment om te kijken waar we nu staan.

De wet die nu ter goedkeuring bij de Eerste Kamer ligt houdt, heel in het kort, het volgende in:

• veel inbreuken op beveiligingsmaatregelen zullen straks moeten worden gemeld bij het College Bescherming Persoonsgegevens (‘hacks’, datalekken, etc.);
• als de inbreuk waarschijnlijk privacygevolgen heeft voor de betrokken consument, moet ook de consument worden geinformeerd, tenzij de gegevens die gehackt zijn al voldoende versleuteld waren;
• er moet bovendien een overzicht worden bijgehouden van alle inbreuken die zijn gemeld;
• in bewerkersovereenkomsten moeten voortaan ook afspraken worden gemaakt over de nakoming van alle verplichtingen rondom beveiligingsinbreuken;
• de bestaande boete op schending van de meldplicht of het exportverbod wordt verhoogd van 4.500 euro naar 20.250 euro;
• het College Bescherming Persoonsgegevens krijgt de bevoegdheid om op andere overtredingen van de wet een boete op te leggen tot maximaal 810.000 euro;
• die hogere boete mag echter alleen worden opgelegd nadat het College een bindende aanwijzing aan de overtreder heeft gegeven, tenzij de overtreding opzettelijk is begaan of het gevolg is van ernstige verwijtbare nalatigheid;
• het College mag bovendien een boete van maximaal 810.000 euro of 10% van de omzet van rechtspersonen opleggen indien de bindende aanwijzing niet wordt nageleefd;
• het College moet voorafgand aan het opstellen van beleidsregels over de uitoefening van boetes overleggen met het ministerie van Justitie en van BZK;
• het College Bescherming Persoonsgegevens mag samenwerkingsverbanden aangaan met andere toezichthouders en in dat kader informatie uitwisselen;
• het College Bescherming Persoonsgegevens wordt in plaats van de ACM de bevoegde toezichthouder bij inbreuken op de beveiliging bij telecomaanbieders.

Ik zal op enkele van deze punten hierna wat verder ingaan.

Alles bij de bron; DirkZwagerIT