De rol van de IT’er onder de Wet meldplicht datalekken

Kan dit datalek bovendien leiden tot ‘ongunstige gevolgen voor de persoonlijke levenssfeer van de betrokkenen’, dan moeten ook zij op de hoogte worden gesteld. Aan de inhoud van de meldingen worden vergaande inhoudelijke en kwaliteitseisen gesteld.
Wij gaan uit van de volgende situatie. De entiteit of rechtspersoon waar het beveiligingsincident zich voordoet is de verantwoordelijke in de zin van de Wbp. Dit houdt in dat deze entiteit – die het doel van en de middelen voor3 de betreffende gegevensverwerking bepaalt – formeel de adressant en het aanspreekpunt voor de AP en de betrokkene(n) is en de verplichting heeft om het datalek te melden. De IT-afdeling bevindt zich in deze voorbeeldsituatie (juridisch gezien) onder hetzelfde dak als de directie en de juridische afdeling of privacy organisatie (PO). Wij gaan er verder vanuit dat de datalekkende organisatie een PO heeft en dat deze afdeling eigenaar is van of verantwoordelijk voor beoordelingen het doen van de melding.