Een wat? Ja, een bulkmelding. De Autoriteit Persoonsgegevens gaat er onder bepaalde voorwaarden mee akkoord om datalekken bij grootschalige postverzending in bulk te melden. Veel grote organisaties, zoals banken en verzekeraars, verzenden grote aantallen poststukken met daarin gevoelige informatie. Deze organisaties moeten zich inspannen om te zorgen dat deze poststukken bij de juiste ontvanger terecht komen. Desondanks komt een klein deel van de poststukken bij de verkeerde ontvanger terecht, wordt geopend geretourneerd of komt nooit aan. Deze incidenten vallen onder de meldplicht datalekken en moeten in ieder geval worden gemeld aan de Autoriteit Persoonsgegevens.
Bulk melding
Organisaties die zijn aangesloten bij de Pensioensfederatie, het Verbond van Verzekeraars, de Nederlandse Vereniging van Banken alsmede een aantal andere organisaties mogen van de Autoriteit deze datalekken in bulk melden. Na een proefperiode zal worden besloten of de mogelijkheid om datalekken in bulk te melden breder moet worden opengesteld. De mogelijkheid om in bulk te melden geldt voor individuele poststukken en niet voor een complete zending poststukken die door een derde wordt aangetroffen.
Voorwaarden
Onder de volgende voorwaarden kan een incident in bulk worden gemeld:
- Het in bulk melden van datalekken gebeurt door een specifieke functionaris binnen de organisatie;
- De functionaris beschikt over een overzicht van alle incidenten die in bulk zijn gemeld;
- Inhoudelijk moeten de incidenten vergelijkbaar zijn, bijvoorbeeld de aard van de persoonsgegevens en de mogelijke gevolgen;
- De incidenten worden uiterlijk op de overeenkomstige dag van de eerstvolgende kalendermaand na de dag van ontdekking gemeld;
- Alleen bedoeld voor verantwoordelijken voor wie het melden van ieder vermist of geopend retour ontvangen poststuk een onredelijke administratieve last betekent;
- De Autoriteit kan de mogelijkheid om datalekken in bulk te melden beëindigen.
Hoe doe je een bulkmelding?
De Autoriteit Persoonsgegevens heeft een elektronisch formulier op haar website beschikbaar gesteld. De bulkmelding verschilt niet veel van de normale datalekmelding.
De Autoriteit Persoonsgegevens heeft op 23 februari 2017 een notitie geschreven over het doen van een bulkmelding, een regeling onder de huidige regelgeving dus. Na 25 mei 2018 vervalt de Wet Bescherming Persoonsgegevens en is de Algemene Verordening Gegevensbescherming van kracht. Of de mogelijkheid tot het doen van een bulkmelding blijft bestaan, zal de Autoriteit Persoonsgegevens de komende maanden onderzoeken. Als het leidt tot aanpassingen of tot beëindiging van de mogelijkheid wordt dit op de website van de Autoriteit geplaatst en uiteraard zal ook Riskworld dit vermelden op haar website.
Bron: Autoriteit Persoonsgegevens
