De drempel voor het melden van datalekken ligt laag. In principe moeten alle datalekken worden gemeld bij de AP, tenzij het niet waarschijnlijk is dat sprake is van een risico voor de betrokkenen. Dit risico kan ontstaan vanwege de omvang van het datalek (kwantitatief ernstig) of vanwege de inhoud van het datalek (kwalitatief ernstig). Een lek van gevoelige gegevens kan bijvoorbeeld bestaan uit inloggegevens of factuurgegevens of betrekking hebben op de gezondheid van degenen die het aangaat. Of sprake is van een risico hangt ook mede af van wie onrechtmatig inzage heeft gehad (te goeder trouw, geldt er een geheimhouding, is sprake van kwaadwilendheid etc). Het is aan de organisatie zelf hier een afweging in te maken.
Datalekken die gemeld moeten worden aan de toezichthouder moeten zonder onredelijke vertraging worden gemeld, maar uiterlijk binnen 72 uur nadat de verantwoordelijke een redelijk vermoeden heeft dat sprake is van een datalek.
Melden bij de betrokkenen hoeft alleen als je oordeelt dat er een hoog risico is voor de privacy van deze betrokkenen. Deze drempel ligt dus hoger. Je wilt ook niet te snel paniek zaaien. Ook deze afweging moet de organisatie zelf maken.
Doorloop dit stappenplan (pdf) van de Autoriteit Persoonsgegevens om ervoor te zorgen dat jouw organisatie op de juiste manier handelt bij een datalek. Je kunt ook zelf een procedure datalekken opstellen, dit is sterk aanbevolen.