In het Jaaroverzicht Privacy heeft u al kort kunnen lezen dat er per 1 januari 2016 het een en ander is veranderd op het gebied van privacy in Nederland.
Ten eerste geldt sinds het nieuwjaar de meldplicht datalekken. Deze verplichting om datalekken te melden is opgenomen in artikel 34a van de Wet bescherming persoonsgegevens (“Wbp”) en houdt in dat een “inbreuk op de beveiliging” – in beginsel binnen 72 uur – bij de Autoriteit Persoonsgegevens (“AP”) moet worden gemeld indien de inbreuk leidt tot (de aanzienlijke kans op) ernstige nadelige gevolgen. Indien de inbreuk daarnaast waarschijnlijk ongunstige gevolgen zal hebben voor de persoonlijke levenssfeer van de betrokkene, dan dient de inbreuk ook aan de betrokkene te worden gemeld. De AP heeft in de Beleidsregels meldplicht datalekken een verdere uitwerking gegeven aan de meldplicht en hiervan voorbeelden gegeven.
Verder is er natuurlijk de naamswijziging: het College bescherming persoonsgegevens heet vanaf nu de Autoriteit Persoonsgegevens. Om verwarring te voorkomen: deze wijziging geldt alleen voor het gebruik in het maatschappelijk verkeer. In de wet wordt nog steeds de naam College bescherming persoonsgegevens gebruikt. Bij de naamswijziging hoort natuurlijk een nieuw logo, dat aanstaande donderdag (7 januari 2016) zal worden onthuld.
Tenslotte brengt de nieuwe wetgeving een (flinke) stijging in de boetebevoegdheid van de AP met zich mee. Zo kan de AP een bestuurlijke boete opleggen tot maximaal EUR 820.000,= (in 2016) voor bepaalde overtredingen van de Wbp. Mocht dit bedrag voor een bedrijf geen passende bestraffing zijn, zoals bijvoorbeeld bij grote internationale partijen, dan kan een geldboete worden opgelegd tot maximaal 10% van de jaaromzet in het voorgaande boekjaar. De AP is bezig om beleidsregels op te stellen voor de uitoefening van haar boetebevoegdheid. Naar verwachting zullen de definitieve beleidsregels ook aanstaande donderdag worden gepubliceerd.
