Door Briolet: Klinkt als afschuiven. Voor mij lijkt het logisch dat het bedrijf waar het datalek plaats heeft, dit meldt. De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Een verwerkingsverantwoordelijke kan dingen uitbesteden aan verwerkers, maar blijft verantwoordelijk voor het resultaat. Als een museum of een dierentuin online ticketverkoop uitbesteedt aan Ticketcounter dan is Ticketcounter de verwerker, de verwerkingsverantwoordelijke is nog steeds dat museum of die dierentuin, en die blijven eindverantwoordelijk voor de verwerking. Artikelen 33 en 34 van de AVG beschrijven hoe de meldingen verlopen: de verwerker meldt het aan de verwerkingsverantwoordelijke, en die doet de meldingen aan de toezichthoudende autoriteit en aan de betrokkenen. Bedenk dat een melding aan de betrokkenen zelf ook weer een verwerking van persoonsgegevens is. Die mag niet gedaan worden zonder wettelijke grondslag. Die wettelijke grondslag heeft de verwerkingsverantwoordelijke wel, die is ...