De meldplicht datalekken die vanaf 1 januari 2016 van kracht wordt is in de Staatscourant gepubliceerd (pdf), zodat organisaties er kennis van kunnen nemen. De meldplicht houdt in dat zowel bedrijven als overheden straks melding moeten maken bij de Autoriteit Persoonsgegevens als er een datalek is.

In een aantal gevallen moet het datalek ook aan de mensen bekend worden gemaakt van wie de persoonsgegevens zijn gelekt. "Er is alleen sprake van een datalek als zich daadwerkelijk een beveiligingsincident heeft voorgedaan. Bij een beveiligingsincident moet u bijvoorbeeld denken aan het kwijtraken van een USB-stick, de diefstal van een laptop of aan een inbraak door een hacker", aldus de Staatscourant.

Organisaties hoeven niet ieder datalek aan de Autoriteit Persoonsgegevens te melden. Volgens de wet moet er een melding worden gemaakt als het datalek leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. Een factor die hierbij een rol speelt is de aard van de gelekte persoonsgegevens.

Het gaat dan bijvoorbeeld om persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven en lidmaatschap van een vakvereniging, maar ook gegevens over de financiële of economische situatie van de betrokkene, gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene, gebruikersnamen, wachtwoorden en andere inloggegevens en gegevens die kunnen worden misbruikt voor fraude of identiteitsfraude. Bedrijven die de meldplicht datalekken overtreden kunnen een boete van maximaal 820.000 euro krijgen.

Indien de overtreding niet opzettelijk is gepleegd en er geen sprake is van ernstig verwijtbare nalatigheid, dan zal de Autoriteit Persoonsgegevens eerst een bindende aanwijzing opleggen voorafgaand aan eventuele oplegging van een bestuurlijke boete. Bij het opleggen van een bestuurlijke boete houdt de Autoriteit Persoonsgegevens rekening met alle omstandigheden van het geval. Een omstandigheid van het geval kan bestaan uit het feit dat de gegevens waarover het gaat niet door derden zijn ingezien.