Minister Dekker heeft eindelijk gereageerd op Kamervragen over het datalek bij Uber waar in 2016 de gegevens van 174.000 Nederlanders werden gestolen. Het gaat om e-mailadressen, telefoonnummers en namen. Uber besloot het datalek in eerste instantie te verzwijgen. PvdA-Kamerlid Kuiken vroeg Dekker in december hoe voorkomen kan worden dat een bedrijf vanwege bedrijfsbelangen datalekken niet meldt.

Daarop laat de minister nu weten dat alle bedrijven verplicht zijn om melding van ernstige datalekken te doen. Het is de taak van de Autoriteit persoonsgegevens om toezicht te houden op de naleving van de wettelijke regels voor de bescherming van persoonsgegevens, gaat Dekker verder. Vervolgens noemt de minister verschillende mogelijkheden waar de Autoriteit Persoonsgegevens over beschikt, zoals het opleggen van boetes. Ondanks de boetebevoegdheid heeft de toezichthouder nog geen boetes uitgedeeld voor het verzwijgen van datalekken.

Kuiken wilde ook weten of minister Dekker het ermee eens is dat een bedrijf bij een datalek dit altijd moet laten weten, ook al zou het bedrijf daar volgens wet- of regelgeving niet toe verplicht zijn. "Mocht een bedrijf een ernstig datalek niet melden aan getroffen personen, voorziet de Wet bescherming persoonsgegevens in een mogelijkheid voor de Autoriteit persoonsgegevens om - indien zij van oordeel is dat het datalek waarschijnlijk ongunstige gevolgen voor de persoonlijke levenssfeer van betrokkenen zal hebben - van het bedrijf te verlangen dat het getroffenen alsnog in kennis stelt van het datalek", antwoordt Dekker.

Verder moest de minister van Kuiken uitleggen in hoeverre het aan een bedrijf is om vast te stellen of er sprake is van een datalek dat bij de Autoriteit Persoonsgegevens moet worden gemeld. Daarop antwoordt Dekker dat de meldplicht datalekken zich richt tot de verantwoordelijke voor de verwerking van persoonsgegevens. "Een bedrijf dat persoonsgegevens verwerkt, dient dus zelf vast te stellen of er sprake is van een datalek dat bij de Autoriteit persoonsgegevens moet worden gemeld", aldus de minister (pdf).