wetzoeker

7.2 — Biedt de cryptografie die ik heb toegepast voldoende bescherming om de melding aan de betrokkene achterwege te kunnen laten? Meldplicht datalekken Wet bescherming persoonsgegevens

Biedt de cryptografie die ik heb toegepast voldoende bescherming om de melding aan de betrokkene achterwege te kunnen laten?

Indien u passende technische beschermingsmaatregelen heeft genomen waardoor de persoonsgegevens die het betreft onbegrijpelijk of ontoegankelijk zijn voor eenieder die geen recht heeft op kennisname van de gegevens, dan kunt u de melding aan de betrokkene achterwege laten (artikel 34a, zesde lid, Wbp).

Uit de wetsgeschiedenis komt de toepassing van cryptografie naar voren als het voornaamste voorbeeld van een technische beschermingsmaatregel zoals bedoeld in het zesde lid van artikel 34a Wbp. Ook artikel 4 van de Europese verordening 611/2013, waarin voor de telecomsector een soortgelijke uitzondering op de meldplicht datalekken aan de betrokkene is opgenomen, gaat uit van de toepassing van cryptografie als technische beschermingsmaatregel. Deze paragraaf gaat in op het gebruik van cryptografie als technische beschermingsmaatregel om persoonsgegevens onbegrijpelijk of ontoegankelijk te maken voor onbevoegden. Andere technische beschermingsmaatregelen worden behandeld in het vervolg van dit hoofdstuk.

Deze paragraaf gaat in op twee cryptografische bewerkingen: encryptie (versleuteling) en hashing (het omzetten van gegevens in een unieke code). Kenmerkend voor encryptie is dat deze bewerking omkeerbaar is: door gebruik van de juiste sleutel kan de oorspronkelijke informatie worden verkregen (decryptie). Encryptie wordt onder meer gebruikt om gegevens te beveiligen die zijn opgeslagen op draagbare apparatuur en op verwijderbare media zoals USB-sticks. Hashing is een bewerking die van informatie, ongeacht de lengte, een unieke hashcode maakt die altijd even lang is (de lengte is afhankelijk van de gebruikte hashingmethode). Hashing wordt onder meer gebruikt bij de opslag en verwerking van wachtwoorden: op het moment dat de gebruiker een (nieuw) wachtwoord kiest, wordt de bijbehorende hashcode opgeslagen. Wanneer de gebruiker vervolgens inlogt, wordt de hashcode van het ingevoerde wachtwoord vergeleken met de opgeslagen hashcode en krijgt de gebruiker toegang tot het informatiesysteem als de codes overeenkomen.

Als door de cryptografische bewerkingen die u heeft toegepast de gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk zijn voor onbevoegden, dan kunt u de melding aan de betrokkene achterwege laten. Dit is een strenge norm, die u van geval tot geval toe moet passen op basis van de actuele stand van de techniek. Als u twijfelt over de adequaatheid van de technische beschermingsmaatregelen die u heeft getroffen, dan moet u het datalek melden aan de betrokkene. Doel van de rest van deze paragraaf is om u bij deze afweging te ondersteunen.

31 Kamerstukken II 2014/15, 33 662, nr. 11, blz. 9-10.

Iedere vraag uit het bovenstaande schema correspondeert met een van de onderstaande paragrafen.

Regeling
Meldplicht datalekken Wet bescherming persoonsgegevens
Soort
ZBO-regeling
Geldend vanaf
16-12-2015
BWB-id
BWBR0037346
Versie
2015-12-16_0

In de hele regeling · Officiële tekst op wetten.overheid.nl