Veel organisaties nemen geen adequate maatregelen om de gevolgen van een datalek te beperken, stelt de Autoriteit Persoonsgegevens (AP). In een recent position paper benadrukt de toezichthouder het belang van het naleven van bewaartermijnen, het informeren van slachtoffers en het verwerken van alleen strikt noodzakelijke persoonsgegevens.

Het position paper is gepubliceerd in aanloop naar een rondetafelgesprek in de Tweede Kamer, waar op 21 mei de commissie Digitale Zaken met verschillende partijen, waaronder de AP, GGD GHOR, Z-CERT, Bevolkingsonderzoek Nederland, de Inspectie Gezondheidszorg en Jeugd en het Nationaal Cyber Security Centrum (NCSC), spreekt over cyberveiligheid en informatiebeveiliging. Volgens de AP zijn drie verbeterpunten essentieel voor de cyberveiligheid in Nederland: het waarborgen van een hoog beveiligingsniveau, het beperken van de gevolgen van datalekken en het garanderen van adequaat toezicht.

De toezichthouder benadrukt dat een datalek elke organisatie kan overkomen. Daarom is het niet alleen noodzakelijk om technische en organisatorische maatregelen te treffen om datalekken te voorkomen, maar ook om de impact ervan te beperken. Organisaties moeten dataminimalisatie als uitgangspunt hanteren, persoonsgegevens niet langer bewaren dan strikt noodzakelijk en slachtoffers van datalekken tijdig en volledig informeren. De AP constateert dat veel organisaties deze basismaatregelen nog niet naleven.

Daarnaast wijst de Autoriteit Persoonsgegevens op het belang van effectief toezicht op de naleving van de AVG en de Cyberbeveiligingswet. Door een gebrek aan capaciteit kan de AP dit toezicht echter niet volledig waarborgen. De toezichthouder stelt dat er meer ruimte nodig is om preventief toezicht te houden, bijvoorbeeld op het gebied van dataminimalisatie en bewaartermijnen, maar momenteel is die capaciteit onvoldoende beschikbaar.