Een datalek betekent niet automatisch dat er een overtreding van de Algemene Verordening Gegevensbescherming (AVG) heeft plaatsgevonden, aldus staatssecretaris Van Bruggen van Justitie en Veiligheid. Deze reactie kwam naar aanleiding van Kamervragen van D66 over recente datalekken bij Basic-Fit en Booking.com.

D66 vroeg of er sprake was van structurele tekortkomingen in de beveiliging van persoonsgegevens bij deze organisaties. Van Bruggen gaf aan voorzichtig te zijn met het spreken van structurele tekortkomingen, omdat elk incident uniek is en verschillende oorzaken kan hebben. Ze sluit niet uit dat zelfs goed beveiligde bedrijven slachtoffer kunnen worden van geavanceerde cyberaanvallen. Ook is zij het niet eens met de stelling dat herhaalde datalekken per definitie wijzen op onvoldoende naleving van de AVG. Volgens haar kunnen ook goed beveiligde organisaties getroffen worden, en betekent een datalek op zichzelf niet dat de AVG is overtreden.

De staatssecretaris benadrukt dat het handelen van organisaties na het vaststellen van een datalek van belang is. Dit omvat het nemen van extra beveiligingsmaatregelen, het naleven van de meldingsplicht en het transparant communiceren met de betrokkenen. D66 vroeg daarnaast of strengere, afdwingbare beveiligingsnormen nodig zijn voor bedrijven die op grote schaal persoonsgegevens verwerken. Van Bruggen gaf aan dat de AVG in principe voldoende normen biedt voor passende beveiligingsmaatregelen voor alle organisaties.

Ook JA21 stelde vragen over mogelijke aanscherping van de AVG of de handhaving daarvan naar aanleiding van het datalek bij Basic-Fit. De staatssecretaris gaf aan geen aanwijzingen te hebben dat de gegevensbeschermingswetgeving lacunes vertoont, mede door de brede werkingssfeer van de AVG. Volgens haar ligt het probleem vaker bij de naleving van de regelgeving dan bij de bepalingen zelf. Deze uitspraken zijn terug te vinden in de reactie op Kamervragen van D66 en de beantwoording van aanvullende vragen.