Wanneer moet een datalek worden gemeld aan de Autoriteit Persoonsgegevens (AP) of aan betrokkenen?

Of een datalek wel of niet moet worden gemelden, hangt af van de ernst van het datalek. ​U hoeft een datalek alleen te melden als dit leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens. Of als een aanzienlijke kans bestaat dat dit gebeurt.
In bepaalde gevallen moet u ook de betrokkenen informeren over het datalek. Dat zijn de personen van wie u gegevens verwerkt. Ook hierbij hangt het van de ernst van het datalek af of u dit wel of niet moet doen. U hoeft de betrokkenen (de personen van wie u gegevens verwerkt) alleen te informeren als een datalek waarschijnlijk ongunstige gevolgen heeft voor hun persoonlijke levenssfeer. Ook mag de melding aan de betrokkenen eventueel achterwege worden gelaten als er passende technische beschermingsmaatregelen zijn getroffen, waardoor de gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk zijn voor onbevoegden, bijvoorbeeld door goede encryptie.
De beleidsregels meldplicht datalekken van de Autoriteit Persoonsgegevens kunnen helpen om te bepalen of sprake is van waarschijnlijk ernstige nadelige gevolgen voor de persoonlijke levenssfeer van betrokkenen.