TL;DR
Bij besluit van 28 juli 2026, door de EDPB gepubliceerd op 8 oktober, beboette de Griekse gegevensbeschermingsautoriteit het ministerie van Sociale Cohesie en Gezin (verwerkingsverantwoordelijke) met 200.000 euro en E.E.T.A.A. S.A., het agentschap voor lokale ontwikkeling dat de systemen beheerde (verwerker), met 150.000 euro. Het ministerie had correct gemeld en geïnformeerd; de boete betreft beveiliging en de verhouding met de verwerker. Artikelen: 25, 28, 32, 33 en 34 AVG.
Wat er gebeurde
Een grootschalige cyberaanval trof de systemen van E.E.T.A.A., gebruikt voor de uitvoering van de programma's van het ministerie. De databanken bevatten gegevens van zeer veel mensen: identificatie- en contactgegevens, financiële en gezondheidsgegevens.
Wat de toezichthouder vaststelde
- CORRECTE MELDING. Het ministerie voldeed als verwerkingsverantwoordelijke aan de plicht om te melden en betrokkenen te informeren (art. 33 en 34).
- VEROUDERDE SYSTEMEN. De aanval slaagde omdat E.E.T.A.A. ondanks kennis van de risico's verouderde systemen en ontoereikende beveiliging bleef gebruiken (art. 32).
- ONGEREGELDE VERHOUDING. Tekortkomingen onder artikel 28: de relatie tussen verantwoordelijke en verwerker was niet geregeld zoals de AVG eist.
- BEIDEN BEBOET. 200.000 euro voor het ministerie en 150.000 voor E.E.T.A.A., met een bevel een artikel 28-overeenkomst te sluiten en de geplande maatregelen af te ronden.
Goed melden redt de verantwoordelijke niet
De afhandeling van het lek was correct, en toch betaalt de verantwoordelijke. De oorzaak ligt eerder: artikel 28 eist dat alleen verwerkers met voldoende garanties worden ingezet en dat de relatie schriftelijk wordt geregeld. Een leverancier met verouderde systemen zonder bindend contract is eerst een risico van de verantwoordelijke.
Wat het betekent voor de FG
Vier controles
Eén: voor elke leverancier die namens de klant gegevens verwerkt een ondertekende artikel 28-overeenkomst, ook als het een overheidsinstantie of staatsbedrijf is. Twee: in de overeenkomst minimale beveiligingsmaatregelen en het recht om ze te controleren, inclusief systeemupdates. Drie: een gedocumenteerde periodieke beoordeling van leveranciers met gezondheids- of financiële gegevens. Vier: kent de leverancier een risico zonder het op te lossen, dan moet de verantwoordelijke het weten en beslissen — het moment voor een schriftelijk advies van de FG.
De zaak is ook om een andere reden nuttig: ze toont dat toezichthouders de verwerker rechtstreeks beboeten als de oorzaak bij hem ligt. De verwerker wordt niet „gedekt” door de verantwoordelijke: hij heeft eigen beveiligingsplichten en is daarvoor aansprakelijk.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
