TL;DR
Op 5 oktober 2026 publiceerde de voorzitter van de UODO aanwijzingen over de meldingsdrempel van artikel 33, lid 1, na een reeks incidenten met onbevoegde toegang tot databases van contractpartijen en factureringssystemen. Zijn alleen gegevens van ondernemers gelekt die al openbaar in het register CEIDG staan (naam, handelsnaam, NIP, officieel adres), dan is een risico doorgaans onwaarschijnlijk en is melding mogelijk niet nodig. Zijn daarnaast het PESEL-nummer, aankoopdetails die gezondheid of andere bijzondere categorieën onthullen, of financiële informatie gelekt, dan moet worden gemeld; bij een hoog risico ook aan de betrokkenen (artikel 34). Altijd: een vastgelegde risicobeoordeling en de redenen om niet te melden in het interne register.
De context
Bij de recente incidenten in Polen ging het niet om klantbestanden met consumenten, maar om databases van contractpartijen en factureringssystemen: lijsten van bedrijven en zelfstandigen waarmee een organisatie samenwerkt. De UODO vraagt elke verwerkingsverantwoordelijke om een zorgvuldige risicobeoordeling per geval, waarvan de uitkomst bepaalt of melding verplicht is.
Wanneer melding niet nodig kan zijn
Het typische geval zijn eenmanszaken waarvan de gelekte gegevens overeenkomen met wat iedereen kan opzoeken in het openbare register CEIDG: voor- en achternaam, handelsnaam, NIP, officieel vestigingsadres. Volgens de toezichthouder biedt het verlies van vertrouwelijkheid van zulke gegevens doorgaans geen nieuwe mogelijkheden om de betrokkene schade te berokkenen. Andere landen hebben vergelijkbare handelsregisters, maar de beoordeling moet altijd op het concrete geval worden gemaakt.
Wanneer melding wel verplicht is
- PESEL, het Poolse nationale identificatienummer: risico op identiteitsfraude, oplichting en schulden op naam van de betrokkene.
- DETAILS VAN AANKOPEN OF DIENSTEN die gezondheid of andere bijzondere categorieën onthullen: risico voor de privacy, discriminatie, onbevoegde profilering.
- FINANCIËLE INFORMATIE: risico op fraude en op valse facturen of betalingen.
Niet melden is niet: niet vastleggen
Ook als de verantwoordelijke concludeert dat melding niet nodig is, moet hij de risicobeoordeling uitvoeren en vastleggen en in het interne register van inbreuken de redenen vermelden waarom niet is gemeld. De AVG verplicht om alle inbreuken te documenteren, gemeld of niet (artikel 33, lid 5). Een besluit om niet te melden zonder schriftelijk spoor is bij een controle niet te verdedigen.
Wat het betekent voor de FG
Vijf stappen bij een incident in het factuurprogramma
Eén: precies reconstrueren welke velden zijn gelekt, record voor record, in plaats van abstract over «de database» te praten. Twee: openbare gegevens scheiden van al het andere (IBAN, bedragen, omschrijvingen van diensten, persoonlijke contactgegevens, notities). Drie: de beoordeling vastleggen met datum, auteur, criteria en conclusie, en heropenen als er nieuwe feiten opduiken. Vier: de 72 uur in de gaten houden; die lopen vanaf het moment van kennisname, niet vanaf het einde van de analyse. Vijf: gebeurde het incident bij een verwerker, controleer dan of die de verantwoordelijke zonder onredelijke vertraging heeft ingelicht (artikel 33, lid 2) en of het contract dat voorschrijft.
De lezing van de UODO sluit aan bij richtsnoeren 9/2022 van het EDPB over de melding van inbreuken: de drempel is niet hoe ernstig het incident voelt, maar het risico voor mensen. De praktische waarde van de Poolse aanwijzing zit in de voorbeelden, die laten zien wat een lijst met contractpartijen tot een meldplichtig probleem maakt.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
