| Ingediend | 15 april 2026 |
|---|---|
| Beantwoord | 3 juni 2026 (na 49 dagen) |
| Indiener | Sarah El Boujdaini (D66) |
| Beantwoord door | Aerdts , David van Weel (VVD) |
| Onderwerpen | economie organisatie en beleid recht staatsrecht |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2026Z07921.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20252026-2136.html |
Ja.
De berichten over grootschalige datalekken zijn zorgwekkend, vooral gezien de mogelijk schadelijke gevolgen voor getroffen betrokkenen. Het is belangrijk dat getroffen burgers, wanneer het waarschijnlijk een hoog risico betreft, goed worden geïnformeerd zodat zij weten waar zij aan toe zijn en daartoe gepaste stappen kunnen ondernemen. Ik wil voorzichtig zijn met het spreken van «structurele tekortkomingen». Elk incident is anders en kan een eigen oorzaak hebben, en het is niet uitgesloten dat er sprake kan zijn van een zeer geavanceerde cyberaanval waartegen zelfs goed beveiligde bedrijven kwetsbaar zijn.
Organisaties die persoonsgegevens verwerken zijn verplicht om alle datalekken te documenteren, bijvoorbeeld in een register. Naast het lek zelf moeten ook de feiten en de gevolgen van het datalek en de genomen corrigerende maatregelen worden geregistreerd. Het doel van een dergelijk register is bewustwording en te leren van eerdere datalekken, alsook het nemen van effectieve maatregelen om de kans op nieuwe, soortgelijke datalekken te verminderen. Ook stelt het de toezichthouder in staat te controleren of de meldplicht wordt nageleefd. Daarnaast houdt de Autoriteit Persoonsgegevens (AP) de bij haar gemelde datalekken bij. Niet alle datalekken worden gemeld of zijn meldplichtig: een melding bij de AP is alleen verplicht als de inschatting is gemaakt dat het waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen, zoals de bescherming van hun persoonsgegevens en persoonlijke levenssfeer. De AP rapporteert jaarlijks over de meldplicht datalekken. Het kabinet beschikt niet over een register van alle datalekken, maar ziet vooralsnog niet dat sprake is van een tekort aan inzicht en van de noodzaak tot het treffen van maatregelen om dat te verbeteren.
Een datalek hoeft niet te duiden op onvoldoende structurele naleving van de AVG; ook goed beveiligde organisaties, overheden en bedrijven kunnen worden getroffen. Daarbij betekent een datalek op zich niet dat er ook sprake is van een overtreding van de AVG. Het gaat er verder vooral om hoe bedrijven handelen nadat een datalek is geconstateerd. Dat handelen kan bestaan uit het nemen van (extra) beveiligingsmaatregelen, het naleven van de meldingsplicht en transparante communicatie richting de getroffen betrokkenen. Organisaties die persoonsgegevens verwerken zijn – als verwerkingsverantwoordelijke – gehouden om gedegen risico-analyses te maken en een daaraan gekoppelde passende interne beveiligingscultuur en snel en adequaat te handelen in geval van een incident.
Het kabinet is van mening dat de AP over voldoende middelen beschikt om de (toezicht- en handhavings)taken die voortvloeien uit de AVG en de UAVG uit te voeren. De AP mag zelf bepalen hoe zij de middelen die zij voor AVG-toezicht ontvangt, verdeelt over de afzonderlijke AVG-toezichtstaken. Zoals genoemd in de beleidsreactie op de evaluatie van de AP2 wil het kabinet samen met de AP stappen zetten om te komen tot een meer objectieve basis die ondersteunend is bij de besluitvorming over een passende hoogte van het budget van de AP. Een landenvergelijkend onderzoek kan daarbij een nuttig instrument zijn.
De AVG biedt in principe voldoende normen voor het nemen van passende beveiligingsmaatregelen voor alle organisaties en bedrijven die (op grote schaal) persoonsgegevens verwerken. Passende beveiligingsmaatregelen houden concreet onder meer in dat organisaties en bedrijven bij risicovolle en/of grootschalige gegevensverwerkingen vooraf een Data Protection Impact Assessment (DPIA) dienen uit te voeren. Dit is een instrument om voorafgaand aan de verwerking de privacyrisico’s in kaart te brengen om daarmee de impact op de rechten van betrokkenen te beoordelen en gerichte maatregelen te nemen om deze risico’s te verkleinen. Daarnaast zijn organisaties en bedrijven in het geval van grootschalige gegevensverwerking vaak verplicht om een functionaris voor gegevensbescherming (FG) aan te stellen. De FG is een onafhankelijke toezichthouder binnen een organisatie of bedrijf die toeziet op de naleving van de AVG en adviseert over het zorgvuldig verwerken van persoonsgegevens. De verwerkingsverantwoordelijke heeft voor het treffen van passende beveiligingsmaatregelen een verantwoordingsplicht. Gelet hierop zie ik geen noodzaak voor extra (strenge) maatregelen. Wel geldt straks voor organisaties en bedrijven die opereren in voor de samenleving cruciale sectoren, waaronder onder andere de transport- en energiesector, het bankwezen en de digitale infrastructuur, de Cyberbeveiligingswet. Deze wet is op 15 april jl. door uw Kamer aangenomen en treedt later dit jaar in werking. De Cyberbeveiligingswet is de doorvertaling van de Europese NIS2- en CER-richtlijn die lidstaten weerbaarder moeten maken tegen gevaren van buitenaf, waaronder cyberdreigingen. De wet verplicht onder andere tot het uitvoeren van een risicoanalyse en het op basis daarvan treffen van passende en evenredige maatregelen voor het betreffende netwerk- en informatiesysteem. Ook hebben organisaties en bedrijven op grond van deze wet een zorg-, meld- en registratieplicht.
Ja. De Europese Digitale Identiteit (EDI) stelt burgers in staat binnen de hele Europese Unie digitaal te legitimeren of in te loggen op websites. Het veilig delen van persoonsgegevens behoort daar ook toe, waarbij enkel de gegevens worden gebruikt die strikt noodzakelijk zijn.
De vragen zijn afzonderlijk beantwoord.
Hierbij deel ik u, mede namens de Staatssecretaris van Economische Zaken en Klimaat, mede dat de schriftelijke vragen van het lid El Boujdaini (D66), van uw Kamer aan de Minister van Justitie en Veiligheid over het bericht «Gegevens 200.000 leden Basic-Fit gelekt, ook bij Booking klantgegevens gestolen» (ingezonden 15 april 2026) niet binnen de gebruikelijke termijn kunnen worden beantwoord, aangezien nog niet alle benodigde informatie is ontvangen. Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.