De 72 uur van artikel 33 zijn het bekendste getal in de verordening en het meest verkeerd gelezen. Bedrijven starten de termijn op het verkeerde moment, sturen de verkeerde inhoud en verwarren de plicht van de verwerker met die van de verwerkingsverantwoordelijke. Dit artikel leest de artikelen 33 en 34 vanaf de kant van een softwarebedrijf en geeft u de meldtermijnpagina die rekent en de melding schrijft.

Wanneer de termijn begint: kennisname, niet de alarmering

Artikel 33, lid 1, vereist dat de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen aan de toezichthoudende autoriteit meldt, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De termijn begint bij de kennisname, en de inbreukrichtsnoeren van het Europees Comité voor gegevensbescherming zeggen wat dat betekent: de verwerkingsverantwoordelijke wordt geacht kennis te hebben genomen wanneer hij een redelijke mate van zekerheid heeft dat zich een beveiligingsincident heeft voorgedaan waardoor persoonsgegevens zijn gecompromitteerd. Een monitoringalarm om 03:00 is geen kennisname; het moment waarop de dienstdoende engineer bevestigt dat klantrecords zijn gelezen door iemand die ze niet had mogen lezen, is dat wel. Het onderzoek dat die zekerheid oplevert, hoort kort te zijn, en overweging 87 zegt het: er moet worden nagegaan dat de maatregelen aanwezig zijn om onmiddellijk vast te stellen of een inbreuk heeft plaatsgevonden.

De 72 uur zijn geen doel, ze zijn een plafond. Wanneer de melding niet binnen 72 uur wordt gedaan, vereist artikel 33, lid 1, dat zij vergezeld gaat van de redenen voor de vertraging. De meldtermijnpagina berekent de deadline vanaf het moment dat u invoert en zegt, zodra die verstreken is, dat de regel van de redenen voor de vertraging nu geldt voor alles wat u stuurt.

Wat de melding bevat, en de fasen

Artikel 33, lid 3, legt de minimuminhoud vast in vier punten: (a) de aard van de inbreuk, waar mogelijk met de categorieën en het geschatte aantal betrokkenen en records; (b) de naam en contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt; (c) de waarschijnlijke gevolgen van de inbreuk; (d) de genomen of voorgestelde maatregelen om de inbreuk aan te pakken, waar passend inclusief maatregelen om de mogelijke nadelige gevolgen te beperken. Artikel 33, lid 4, neemt vervolgens het excuus weg waarnaar de meeste bedrijven grijpen: indien en voor zover het niet mogelijk is om alle informatie tegelijk te verstrekken, kan zij zonder onredelijke verdere vertraging in stappen worden verstrekt. Een onvolledige melding op tijd verslaat een volledige te laat.

Artikel 33, lid 5, is het deel dat het incident overleeft: de verwerkingsverantwoordelijke documenteert elke inbreuk, de feiten, de gevolgen en de genomen corrigerende maatregelen, gemeld of niet, in een vorm die de toezichthoudende autoriteit in staat stelt de naleving te controleren. Die documentatie is het incidentdossier, en het is het eerste wat een autoriteit na een klacht opvraagt.

De eigen termijn van de verwerker

Artikel 33, lid 2, geeft de verwerker een andere plicht: hij meldt de verwerkingsverantwoordelijke zonder onredelijke vertraging nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens. Er is geen urentelling. Voor een SaaS-bedrijf is dit de plicht die het meest telt, omdat elke klant wiens gegevens in het product zitten een verwerkingsverantwoordelijke is wiens 72 uur met uw melding beginnen, en de verwerkersovereenkomst legt meestal vast hoe snel die melding wordt gestuurd; voorwaarde (f) van artikel 28, lid 3 is waar ze staat. Een verwerker die wacht met het inlichten van de klant tot zijn eigen onderzoek klaar is, besteedt de uren van de klant.

De betrokkenen: artikel 34 en zijn drie uitzonderingen

Artikel 34, lid 1, vereist dat de verwerkingsverantwoordelijke de inbreuk zonder onredelijke vertraging aan de betrokkenen meedeelt wanneer die waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden: identiteitsdiefstal, fraude, financieel verlies, discriminatie, reputatieschade, verlies van vertrouwelijkheid van gegevens onder beroepsgeheim, overweging 85 somt ze op. Artikel 34, lid 2, legt de inhoud vast: de aard van de inbreuk in duidelijke en eenvoudige taal en ten minste de informatie van artikel 33, lid 3, onder b, c en d. Artikel 34, lid 3, noemt de drie gevallen waarin de mededeling niet vereist is: de gegevens waren beschermd door maatregelen zoals versleuteling die ze onbegrijpelijk maken voor eenieder die geen toegangsrecht heeft; de verwerkingsverantwoordelijke heeft achteraf maatregelen genomen waardoor het hoge risico zich waarschijnlijk niet meer zal voordoen; of de mededeling zou onevenredige inspanningen vergen, in welk geval een openbare mededeling de betrokkenen even doeltreffend informeert. Artikel 34, lid 4, laat de toezichthoudende autoriteit de mededeling verlangen wanneer de verwerkingsverantwoordelijke die niet heeft gedaan.

De termijnen ernaast: NIS2, de CRA en DORA

Een softwarebedrijf onder NIS2, de CRA of met een bankklant onder DORA laat vanaf hetzelfde moment van kennisname een tweede termijn lopen, met een andere ontvanger en drempel. NIS2 artikel 23 geeft een essentiële of belangrijke entiteit 24 uur voor de vroegtijdige waarschuwing, 72 uur voor de melding en een maand voor het eindverslag, aan het CSIRT of de bevoegde autoriteit, voor een significant incident. De CRA geeft een fabrikant 24 uur voor de vroegtijdige waarschuwing, 72 uur voor de melding en 14 dagen voor het eindverslag over een actief uitgebuite kwetsbaarheid, aan het ENISA-platform. DORA geeft een financiële entiteit 4 uur vanaf de classificatie en 24 uur vanaf de kennisname voor de eerste melding, 72 uur voor het tussentijdse verslag en een maand voor het eindverslag over een groot ICT-gerelateerd incident, dat zijn softwareleverancier bereikt via de incidentbijstandsclausule van het contract. De AVG-termijn is de enige van de vier die alleen op persoonsgegevens aanslaat; het stuk over de NIS2- en CRA-termijnen leest de andere drempels, en één procedure met twee triggers en twee ontvangers voldoet aan alle.

De boete, en het dossier

Artikel 83, lid 4, onder a, stelt het plafond voor een schending van de artikelen 33 en 34 op EUR 10 miljoen of 2 % van de wereldwijde jaaromzet. De gepubliceerde besluiten van de autoriteiten over late meldingen draaien elke keer om dezelfde drie vaststellingen: wanneer de kennisname begon, of de melding op tijd of gemotiveerd was, en of het dossier van artikel 33, lid 5, bestaat. De meldtermijnpagina schrijft de eerste twee op vanaf het moment dat u invoert, en de melding die zij oplevert, is de derde.