Heeft zich in de afgelopen twee jaar een datalek voorgedaan dat gemeld moest worden?

Ja/nee over een datalek is zelden in één keer te onderbouwen

Deze vraag vraagt niet of er ooit iets is misgegaan, maar of er een datalek is geweest dat gemeld moest worden — dat is een tussenstap. Een lek dat intern is opgemerkt en afgehandeld zonder meldplicht, is iets anders dan een lek dat bij de toezichthouder en eventueel bij betrokkenen is gemeld. Het antwoord "nee" is dus alleen te geven als je zeker weet dat er geen meldingsplichtig incident is geweest, niet alleen dat je er geen herinnering aan hebt. Het antwoord "ja" vraagt om een vervolgvraag te kunnen beantwoorden: wanneer, wat er is gemeld en aan wie.

In de praktijk is dit een van de vragen waar het antwoord per invulronde kan wisselen, omdat de periode "afgelopen twee jaar" meeschuift. Een lek van twee jaar en een maand geleden valt er dit jaar niet meer onder, terwijl het vorig jaar nog wel meetelde. Daarom is dit geen antwoord dat je één keer vastlegt en daarna laat staan: het dossier moet elke ronde opnieuw checken of er een periode uitvalt of bijkomt. Wie dit onderwerp vaker invult, herkent ook de aanpalende vraag over een intern meldkanaal voor klokkenluiders: beide vragen toetsen niet alleen of iets bestaat, maar of het proces ook echt is gebruikt.

Waar dit vandaan komt: geen vast artikel, wel een terugkerend controlepunt

Deze vraag komt niet uit een specifiek artikel dat aan Supplia is meegegeven; hij hoort bij de bredere categorie vragen over gegevensverwerking, naast vragen als of de onderneming een register van verwerkingsactiviteiten bijhoudt. De bron voor dit antwoord ligt dus niet in een externe regeling, maar in het eigen incidentenregister van de onderneming: de vastlegging van wat er is gebeurd, wanneer, en of er een melding is uitgegaan. Zonder dat interne bewijsstuk is er geen basis om "nee" te bevestigen, en met een half ingevuld register is er ook geen basis om "ja" volledig te onderbouwen.