Het vaststellen van de drempelwaarde voor het melden van een datalek aan de Autoriteit Persoonsgegevens (AP) is een essentieel onderdeel van het compliance-beleid voor MKB-ondernemingen. Volgens de Algemene Verordening Gegevensbescherming (AVG) is een melding niet in alle gevallen verplicht. Er hoeft geen melding te worden gedaan wanneer het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van de betrokken natuurlijke personen. Dit oordeel moet gebaseerd zijn op een objectieve risico-inventarisatie, waarbij factoren zoals de aard van de gegevens, de omvang van het lek en de getroffen technische beschermingsmaatregelen worden gewogen.

Een cruciaal criterium is of de gelekte gegevens onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden, bijvoorbeeld door middel van sterke versleuteling (hashing/encryptie) waarvan de sleutel niet is gecompromitteerd. Ook wanneer de organisatie erin slaagt het risico direct na het incident volledig te neutraliseren voordat de gegevens daadwerkelijk zijn ingezien of misbruikt, kan een melding achterwege blijven. Hoewel een melding aan de AP dan niet verplicht is, moet het incident wel intern worden gedocumenteerd in het datalekkenregister van de organisatie. Dit register dient als bewijslast voor toezichthouders om aan te tonen dat de organisatie haar verplichtingen serieus neemt en een gemotiveerde afweging heeft gemaakt.

Meld.nl biedt een veilige route voor anonieme meldingen. Het platform zet zich in voor het behartigen van de gerechtigde belangen van melders en betrokkenen door het uitvoeren van grondige onderzoeken, het bieden van juridische ondersteuning en het coördineren van communicatie met overheidsinstanties en juridische partners.