Blyaert Betwist: Waarom geven we datalekken niet aan?

Tijl Uilenspiegel blijft een van mijn favoriete personages, omdat hij vrijgevochten en vol fratsen de Spaanse overheid om de tuin leidde. Vlaanderen, en bij uitstek België, is altijd overheerst door machtswellustelingen en dus hebben we altijd getracht om de overheid en diens wetten te omzeilen. Is dat ook het geval met de General Data Protection Regulation (GDPR)?

Bedrijven moeten ervoor zorgen dat hun data degelijk beveiligd is, dat iedereen op elk moment kan aanvragen welke gegevens men bijhoudt en vooral, als er een probleem is moeten datalekken meteen aangegeven worden. Zo werden midden februari de gegevens van zevenhonderdduizend gebruikers van het Belgische onlineplatform Datacamp gehackt.

Eind januari trok Willem Debeuckelaere aan de alarmbel. Hoewel hij al geruime tijd op pensioen mag, is hij nog steeds voorzitter van wat vroeger de Privacycommissie was en nu met de lelijke naam Gegevensbeschermingsautoriteit behept is. In België zijn er vorig jaar amper 422 (cijfers tot eind augustus) datalekken aangegeven, ondanks het feit dat wie een datalek stilzwijgt een boete riskeert tot tien miljoen euro. In Portugal kreeg onlangs een ziekenhuis een boete van vierhonderdduizend euro omdat het data onvoldoende had beveiligd.

Administratieve procedure

Hoe komt het dat er in Nederland in 2018 liefst 21.000 datalekken werden aangemeld (toch twee keer meer dan in 2017) en in ons land bijna vijftig keer minder? Nederland telt zeventien miljoen inwoners, ons land elf miljoen. Daar kan het dan toch niet aan liggen?

Mogelijk zijn ondanks de campagnes nog te weinig Belgische ondernemers vertrouwd met GDPR. Mogelijk houden we het ondanks de torenhoge boetes toch liever stil. Of is het meer? Volgens ingewijden ligt het ook en vooral aan de administratieve procedure. ‘In Nederland kan de aangifte vrij snel en efficiënt gebeuren, in België moet je je door een administratieve rompslomp ploeteren waardoor je er liever niet aan begint, zeker als het om een kleine lek gaat.’ De meeste aangiften gaan trouwens over het verlies van usb-sticks of een laptop.

Het wordt tijd dat Belgische bedrijven de GDPR-richtlijn au sérieux nemen. Maar zolang de overheid dat zelf niet doet lijkt er geen haast bij, toch? Zowat een jaar geleden, in mei 2018 moest er al een nieuw directie aan de top komen bij de Gegevensbeschermingsautoriteit (GBA). Dat is nog steeds niet het geval, omdat geen van de vijf mogelijke directieleden slaagde in het examen Duits. En een regering in lopende zaken heeft blijkbaar andere besognes. De sage wil dat Tijl Uilenspiegel in 1350 in het Duitse Mölln is gestorven. Hij zal dan toch wel een minimum aan Duits gesproken hebben. Een spoedcursus kan helpen.