De recente wereldwijde storing veroorzaakt door een software-update van cybersecuritybedrijf CrowdStrike heeft geleid tot discussies over de juridische kwalificatie van het cyberincident. Terwijl bedrijven worstelen met de nasleep van de storing, rijst de vraag of de tijdelijke ontoegankelijkheid van gegevens moet worden beschouwd als een "datalek" in de zin van de AVG.
Experts op het gebied van gegevensbescherming, zoals Peter Craddock en Tim Turner, uitten op LinkedIn bedenkingen over de brede interpretatie van "datalek" door sommige autoriteiten. Craddock, advocaat technologierecht bij Keller and Heckman, benadrukt dat de AVG “onbeschikbaarheid” niet expliciet benoemt in de definitie van een datalek. Hoewel instanties zoals de European Data Protection Board (EDPB) en de Information Commissioner's Office (ICO) tijdelijk gegevensverlies als een datalek beschouwen, vindt Craddock dat de letterlijke tekst van de wetgeving leidend moet zijn. Hij pleit voor een uitspraak van het Europese Hof van Justitie om duidelijkheid te scheppen.
Turner, een leidende stem op het gebied van gegevensbeschermingsrecht, stemt hiermee in. Hij stelt in een LinkedIn post dat zelfs als de CrowdStrike-storing als een datalek wordt beschouwd, dit niet automatisch betekent dat er een meldingsplicht geldt. De AVG vereist dat organisaties de waarschijnlijkheid van schade voor getroffen personen beoordelen voordat zij overgaan tot melding. In het geval van CrowdStrike, waar de impact aanzienlijk was, zou dit voor veel organisaties tot een meldingsplicht hebben geleid. Turner bekritiseert deze rigide benadering en stelt dat deze in de praktijk tot ongewenste situaties kan leiden, bijvoorbeeld dat organisaties gedwongen worden een melding te doen van een incident dat al bekend is bij autoriteiten. Hiermee zouden organisaties de werkdruk bij autoriteiten onnodig verhogen.
Deze interpretatie van Craddock en Turner staat haaks op de richtlijnen van de EDPB. De EDPB stelt dat zelfs een tijdelijk verlies van de beschikbaarheid van persoonsgegevens kan worden aangemerkt als een datalek onder de AVG. Dit omdat de autoriteit de toegang tot gegevens als een fundamenteel onderdeel van de "beschikbaarheid" beschouwt. De EDPB benadrukt dat organisaties alle passende technische en organisatorische maatregelen moeten nemen om de bescherming van persoonsgegevens te waarborgen, inclusief de voortdurende beschikbaarheid ervan.
