Antwoord schriftelijke vragen : Antwoord op vragen van het lid Van den Berg over het Datalek bij Basic-Fit

Antwoord van Staatssecretaris Van Bruggen (Justitie en Veiligheid) (ontvangen 3 juni
2026). Zie ook Aanhangsel Handelingen, vergaderjaar 2025–2026, nr. 2005.

Vraag 1

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de Autoriteit
Persoonsgegevens al een onderzoek is gestart naar aanleiding van het datalek bij Basic-Fit?

Antwoord 1

De Autoriteit Persoonsgegevens (AP) doet geen mededelingen over eventuele lopende
onderzoeken. Haar onafhankelijkheid brengt bovendien mee dat het aan de AP zelf moet
worden gelaten in welke gevallen een onderzoek noodzakelijk en wenselijk is.

Vraag 2

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of er wordt gekeken
naar een mogelijke overtreding van artikel 5 AVG?

Antwoord 2

Over die informatie beschik ik niet. Mocht het inderdaad zo zijn dat de AP onderzoek
doet, dan informeert zij het kabinet daar niet over, ook niet desgevraagd. Op grond
van artikel 52 AVG treedt de AP volledig onafhankelijk op en blijft zij vrij van externe
invloed en vragen.

Vraag 3

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de regelgeving
(voornamelijk de AVG) of de handhaving moet worden aangescherpt, wellicht omdat sommige
AVG-artikelen onduidelijk of achterhaald zijn?

Antwoord 3

Ik beschik niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes
vertoont, mede gezien de brede werkingssfeer van de AVG. Het komt eerder aan op naleving
van de regelgeving; dat deze in voorkomende gevallen tekort schiet, is eerder toe
te schrijven aan verschillende andere factoren dan aan de bepalingen in de AVG zelf.

Vraag 4

Basic-Fit valt niet onder de Cyberbeveiligingswet. Deelt u de opvatting dat grote
bedrijven met veel data onder de reikwijdte van de Cyberbeveiligingswet zouden moeten
vallen als «belangrijke entiteit»? Basic-Fit genereert namelijk zo’n 1,4 miljard omzet.

Antwoord 4

Omdat de NIS2-richtlijn streeft naar harmonisatie tussen de lidstaten, is in de NIS2-richtlijn
bewust bepaald alleen essentiële en belangrijke entiteiten uit specifieke kritieke
sectoren, subsectoren en soorten entiteiten onder het toepassingsbereik van de NIS2-richtlijn
te brengen die zeer belangrijk zijn voor het functioneren van de economie en maatschappij.
Incidenten bij deze entiteiten kunnen leiden tot verstoring of compromittering van
hun dienstverlening. Deze kunnen grote economische schade veroorzaken of in sommige
gevallen ook tot ontwrichting van de samenleving leiden. Bij de omzetting van de NIS2-richtlijn
heeft het kabinet ervoor gekozen om niet meer te regelen dan op grond van de Europese
regelgeving noodzakelijk is. Dit zou een nationale kop zijn en het kabinetsbeleid
is dat er geen nationale koppen komen op Europese regelgeving.

Vraag 5

Als Basic-Fit onder de Cyberbeveiligingswet zou vallen, had volgens u beiden het datalek
dan voorkomen kunnen worden (voornamelijk in het licht van de zorgplicht)?

Antwoord 5

Op grond van de zorgplicht in de Cyberbeveiligingswet moeten essentiële entiteiten
en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische
maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen
te beheersen. Zorgplichtmaatregelen dragen bij aan het voorkomen van een incident,
het beperken van de impact van een incident, het efficiënt en effectief reageren op
een incident en het zo snel mogelijk herstellen van een incident. Het risico op een
datalek blijft echter altijd aanwezig en kan daarom nooit geheel worden voorkomen.

Vraag 6

Kunt u beiden iedere vraag afzonderlijk van elkaar beantwoorden?

Antwoord 6

De vragen zijn afzonderlijk beantwoord.