Indien het gegevenslek waarschijnlijk ongunstige gevolgen met zich me kan brengen voor de rechten en vrijheden (o.a. het recht op bescherming van de persoonlijke levenssfeer) van de betrokkene, dan moet het gegevenslek ook aan de betrokkenen zelf worden gemeld. Dat zijn medewerkers, leerlingen of

hun ouders, als zij jonger zijn dan 16 jaar.

Als stelregel dient men ervan uit te gaan dat wanneer persoonsgegevens van gevoelige aard zijn gelekt het risico voor ongunstige gevolgen voor de privacy van betrokkenen inderdaad waarschijnlijk is. Denk daarbij bijvoorbeeld aan een afdruk uit het leerlingenvolgsysteem met beschrijving pestgedrag of onderzoeksresultaten CLB.

Een melding aan de betrokkene(n) moet niet gebeuren wanneer de gelekte persoonsgegevens zijn beveiligd of versleuteld, en de gelekte data onbegrijpelijk of ontoegankelijk zijn voor derden. Denk daarbij bijvoorbeeld aan het lekken van een beveiligde én versleutelde database met persoonsgegevens.

Indien de betrokkene(n) worden geïnformeerd dient dit ook aan de melding bij de VTC te worden toegevoegd.