Kan een medewerker persoonlijk aansprakelijk worden gesteld voor een datalek?

De boetes en schadeclaims die onder Wet bescherming persoonsgegevens kunnen gesteld zijn gericht tegen de verantwoordelijke, tegen het bedrijf dat de persoonsgegevens beheert. Een werknemer is daarbij in beginsel niet meer dan een 'handje' van dat bedrijf. Hij opereert daar niet als individu en is daarom ook niet als individu aan te spreken op de schade.
Wel zijn er - zeer beperkte - mogelijkheden om als werkgever schade (en boetes) te verhalen op de werknemer die het veroorzaakte. (Art. 7:661 BW bepaalt dat de werknemer 'niet jegens de werkgever aansprakelijk [is], tenzij de schade een gevolg is van zijn opzet of bewuste roekeloosheid'. De opzet of bewuste roekeloosheid moet door de werkgever worden bewezen, wat in de praktijk weinig kans van slagen heeft.