Wat moet je doen bij een datalek?

Bij een datalek moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens, maar alleen als het lek waarschijnlijk een risico oplevert voor de mensen van wie de gegevens zijn gelekt. Die termijn begint te lopen zodra je bekend bent met het lek.

Belt iemand ons over een datalek, dan gaat de eerste vraag bijna altijd over die 72 uur. Begrijpelijk, want dat is het getal dat is blijven hangen. Alleen is het niet het begin van het proces, maar het einde ervan. Eerst moet je weten wat er precies is gebeurd.

Bij een datalek hebben mensen toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Dat kan komen door beveiligingsproblemen, maar net zo goed door een e-mail naar het verkeerde adres of een computer die wordt verkocht zonder dat de harde schijf is gewist. In onze praktijk is die tweede categorie veruit de grootste.

Dit is de volgorde die wij aanhouden.

Stap 1: stop het lek

Zorg eerst dat er niet nog meer gegevens weglekken. Trek de toegang in, haal het bestand offline, blokkeer het account.

Leg tegelijk vast wat je aantreft en op welk moment. Die tijdlijn lijkt op dat moment bijzaak, maar je hebt hem later hard nodig.

Stap 2: kijk wat er precies is gelekt

Om welke gegevens gaat het, van hoeveel mensen, en hoe gevoelig zijn ze? Een lijst met zakelijke e-mailadressen is een ander verhaal dan een bestand met BSN-nummers of gezondheidsgegevens. Deze stap bepaalt alles wat daarna komt.

Stap 3: maak de risico-inschatting

Is het waarschijnlijk dat het datalek een risico oplevert voor de betrokkenen, dan ben je verplicht het binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Factoren die bij die risicobepaling een rol kunnen spelen zijn de volgende:

• de aard van de inbreuk;
• de aard en gevoeligheid van de persoonsgegevens en de hoeveelheid;
• het gemak waarmee personen kunnen worden geïdentificeerd;
• de ernst van de gevolgen voor de slachtoffers;
• kenmerken van de onbevoegde ontvanger;
• bijzondere kenmerken van de persoon;
• bijzondere kenmerken van jouw organisatie;
• het aantal slachtoffers.

Die 72 uur begint te lopen zodra je bekend bent met het lek, niet zodra je alles hebt uitgezocht. Ben je er nog niet uit? Meld dan alvast en vul later aan. Te laat melden is een overtreding op zichzelf, en dat is zonde als de melding zelf niet eens spannend was.

Stap 4: bepaal of je de betrokkenen moet informeren

Levert het lek een hoog risico op voor de mensen om wie het gaat, dan moet je hen ook zelf informeren. Dat is een zwaardere drempel dan die voor de melding bij de Autoriteit Persoonsgegevens. In dat bericht leg je in gewone taal uit wat er is gebeurd, wat de mogelijke gevolgen zijn en wat zij zelf kunnen doen.

Wij adviseren geregeld om ook te informeren als het niet hoeft. Klanten die het van een ander horen, reageren doorgaans een stuk harder dan klanten die het van jou horen.

Stap 5: leg het vast in je datalekregister

Een organisatie is verplicht om een datalekregister op te stellen en bij te houden. Hierin worden alle datalekken vastgelegd die zich binnen een organisatie hebben voorgedaan. Dit kan gaan om een verkeerd geadresseerde e-mail, het verliezen van een laptop vol persoonsgegevens of een hack of cyberaanval.

Let op: dat register geldt ook voor de lekken die je níét hebt gemeld. Juist daar wil de toezichthouder kunnen zien welke afweging je hebt gemaakt en waarom.

En als je leverancier het lek veroorzaakt?

Verwerkt een externe partij gegevens in jouw opdracht, dan moet die partij het lek bij jou melden. Jij blijft vervolgens verantwoordelijk voor de melding bij de toezichthouder. Dat verrast nogal eens.

Hoe snel je leverancier moet melden en wat hij daarbij aanlevert, hoort in de verwerkersovereenkomst te staan. Als wij zo’n overeenkomst erbij pakken nadat het is misgegaan, blijkt dat punt er opvallend vaak niet in te staan.

Voorkomen is goedkoper

De meeste lekken die wij zien komen niet door een geraffineerde aanval, maar doordat te veel mensen bij te veel gegevens kunnen. Daar helpt een strak autorisatiebeleid tegen, en het naleven van de basisprincipes van de AVG rond dataminimalisatie en bewaartermijnen. Wat je niet bewaart, kan ook niet lekken.

Hulp nodig?

Wij helpen bij het maken van de risico-inschatting en adviseren of een datalek wel of niet gemeld moet worden bij de Autoriteit Persoonsgegevens. Die melding kunnen wij vervolgens ook voor je doen. Ook denken we mee over de vraag of de gedupeerden persoonlijk op de hoogte moeten worden gebracht.

Zit je er middenin? Neem gerust contact op, ook als je nog niet weet hoe groot het is. Meer over ons werk lees je op de pagina privacyrecht.