Wat is een datalek?
Onder de AVG is een datalek een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde inzage of verstrekking van persoonsgegevens. Dat is breder dan een hack. Een e-mail met klantgegevens naar de verkeerde ontvanger, een verloren laptop zonder versleuteling of een map die per ongeluk openbaar is gedeeld, zijn ook datalekken.
Melden binnen 72 uur
Een datalek moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de rechten en vrijheden van de betrokkenen. Bent u nog niet compleet, meld dan wat u weet en vul de melding later aan. Bent u verwerker voor een klant, dan meldt u het lek zonder onnodige vertraging aan die klant; zij beslissen over de melding.
Hoe beoordeelt u het risico?
Bij de beoordeling kijkt u naar een aantal factoren.
- Om welke gegevens gaat het: gewone contactgegevens of gevoelige gegevens zoals medische of financiële gegevens en het burgerservicenummer?
- Hoeveel mensen zijn getroffen?
- Waren de gegevens versleuteld en is de sleutel veilig gebleven?
- Kunnen de gegevens worden misbruikt voor fraude, identiteitsdiefstal of discriminatie?
- Kunt u het lek nog beperken, bijvoorbeeld door een verkeerd verstuurde mail te laten verwijderen?
Betrokkenen informeren
Is het risico voor de betrokkenen hoog, dan informeert u hen ook zelf, in begrijpelijke taal. Vertel wat er is gebeurd, wat de mogelijke gevolgen zijn, wat u doet en wat zij zelf kunnen doen, zoals alert zijn op phishing of hun wachtwoord wijzigen. Geef een contactpunt voor vragen.
Elk datalek vastleggen
Ook datalekken die u niet hoeft te melden, legt u vast in een intern register. Noteer de feiten, de gevolgen, de genomen maatregelen en uw afweging om wel of niet te melden. De Autoriteit Persoonsgegevens kan dit register opvragen. Het register helpt bovendien om patronen te herkennen, zoals steeds dezelfde fout bij het versturen van mail, en daar een structurele maatregel voor te nemen.