Datalek
Wat telt als een datalek?
Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan, worden vernietigd of gewijzigd, of in handen komen van iemand die er niet bij mag. Volgens de AVG telt ook een onbedoelde gebeurtenis mee, zoals een verkeerd verzonden e-mail met klantgegevens of een kwijtgeraakte laptop met persoonsgegevens.
Voor een website kan een datalek betekenen dat een ledenlijst, bestelgegevens of de inhoud van een contactformulier is gekopieerd door een aanvaller. Het kan ook ontstaan zonder kwade opzet, bijvoorbeeld door een openstaande database of een fout in software. Een datalek begint soms met phishing, zoals een nepinlogpagina die gegevens verzamelt.
Wanneer moet je een datalek melden?
Je meldt een datalek bij de toezichthouder als het waarschijnlijk een risico oplevert voor de rechten en vrijheden van de mensen om wie het gaat. In Nederland is dat de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit (GBA). Twijfel je of er een risico is, dan meld je liever wel. Elk incident moet je wel intern vastleggen.
De termijn is kort: je meldt het zonder onredelijke vertraging en waar mogelijk binnen 72 uur nadat je het hebt ontdekt. Lukt dat niet, dan leg je uit waarom het later is gebeurd.
Is het risico hoog, bijvoorbeeld bij gestolen wachtwoorden, financiële gegevens of gezondheidsinformatie, dan moet je ook de betrokkenen zelf informeren.
Hoe verloopt een melding?
Begin met een zo goed mogelijke beschrijving van wat er is gebeurd: welke gegevens, hoeveel mensen, wanneer het begon en wanneer je het ontdekte. Je hoeft niet alles meteen te weten. Een melding mag in fasen, en de toezichthouder verwacht dat je later aanvult.
Beschrijf ook welke maatregelen je hebt genomen om het datalek te beperken en te voorkomen dat het terugkomt. Gebruik je een verwerker, zoals een hostingpartij of een mailservice, dan moet die jou zonder onnodige vertraging waarschuwen als er iets misgaat. Zie wat een verwerkersovereenkomst is voor de afspraken daarover.
Leg intern vast wat er is gebeurd, ook als je besluit niet te melden. Die registratie is een wettelijke verplichting en helpt je later te onderbouwen waarom je wel of niet hebt gemeld.
Veelgestelde vragen
Moet ik ook klanten informeren bij een datalek?
Alleen als het datalek waarschijnlijk een hoog risico oplevert voor de betrokkenen. Denk aan gestolen inloggegevens, betaalgegevens of gevoelige informatie. Gaat het om een beperkt risico, zoals één verkeerd gemaild adres zonder andere gegevens, dan is informeren vaak niet verplicht. Je legt het dan wel intern vast.
Wat gebeurt er als ik een datalek niet meld?
De toezichthouder kan bestuurlijke maatregelen nemen, waaronder een boete. Ook verlies je het vertrouwen van klanten en leden als een datalek later alsnog boven water komt. Het is daarom verstandig om een melding te doen wanneer die nodig is en goed vast te leggen wat je hebt gedaan.