Datalek en dan? Vijf stappen bij datalekken · Salaris Vanmorgen
Home » Datalek en dan? Vijf stappen bij datalekken
Datalek en dan? Vijf stappen bij datalekken
Een datalek kan elke organisatie overkomen. Door snel te handelen voorkom je dat de gevolgen voor de privacy van de betrokken personen groter worden.
Organisaties die een datalek willen melden bij de Autoriteit Persoonsgegevens (AP) kunnen dat doen via het meldloket datalekken.
De volgende vijf stappen moet je ondernemen bij een datalek:
Neem onmiddellijk maatregelen om de schade te beperken. En schat de risico's in.
Bepaal of je het datalek wel of niet moet melden aan de Autoriteit Persoonsgegevens (AP). Zo ja, doe dit onmiddellijk.
Bepaal of je het datalek wel of niet moet melden aan de betrokken personen. Zo ja, doe dit zo snel mogelijk.
Registreer het datalek in het datalekregister.
De volgende 10 vragen helpen je om overzicht te krijgen op de situatie, zodat je de juiste vervolgstappen kunt nemen.
Om wat voor groepen mensen gaat het? Bijvoorbeeld klanten, werknemers, scholieren, patiënten, inwoners et cetera. Gaat het om kwetsbare groepen? Bijvoorbeeld kinderen, gehandicapten of bejaarden.
Heb je zicht op wie de onbevoegden zijn? En is het waarschijnlijk dat de onbevoegden kwade bedoelingen hebben met de gegevens? Of gaat het om een bekende, betrouwbare ontvanger?
Heeft de organisatie vooraf maatregelen getroffen waardoor de gelekte persoonsgegevens (deels) ontoegankelijk zijn voor onbevoegden, bijvoorbeeld omdat de gegevens versleuteld zijn?
Tip: zorg dat er een werkproces klaarligt, zodat duidelijk is wie wat doet bij een datalek en je niet onnodig tijd verliest. Wie het eerste aanspreekpunt is bij een (mogelijk) datalek?
2 Schade beperken
Een verkeerde ontvanger vragen om een bevestiging dat de gegevens uit een brief of e-mail zijn vernietigd. Hoewel je op basis van zo'n bevestiging niet 100 procent zeker weet dat de gegevens zijn, kun je het wel meenemen in de risico-inschatting.
Wanneer je verplicht bent om de betrokken personen te informeren, aangeven wat zij zelf kunnen doen om de schade te beperken.
3 Melden aan AP?
Je moet een datalek binnen 72 uur melden aan de Autoriteit Persoonsgegevens (AP), behalve als het niet waarschijnlijk is dat er een risico is. De betrokken personen informeer je alleen als sprake is van een hoog risico.
Het is je eigen verantwoordelijkheid om het risico van een datalek in te schatten.
Discriminatie, bijvoorbeeld bij een datalek met gegevens over ras, geloof of seksuele geaardheid.
Identiteitsdiefstal of -fraude, bijvoorbeeld bij een datalek met complete paspoortkopieën. Of het BSN in combinatie met andere persoonsgegevens.
Financiële verliezen, bijvoorbeeld bij een datalek met creditcardgegevens waardoor het risico bestaat dat iemand online bestellingen kan plaatsen op kosten van een ander.
Reputatieschade, bijvoorbeeld bij een datalek met gegevens over problematische schulden, verslaving of prestaties op het werk.
Doorbreking van beroepsgeheim, bijvoorbeeld bij een datalek met medische gegevens.
4 Melden aan betrokkenen?
Een datalek brengt een hoog risico met zich mee wanneer het kan leiden tot lichamelijke, materiële of immateriële schade voor de betrokken personen. In deze gevallen moet je ervan uit gaan dat je het datalek moet melden aan de Autoriteit Persoonsgegevens (AP) en aan de betrokkenen, tenzij sprake is van een uitzondering op de meldplicht.
5 Datalekregister
Iedere organisatie die verwerkingsverantwoordelijke is, moet volgens de privacywet een datalekregister opstellen. Hierin houd je bij welke datalekken er in de organisatie zijn geweest.
In het register leg je niet alleen de datalekken vast die je aan de AP hebt gemeld. Ook de minder ernstige datalekken vermeld je in het register.