Een datalek hoeft niet te komen door een hacker. Een e-mail naar de verkeerde ontvanger of een verloren laptop kan ook een datalek zijn. In veel gevallen moet u het dan melden bij de Autoriteit Persoonsgegevens (AP).
Dit is algemene informatie en geen juridisch advies. Twijfelt u in een concrete situatie, vraag dan uw functionaris gegevensbescherming of een privacyjurist.
Wat is een datalek?
Volgens de AVG is een datalek een inbreuk op de beveiliging waarbij persoonsgegevens per ongeluk of onrechtmatig verloren gaan, worden gewijzigd, worden vernietigd of bij iemand terechtkomen die er geen toegang toe hoort te hebben.
Voorbeelden uit de praktijk
- Een e-mail met persoonsgegevens naar de verkeerde ontvanger.
- Een verloren of gestolen laptop of usb-stick zonder versleuteling.
- Een medewerker die zonder reden klantgegevens inziet.
- Ransomware die gegevens versleutelt of buitmaakt.
- Een export of back-up die openbaar bereikbaar blijkt.
Wanneer moet u melden?
U meldt een datalek bij de AP, tenzij het onwaarschijnlijk is dat het een risico oplevert voor de mensen van wie de gegevens zijn. De melding doet u zonder onredelijke vertraging en, als het kan, binnen 72 uur nadat u het lek hebt ontdekt.
De 72 uur gaan in op het moment dat u redelijkerwijs weet dat er een lek is, niet pas als het onderzoek klaar is. Heeft u nog niet alle informatie, dan mag u eerst een melding doen en die later aanvullen.
Moet u ook de betrokkenen informeren?
Ja, als het lek waarschijnlijk een hoog risico voor hen oplevert, bijvoorbeeld omdat inloggegevens, financiële gegevens of gezondheidsgegevens zijn buitgemaakt. U vertelt dan in duidelijke taal wat er is gebeurd en wat ze zelf kunnen doen.
Waren de gegevens goed versleuteld, dan hoeft dit in sommige gevallen niet.
Wat u in de eerste uren doet
Zorg eerst dat het lek stopt en leg daarna vast wat u weet.
Eerste stappen
- Stop de oorzaak: koppel systemen af, trek toegang in en wijzig wachtwoorden.
- Leg vast wanneer het gebeurde, welke gegevens het zijn en om hoeveel mensen het gaat.
- Schakel uw ICT-beheerder in en bewaar de logbestanden.
- Beoordeel het risico voor de betrokkenen.
- Meld bij de AP via het meldloket datalekken als dat nodig is.
- Informeer de betrokkenen als het risico hoog is.
Ook niet gemelde datalekken legt u vast
U bent verplicht elk datalek te registreren, ook als u besluit het niet te melden. Noteer wat er is gebeurd, wat de gevolgen zijn en waarom u wel of niet hebt gemeld. De AP kan dit overzicht opvragen.
Wat als een leverancier het lek heeft?
Verwerkt een leverancier gegevens namens u, bijvoorbeeld uw boekhoudpakket, dan moet die leverancier u zonder onredelijke vertraging informeren. U blijft zelf verantwoordelijk voor de melding aan de AP. Afspraken hierover horen in de verwerkersovereenkomst.
Wat kan het kosten?
Niet melden terwijl dat wel moet, kan een boete opleveren. Voor overtredingen van de meldplicht ligt het maximum op 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. De werkelijke boete valt voor een klein bedrijf meestal lager uit, maar het herstelwerk en de schade aan het vertrouwen van klanten komen daar bovenop.
Voorbereid op een datalek
- U weet wie bij een incident wordt gebeld, ook buiten kantooruren.
- Laptops en telefoons zijn versleuteld.
- Medewerkers weten dat ze een vermoeden direct moeten melden.
- Er is een register waarin datalekken worden vastgelegd.
- Met leveranciers zijn verwerkersovereenkomsten gesloten.