Datalek: wat nu?

Wat is een datalek?

In de AVG heet een datalek een inbreuk in verband met per­soons­ge­ge­vens: een inbreuk op de beveiliging waardoor per­soons­ge­ge­vens per ongeluk of on­rechtmatig worden vernietigd, verloren gaan, worden gewijzigd, of in handen komen van iemand die ze niet mag hebben (artikel 4 punt 12 AVG). De Autoriteit Per­soons­ge­ge­vens (AP) noemt deze voorbeelden:

• per­soons­ge­ge­vens die naar de verkeerde ge­adres­seerde zijn gestuurd;
• een medewerker die zonder bevoegdheid een medisch dossier inziet;
• een verloren usb-stick of apparaat met on­ver­sleu­telde per­soons­ge­ge­vens;
• een cyberaanval waarbij per­soons­ge­ge­vens zijn buitgemaakt;
• ransomware (gij­zelsoft­ware) waardoor per­soons­ge­ge­vens on­be­reik­baar zijn.

De drie soorten datalekken

Soort	Wat er gebeurt
Ver­trou­we­lijk­heid	Iemand die dat niet mag, ziet de gegevens, of ze worden per ongeluk openbaar
Integriteit	De gegevens worden zonder bevoegdheid of per ongeluk gewijzigd
Be­schik­baar­heid	De organisatie kan niet meer bij de gegevens, of ze zijn vernietigd

Een lek kan onder meer dan één soort vallen. Ransomware is bij­voor­beeld vaak een inbreuk op de be­schik­baar­heid én de ver­trou­we­lijk­heid.

Datalek in uw organisatie: de vier stappen

Stappenplan bij een datalek

1. Overzicht krijgen
2. Lek stoppen
3. Melden en informeren
4. Registreren

1. Stap 1Breng in kaart wat er is gebeurdWelke gegevens, van hoeveel mensen, sinds wanneer, wie had toegang, en waren de gegevens versleuteld?
2. Stap 2Stop het lek en beperk de schadeBij­voor­beeld een apparaat op afstand wissen, een bestand offline halen, een account blokkeren of de verkeerde ontvanger vragen de gegevens te vernietigen.
3. Stap 3Beoordeel het risico, meld bij de AP en informeer de betrokkenenMelden binnen 72 uur, tenzij er waar­schijn­lijk geen risico is. Bij een hoog risico informeert u ook de betrokkenen.
4. Stap 4Leg het lek vast in uw da­ta­le­kre­gis­terMet de feiten, de gevolgen en de maatregelen, ook als u niet hoeft te melden.

Termijn: melden binnen 72 uur

Meld een datalek zonder onnodige vertraging en zo mogelijk binnen 72 uur nadat u ervan weet bij de Autoriteit Per­soons­ge­ge­vens, tenzij het waar­schijn­lijk geen risico geeft voor de betrokkenen. Lukt dat niet binnen 72 uur, meld dan alsnog en leg uit waarom het later is (artikel 33 lid 1 AVG). Valt uw organisatie onder de Cy­ber­be­vei­li­gings­wet, dan geldt bij een significant incident ook een aparte meldplicht van 24 uur. Lees NIS2 en de Cy­ber­be­vei­li­gings­wet.

Wel of niet melden?

U moet zelf het risico inschatten. De AP noemt de factoren waarop u let:

• Wat er is gebeurd: zijn gegevens gelekt, gewijzigd of verloren gegaan?
• Welke gegevens en hoeveel: gezondheids­gegevens, straf­rechtelijke gegevens, kopieën van identiteits­bewijzen, cre­dit­card­ge­ge­vens of een BSN met naam en adres geven een hoog risico.
• Hoe makkelijk mensen te herkennen zijn: ver­sleu­te­ling of pseu­do­ni­mi­se­ring kan het risico verkleinen.
• De gevolgen en wie de ontvanger is: een bekende, betrouwbare ontvanger is iets anders dan een hacker.
• Wie de betrokkenen zijn en hoeveel: kinderen of andere kwetsbare mensen geven meer risico.

Wanneer meldt u, en aan wie?

Risico voor de betrokkenen	Wat u doet
Waar­schijn­lijk geen risico	Niet melden; wel vastleggen in uw da­ta­le­kre­gis­ter, met de reden
Wel een risico	Melden bij de AP, binnen 72 uur
Waar­schijn­lijk een hoog risico	Melden bij de AP én de betrokkenen zonder onnodige vertraging informeren, in duidelijke taal

De betrokkenen hoeft u niet te informeren als de gegevens bij­voor­beeld goed versleuteld waren, of als u achteraf maatregelen nam waardoor het hoge risico waar­schijn­lijk niet meer bestaat (artikel 34 lid 3 AVG). Werkt een leverancier met uw gegevens, dan meldt hij een lek aan u; u meldt het bij de AP (artikel 33 lid 2 AVG).

Elke zaak is anders

De voorbeelden, uitspraken en uitkomsten van rekenhulpen op deze site laten zien hoe de regels in andere situaties werken. Ze zeggen niet wat de uitkomst in uw zaak wordt: die hangt af van uw eigen afspraken, bewijs en om­stan­dig­he­den. Twijfelt u? Lees waar u gratis of betaalbare juridische hulp vindt.

Zijn uw gegevens gelekt?

Krijgt u een bericht dat uw gegevens bij een datalek betrokken zijn, of vermoedt u dat:

• Wees alert op phishing: criminelen kunnen gelekte e-mailadressen en te­le­foon­num­mers gebruiken voor nep­be­rich­ten. Klik niet op links en geef geen in­log­ge­ge­vens.
• Vraag de organisatie om uitleg: welke gegevens van u zijn gelekt en wat zij doet. U heeft recht op inzage in uw gegevens (artikel 15 AVG).
• Dien een klacht in bij de AP als de organisatie niet of slecht reageert.
• Schade­vergoeding: heeft u schade door een overtreding van de AVG, materieel of immaterieel, dan kunt u die vragen van de organisatie (artikel 82 AVG).

Wie kan u helpen?

Begin hier

Autoriteit Per­soons­ge­ge­vens

U wilt een datalek melden, of een klacht indienen over een organisatie.

Volgens de regels van de AP

Juridisch Loket

Uw gegevens zijn gelekt en u wilt weten wat uw rechten zijn.

Gratis bij een laag inkomen en weinig spaargeld

Specialist privacy­recht

Uw organisatie heeft een groot lek, of u wilt schade­vergoeding vragen.

Afhankelijk van de zaak · Binnenkort via Legal Holding