Laptop gestolen, mail naar de verkeerde persoon of een gehackte site? Zo handelt u een datalek af, inclusief de meldplicht bij de Autoriteit Persoonsgegevens.
Een datalek klinkt groot, maar bij kleine bedrijven gaat het vaak om alledaagse dingen: een mail naar de verkeerde persoon of een gestolen laptop.
Kort antwoord
Een datalek is elke inbreuk waarbij persoonsgegevens verloren gaan, in verkeerde handen komen of onbedoeld worden aangepast. Beperk eerst de schade, leg het lek vast in uw eigen register en beoordeel het risico. Is er een risico voor de betrokkenen, dan meldt u het in de regel binnen 72 uur nadat u het ontdekte bij de Autoriteit Persoonsgegevens. Bij een hoog risico informeert u ook de betrokken personen zelf. Dit is algemene uitleg, geen juridisch advies.
Wat telt als datalek?
Voorbeelden die bij kleine bedrijven vaak voorkomen:
Een e-mail met klantgegevens naar het verkeerde adres, of een mail aan veel klanten met alle adressen zichtbaar in het "aan"-veld.
Een gestolen of verloren laptop of telefoon zonder versleuteling.
Een gehackte mailbox of website met klantgegevens.
Ransomware die bestanden versleutelt.
Een oud-medewerker die nog toegang heeft tot het klantensysteem.
Een map met offertes die per ongeluk openbaar op internet staat.
Het hoeft dus niet altijd om hackers te gaan. En ook als de gegevens niet zijn ingezien, kan het een datalek zijn, bijvoorbeeld als ze kwijt zijn zonder back-up.
De eerste stappen
Stop het lek. Verander wachtwoorden, wis een kwijtgeraakt toestel op afstand, haal een openbare map offline, vraag de verkeerde ontvanger de mail te verwijderen.
Zoek uit wat er gebeurd is. Welke gegevens, van hoeveel mensen, sinds wanneer, en wie kan erbij?
Leg het vast. Noteer wat er gebeurde, wanneer u het ontdekte en welke maatregelen u nam. Dat register moet u bijhouden voor elk datalek, ook als u het niet hoeft te melden.
Beoordeel het risico voor de mensen van wie de gegevens zijn.
Meld waar nodig, binnen de termijn.
Melden bij de Autoriteit Persoonsgegevens
U meldt een datalek bij de Autoriteit Persoonsgegevens als het waarschijnlijk een risico vormt voor de rechten en vrijheden van de betrokkenen. Dat doet u via het online meldformulier op de website van de AP. Uitgangspunt is binnen 72 uur na ontdekking. Weet u nog niet alles, dan kunt u een eerste melding doen en later aanvullen.
Niet melden is vaak verdedigbaar als het risico klein is, bijvoorbeeld als een versleutelde laptop gestolen werd en de sleutel niet in handen van de dief is. Leg die afweging dan wel vast in uw register.
Gevoelige gegevens, zoals medische informatie, financiële gegevens, BSN-nummers of kopieën van identiteitsbewijzen, wegen zwaarder in de risicobeoordeling.
Betrokkenen informeren
Is er een hoog risico voor de mensen zelf, bijvoorbeeld kans op identiteitsfraude, oplichting of schade aan hun reputatie, dan informeert u ook hen. Zonder onnodige vertraging en in begrijpelijke taal:
Wat er gebeurd is.
Welke gegevens het betreft.
Wat u eraan doet.
Wat zij zelf kunnen doen, zoals een wachtwoord wijzigen of alert zijn op phishing.
Bij wie ze terechtkunnen met vragen.
Als een leverancier het lek heeft
Heeft uw hoster, boekhoudpakket of nieuwsbriefdienst een datalek, dan moet die u als verwerker informeren. U blijft als verwerkingsverantwoordelijke wel zelf verantwoordelijk voor de beoordeling en eventuele melding. Daarom staat in een verwerkersovereenkomst hoe snel de leverancier u waarschuwt.
Voorkomen
De meeste datalekken bij kleine bedrijven zijn te voorkomen met basismaatregelen: tweestapsverificatie op mail en beheeraccounts, versleutelde laptops en telefoons, een wachtwoordmanager, up-to-date software, back-ups en het weghalen van toegang bij medewerkers die vertrekken. Mail aan meerdere klanten verstuurt u via BCC of een nieuwsbriefdienst.
Veelgestelde vragen
Is een gehackte website altijd een datalek?
Alleen als er persoonsgegevens op de site staan of bereikbaar waren, zoals formulierinzendingen, klantaccounts of bestellingen. Een site zonder persoonsgegevens is wel een beveiligingsincident, maar geen datalek in AVG-zin.
Krijg ik een boete als ik een datalek meld?
Melden is juist wat de wet van u vraagt. Een boete hangt af van onder meer de ernst en of u maatregelen had genomen; dat kan ik niet voorspellen. Niet melden terwijl het moest, weegt zwaarder.
Wat als ik het pas later ontdek?
De 72 uur gaan in vanaf het moment dat u het lek ontdekt, niet vanaf het lek zelf.
Hulp nodig?
Is uw website of mailbox gehackt, of wilt u zulke lekken voorkomen? Ik help met herstel en beveiliging via IT-support.
