Datalek in je bedrijf? Zo dam je het eerst in, beoordeel je of je moet melden bij de Autoriteit Persoonsgegevens (binnen 72 uur) en wie je informeert.
Een datalek moet je binnen 72 uur nadat je het ontdekt melden bij de Autoriteit Persoonsgegevens (AP), tenzij het lek waarschijnlijk geen risico oplevert voor de mensen van wie de gegevens zijn. Is het risico hoog, dan informeer je ook die mensen zelf. Elk datalek, ook als je het niet meldt, zet je in je eigen datalekregister.
Een datalek is breder dan een hack. Een mail met klantgegevens naar het verkeerde adres, een gestolen laptop zonder versleuteling, een gedeelde map die openbaar stond: dat zijn allemaal datalekken. Belangrijk is dat je snel handelt en vastlegt wat je doet. Dit is praktische uitleg, geen juridisch advies. Twijfel je over jouw situatie, kijk dan bij de officiële bron of vraag een jurist.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Stop wat er nog weglekt. Trek een verkeerd verstuurde mail terug en vraag de ontvanger hem te verwijderen, zet een openbare link uit, wijzig wachtwoorden en log alle sessies uit bij een gehackt account. Zie ook Mailaccount gehackt: wat nu?
Schrijf op wanneer je het ontdekte, wat er is gebeurd, welke gegevens het betreft (namen, adressen, BSN, medische of financiële gegevens), van hoeveel mensen ongeveer, en wat je al hebt gedaan. Deze tijd telt: de 72 uur lopen vanaf het moment van ontdekken.
Vraag je af wat er met de gegevens kan gebeuren. Gevoelige gegevens, wachtwoorden, BSN of gegevens van veel mensen geven al snel risico op fraude of schade. Waren de gegevens goed versleuteld en is de sleutel niet gelekt, dan is het risico vaak klein.
Moet je melden, gebruik dan het online meldformulier op de site van de AP. Weet je nog niet alles? Meld dan toch binnen 72 uur en vul later aan. Dat mag en is beter dan te laat melden.
Bij een hoog risico laat je de mensen zelf weten wat er is gebeurd, wat de gevolgen kunnen zijn en wat ze kunnen doen, zoals een wachtwoord wijzigen of alert zijn op phishing. Schrijf in duidelijke taal.
Leg elk datalek vast, ook als je niet meldt: wat er gebeurde, de gevolgen, wat je deed en waarom je wel of niet meldde. Een simpele tabel is genoeg.
Kijk wat de oorzaak was en pas het aan: versleuteling op laptops, tweestapsverificatie, minder mensen met toegang, of een controle voor je verstuurt. Werk je met een verwerker, zoals een hoster of een softwareleverancier, spreek die dan aan op de afspraken uit je verwerkersovereenkomst.
Let op: Ontdekt een leverancier die gegevens voor jou verwerkt een lek, dan moet die het jou zonder vertraging melden. Jij blijft verantwoordelijk voor de melding bij de AP.
De regels staan in de AVG (artikel 33 en 34). Het meldformulier en de uitleg vind je bij de toezichthouder.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Niet altijd. Gaat het om één gewone naam en mailadres naar een bekende relatie die het verwijdert, dan is het risico vaak klein. Leg het wel vast in je register.
Meld dan alsnog zo snel mogelijk en leg uit waarom het later is. Te laat melden is beter dan niet melden.
Als er persoonsgegevens op staan en de schijf niet versleuteld is, ja. Met versleuteling, zoals BitLocker of FileVault, en een sterk wachtwoord is het risico meestal klein.
Ja. De plicht geldt voor iedereen die persoonsgegevens verwerkt, ongeacht de grootte van het bedrijf.
Ja, met het technische deel: het lek dichten, accounts beveiligen, uitzoeken wat er is gebeurd en vastleggen wat je nodig hebt voor de melding.
Hulp nodig van een mens? IT-consultancy · IT-beveiliging in jouw plaats · Hosting en onderhoud · Alle oplossingen
Website: IT Live