Datalek

Een datalek is een inbreuk op de beveiliging die leidt tot verlies, ongeoorloofde toegang, wijziging of vernietiging van persoonsgegevens. Het hoeft geen hack te zijn: een gestolen laptop, een verkeerd geadresseerde mailing, een kwijtgeraakte usb-stick of een e-mail met alle adressen in het cc-veld zijn net zo goed datalekken.

Drie soorten inbreuken

• Vertrouwelijkheid: onbevoegden krijgen toegang.
• Integriteit: gegevens worden ongewild gewijzigd.
• Beschikbaarheid: gegevens raken kwijt of ontoegankelijk.

Moet je melden? Een snelle wegwijzer

Melden bij de AP

Levert het lek een risico op voor de betrokkenen, dan meld je het binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens via het online meldloket. Weet je nog niet alles, meld dan gefaseerd. Is er waarschijnlijk geen risico, dan hoef je niet te melden, maar je legt het wel intern vast.

Tip: houd een intern datalekregister bij van elk lek, ook de niet-meldingsplichtige. Zo laat je aan de AP zien dat je gestructureerd handelt.

Hoe pak je een datalek aan?

Loopt er iets mis met persoonsgegevens, werk dan deze vijf stappen af. Levert het lek risico op, dan heb je 72 uur om te melden.

1. Stop het lek meteen. Sluit de toegang af, reset wachtwoorden of haal de betrokken dienst tijdelijk offline, zodat het lek niet groter wordt.
2. Weeg het risico af. Kijk welke gegevens zijn geraakt, om hoeveel mensen het gaat en wat de gevolgen voor hen kunnen zijn.
3. Meld op tijd bij de AP. Is er een reëel risico, geef het datalek dan binnen 72 uur na ontdekking door via het meldloket van de Autoriteit Persoonsgegevens.
4. Waarschuw de betrokkenen. Bij een hoog risico breng je de getroffen personen zelf op de hoogte, in begrijpelijke taal en met een handelingsperspectief.
5. Vastleggen en verbeteren. Zet elk lek in je interne register en scherp je beveiliging aan, zodat dezelfde fout niet opnieuw gebeurt.