Is dit een datalek en moet ik het melden?
Als ondernemer ben jij verantwoordelijk voor de persoonsgegevens van je klanten en medewerkers. In de AVG heet je dan de verwerkingsverantwoordelijke. Hier lees je wanneer iets een datalek is, wanneer je het moet melden en wat je meteen doet. Dit is algemene uitleg en geen juridisch advies; bij twijfel kijk je op de website van de Autoriteit Persoonsgegevens (AP) of vraag je een jurist.
Wat is een datalek?
Volgens de AVG, de Europese privacywet, is het een inbreuk op de beveiliging waardoor persoonsgegevens verloren gaan, vernietigd of gewijzigd worden, of bij iemand terechtkomen die er niet bij mag (artikel 4, punt 12). Persoonsgegevens zijn gegevens over een herkenbaar persoon, zoals een naam, e-mailadres, adres of bestelgeschiedenis. Het gaat dus niet alleen om hackers. Voorbeelden:
- een mail of bijlage met persoonsgegevens die naar de verkeerde ontvanger gaat;
- een verloren of gestolen laptop, telefoon of usb-stick met persoonsgegevens die niet versleuteld waren;
- een gehackte mailbox waarin facturen, offertes of sollicitatiebrieven staan;
- een website of webwinkel waaruit klantgegevens zijn gestolen;
- ransomware waardoor je niet meer bij je klantadministratie kunt, ook als er niets is gekopieerd.
De eerste stappen
- Stop het lek. Vraag de verkeerde ontvanger de mail te verwijderen en dat te bevestigen. Wijzig het wachtwoord van een overgenomen mailbox vanaf een apparaat dat je vertrouwt (zie Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord).
- Breng in kaart wat er gebeurde. Wat is de oorzaak, wanneer begon het, welke gegevens zijn het, van hoeveel mensen, wie kan erbij en waren de gegevens versleuteld? Schrijf alles op, met datum en tijd.
- Schat het risico in voor de mensen van wie de gegevens zijn (zie hieronder).
- Meld het bij de AP als dat nodig is, binnen 72 uur.
- Informeer de betrokkenen als het risico voor hen hoog is.
- Zet het in je datalekregister. Dat doe je altijd.
Moet ik melden bij de Autoriteit Persoonsgegevens?
Je meldt een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat je het hebt ontdekt. Dat hoeft niet als het waarschijnlijk geen risico oplevert voor de mensen van wie de gegevens zijn (artikel 33 AVG).
- De klok start als je het weet, niet als het lek gebeurde. Het weekend telt mee: ontdek je het op vrijdag om 16:40, dan meld je uiterlijk maandag om 16:40.
- Onvolledig melden mag. Weet je na 72 uur nog niet alles, meld dan met wat je weet en vul de melding later aan.
- Alleen online. Je meldt via het meldformulier van de AP, niet per telefoon, mail of post. Met de vragenlijst van de AP bereid je de melding voor.
- Twijfel je? De AP raadt aan om dan toch te melden.
Deze vragen helpen bij de afweging:
| Vraag | Lager risico | Hoger risico |
|---|---|---|
| Welke gegevens? | Alleen zakelijke contactgegevens | BSN, kopie identiteitsbewijs, bankgegevens, wachtwoorden, medische gegevens, gegevens van kinderen |
| Hoeveel mensen? | Eén of enkele | Veel |
| Leesbaar voor wie het heeft? | Goed versleuteld, de sleutel is niet gelekt | Leesbaar, of het wachtwoord is ook gelekt |
| Wie heeft het? | Een bekende ontvanger die bevestigt dat hij het heeft verwijderd | Een onbekende, een crimineel, of openbaar op internet |
Een voorbeeld: wordt een goed versleutelde laptop gestolen, dan is er waarschijnlijk geen risico. Melden hoeft dan niet, maar je zet het wel in je register. Op een onversleutelde laptop kan de vinder alles lezen; dan is er meestal wel risico.
Wanneer informeer je de betrokkenen?
Levert het lek waarschijnlijk een hoog risico op voor de mensen van wie de gegevens zijn, dan informeer je hen onverwijld (artikel 34 AVG). Vertel in gewone taal wat er gebeurde, wat de gevolgen kunnen zijn, wat jij doet en wat zij zelf kunnen doen, zoals een wachtwoord wijzigen of extra letten op phishing uit jouw naam.
Dat hoeft niet als de gegevens door goede versleuteling onleesbaar waren, of als je daarna maatregelen hebt genomen waardoor het hoge risico niet meer waarschijnlijk is. Kost het een onevenredige inspanning om iedereen te bereiken, dan doe je een openbare mededeling.
Het datalekregister: altijd bijhouden
Elk datalek leg je vast, ook als je het niet meldt (artikel 33 lid 5). Noteer de feiten, de gevolgen, de maatregelen en je afweging: waarom je wel of niet hebt gemeld en waarom je de betrokkenen wel of niet hebt geïnformeerd. De AP heeft een voorbeeld-datalekregister.
En als het lek bij een leverancier zit?
Je hostingbedrijf, je boekhoudpakket in de cloud of je nieuwsbriefdienst is volgens de AVG een verwerker: een partij die persoonsgegevens in jouw opdracht verwerkt. Een verwerker moet jou zonder onredelijke vertraging informeren als hij een datalek ontdekt (artikel 33 lid 2). Daarna beoordeel jij of je moet melden, en in principe meld je ook zelf.
Dat geldt ook als WebOké je verwerker is. Denk je dat het lek bij ons zit, bijvoorbeeld op onze servers? Neem dan meteen contact met ons op via een ticket in het Supportcentrum, met wat je hebt gezien en wanneer.
Verder lezen
- WebOké Backups: een backup bekijken, terugzetten of downloaden
- Autoriteit Persoonsgegevens: wel of niet melden
- Autoriteit Persoonsgegevens: hoe je een datalek meldt
- Autoriteit Persoonsgegevens: vragenlijst van het meldformulier
- Autoriteit Persoonsgegevens: voorbeeld-datalekregister
- De AVG, artikelen 4, 33 en 34 (EUR-Lex)