Datalek melden

Bij een datalek heeft u mogelijk niet één maar drie meldplichten tegelijk, elk met een eigen termijn en een eigen ontvanger. Wie dat pas gaat uitzoeken op het moment zelf, is te laat.

De drie routes naast elkaar

Die 24 uur is de kortste en wordt het vaakst gemist, omdat organisaties de AVG-termijn kennen en de nieuwe termijn uit de Cyberbeveiligingswet niet.

Wanneer is het een datalek

Zodra persoonsgegevens verloren zijn gegaan of onbedoeld toegankelijk waren. Dat is breder dan een hack: een verkeerd geadresseerde mail met een bijlage, een verloren telefoon zonder versleuteling, of een medewerker die dossiers inzag zonder reden zijn alle drie datalekken.

Niet elk datalek hoeft gemeld te worden. Melden hoeft niet als het onwaarschijnlijk is dat er risico voor de betrokkenen ontstaat, bijvoorbeeld bij goed versleutelde gegevens waarvan de sleutel niet is meegelekt. Die afweging legt u wel vast, ook als u niet meldt.

Wat er in de melding staat

• wat er gebeurd is en wanneer u het ontdekte
• welke soorten persoonsgegevens het betreft en hoeveel mensen ongeveer
• de waarschijnlijke gevolgen voor die mensen
• wat u heeft gedaan om het te beperken
• uw contactpersoon voor vragen

U mag onvolledig melden en later aanvullen. Dat is beter dan wachten tot het beeld compleet is en de termijn overschrijden.

Het datalekregister

Ook lekken die u niet meldt, moet u registreren. Dat register bevat per geval: datum, wat er gebeurde, welke gegevens, uw afweging over melden, en wat u heeft gedaan. Het is een van de eerste dingen waar de Autoriteit Persoonsgegevens naar vraagt.

Een leeg register is verdacht. In een organisatie van enige omvang gebeurt er jaarlijks wel iets kleins; staat er niets in, dan betekent dat meestal dat er niet gemeld wordt, niet dat er niets gebeurt.

Zet beide routes in uw plan

De persoon die om drie uur 's nachts moet beslissen, hoort niet te hoeven uitzoeken welke termijn als eerste afloopt. Zet de twee routes naast elkaar in uw incidentresponsplan, met de contactgegevens erbij, op papier.

Hoe u er in de praktijk achter komt

De meeste organisaties ontdekken een datalek niet via een technisch systeem maar via een medewerker die iets vreemds opmerkt: een mail die naar de verkeerde persoon ging, een melding van een klant, of een systeembeheerder die inlogpogingen ziet die niet kloppen. Dat betekent dat uw meldproces begint bij een lage drempel om iets te melden, niet bij geavanceerde detectie. Een medewerker die twijfelt of iets een lek is, moet het gewoon kunnen melden zonder bang te zijn voor een verwijt.

Regel daarom vooraf wie een melding binnenkrijgt en wat die persoon binnen het uur doet: vaststellen wat er is gebeurd, welke gegevens het raakt en hoeveel mensen ongeveer. Zonder die eerste snelle inschatting loopt de klok door zonder dat iemand weet of hij moet melden.

Wie beslist, per organisatiegrootte

In een kleine organisatie is dat meestal de eigenaar of de directeur zelf, samen met wie de systemen beheert. Bij een grotere organisatie hoort hier een vaste rol bij, bijvoorbeeld de functionaris gegevensbescherming of de verantwoordelijke voor informatiebeveiliging, met een vervanger voor als die persoon niet bereikbaar is. Leg die rol en de vervanger vooraf vast in uw incidentresponsplan. Een discussie over wie mag beslissen hoort niet plaats te vinden tijdens de 24 uur die u heeft.

Wat er in de praktijk misgaat

• Wachten op het volledige beeld. Organisaties stellen de melding uit tot alles duidelijk is, terwijl de wet juist toestaat om onvolledig te melden en later aan te vullen.
• Alleen de AVG-termijn kennen. De 72 uur is bekend, de 24 uur uit de Cyberbeveiligingswet wordt vaak vergeten omdat die nieuwer is.
• Near-misses niet registreren. Een poging die niet is gelukt hoort niet gemeld te worden, maar wel geregistreerd, want een toezichthouder wil ook dat patroon zien.
• Het lek bij een leverancier over het hoofd zien. Uw meldplicht geldt ook als het lek bij een partij ontstond die namens u werkt. Zonder een meldafspraak in het contract hoort u het vaak te laat.

Wat het kost aan tijd

De melding zelf schrijft u in een half uur als u het sjabloon en de contactgegevens klaar heeft liggen. Waar de tijd echt in gaat zitten is het uitzoeken: welke gegevens precies, welke mensen, en wat de gevolgen kunnen zijn. Bij een kleine, overzichtelijke omgeving is dat een middag werk. Bij verspreide systemen en meerdere afdelingen kan dat oplopen tot dagen, en dat is precies waarom u niet wacht met melden tot dat onderzoek klaar is.

Wat een toezichthouder wil zien

Niet alleen de melding zelf, maar het datalekregister eromheen: wanneer ontdekt, wat er is gebeurd, uw afweging om wel of niet te melden, en welke maatregelen zijn genomen om herhaling te voorkomen. Dat laatste onderdeel ontbreekt het vaakst en is precies waar een toezichthouder om vraagt: wat heeft u ervan geleerd. Zie ook de zorgplicht voor de bredere aantoonplicht.

Veelgestelde vragen

Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?

Nee, alleen als er risico voor de betrokkenen is. Registreer wel elk geval, inclusief uw afweging om niet te melden.

Wat als ik de 72 uur niet haal?

Meld alsnog, met een toelichting waarom het later is. Te laat melden is beter dan niet melden.

Moet ik betrokkenen altijd informeren?

Alleen bij hoog risico voor hen, bijvoorbeeld bij gelekte identiteitsgegevens of financiële gegevens.

Telt een verloren laptop als datalek?

Als er persoonsgegevens op stonden die niet versleuteld waren, ja. Bij goede versleuteling meestal niet, mits de sleutel niet meelekte.

Moeten wij ook near-misses registreren?

Ja, apart van het datalekregister. Het laat zien dat uw detectie werkt, ook als er niets gemeld hoefde te worden.

Wat als het lek is ontstaan bij onze leverancier?

U blijft zelf verantwoordelijk voor de melding. Zorg dat uw contract een korte meldtermijn van de leverancier aan u bevat, anders start uw eigen klok te laat.

Hoe lang bewaren wij het datalekregister?

Zolang als redelijk is om aan te tonen dat u aan uw verplichtingen voldoet, in de praktijk meerdere jaren. Bewaar het los van het incident zelf, zodat het los van dat systeem raadpleegbaar blijft.

Mag de melding door iemand anders namens ons worden gedaan?

Ja, bijvoorbeeld door een adviseur, maar de verantwoordelijkheid en de eindbeslissing blijven bij uw eigen organisatie.