Feiten, regels en risico’s rondom een datalek

Veel organisaties denken dat een datalek hen niet snel overkomt. Toch is het sneller gebeurd dan je denkt: een verkeerde bijlage, een zwak wachtwoord of een kwetsbaarheid in je systeem. Niet elk incident is meldingsplichtig, en niet elke organisatie weet wanneer ze wel of niet moet handelen. Dit artikel geeft je een helder kader.

Wat is een datalek?

Een datalek is een probleem met de beveiliging van persoonsgegevens. Het gaat hier om alle informatie over een geïdentificeerde of identificeerbare persoon, zoals namen, adressen of medische gegevens. Een datalek heeft gevolgen voor de beschikbaarheid, integriteit of vertrouwelijkheid van die gegevens.

Dit gebeurt bijvoorbeeld als iemand zonder toestemming bij deze gegevens kan. Of als persoonsgegevens op een onrechtmatige manier (dus niet volgens de wet) vernietigd worden, veranderd worden, of gedeeld worden met iemand die dat niet mag zien. 

Wanneer is er sprake van een datalek?

Je spreekt pas van een datalek onder specifieke voorwaarden. Er moet sprake zijn van persoonsgegevens en een beveiligingsincident dat deze gegevens blootstelt, wijzigt of vernietigt. Denk hierbij aan een gehackt systeem, een gestolen telefoon of een verkeerd verzonden e-mail. Zonder persoonsgegevens spreek je juridisch niet van een datalek.

Wanneer moet je een datalek melden?

Het melden van een datalek hangt af van de situatie. Wanneer het lek een risico vormt voor betrokkenen, meld je dit binnen 72 uur bij de Autoriteit Persoonsgegevens (AP). Je meldt een datalek in ieder geval in de volgende situaties:

• Diefstal of verlies van inloggegevens en wachtwoorden.
• Een groot aantal personen raakt betrokken bij het lek.
• De gegevens bevatten bijzondere persoonsgegevens, zoals medische of strafrechtelijke informatie.
• Een verhoogd risico op fraude, diefstal of misbruik.

Claims en aansprakelijkheid na een datalek

Ben je verwerkingsverantwoordelijke? Dan ben je in de meeste gevallen aansprakelijk, ook als een externe partij het lek veroorzaakte. Dit kost je niet alleen reputatie, maar heeft soms ook financiële gevolgen: getroffen personen dienen een claim bij een datalek in. Raakt het lek veel mensen tegelijk? Dan volgt soms een massaclaim bij een datalek, waarbij ze gezamenlijk een schadevergoeding eisen. 

Ook kan de AP naar aanleiding van een datalek een onderzoek starten. Als gevolg kunnen ze een boete opleggen, bijvoorbeeld als je niet de juiste beveiligingsmaatregelen hebt genomen. 

Zo pak je een datalek aan

Veel mensen vragen zich af: ‘’Wat te doen bij een datalek?’’ Een datalek vraagt om snel en gestructureerd handelen. Gebruik dit stappenplan bij een datalek om paniek en verkeerde beslissingen te voorkomen:

• Onderzoek de omvang: achterhaal welke gegevens, hoeveel personen betrokken zijn, wat de oorzaak is en wat het gevolg voor de gegevens is.
• Beperk de schade direct: Herstel verwijderde of gewijzigde gegevens als dit nog mogelijk is. Herstel anders de toegang en stop de verdere verspreiding.
• Bepaal het risico: schat in of het lek gevolgen heeft voor betrokkenen.
• Meld binnen 72 uur: informeer de AP en, indien nodig, de betrokkenen zelf.
• Leg alles vast: registreer het datalek in je register, ook zonder melding bij de AP.
• Verbeter je beveiliging: voorkom een herhaling met structurele maatregelen. 

Hulp nodig bij een mogelijk datalek?

Loop je vast bij het beoordelen van een datalek, of wil je een bestaand protocol laten toetsen of juist beleid laten opstellen? Onze IT-juristen denken graag met je mee en vertalen de regels naar de praktijk van jouw organisatie. Snel handelen, goed documenteren en tijdig melden maken namelijk het verschil tussen een beheersbaar incident en een langdurig probleem.