Wat moet u doen bij een datalek?

07 apr 2020

 

Bent u een usb-stick van uw werk verloren of hebt u een mail met belangrijke informatie naar de verkeerde persoon gestuurd? Dan spreken we van een datalek en moet u direct in actie komen. Hier leest u wat te doen.

Meldplicht datalekken
Indien een organisatie onbedoeld anderen toegang geeft tot persoonsgegevens van derden en hieruit beveiligingsincidenten kunnen ontstaan, noemen we dit een datalek. Bij een datalek is er sprake van overtreding van de privacywetgeving (AVG). In de meeste gevallen ben je als bedrijf verplicht om hiervan melding te doen bij de Autoriteit Persoonsgegevens. In sommige gevallen moeten organisaties het datalek ook melden aan de betrokkenen van wie de persoonsgegevens zijn gelekt.

Hoe ontstaat een datalek?
Een datalek ontstaat naar aanleiding van een beveiligingsprobleem. Voorbeelden zijn:

  • een kwijtgeraakte USB-stick
  • een gestolen laptop
  • een inbraak door een hacker
  • een malware-besmetting
  • een calamiteit (zoals een brand in een datacentrum: ook het verlies van gegevens wordt gezien als datalek)

Hoe voorkomt u een datalek?
Het Digital Trust Centre van de Rijskoverheid geeft tips hoe u een datalek kunt voorkomen. Hier volgen enkele belangrijke tips:

  • Verzamel geen (gevoelige) informatie die niet nodig is
  • Verwijder (gevoelige) gegevens die niet meer nodig zijn
  • Verleen alleen medewerkers toegang tot gevoelige gegevens indien strict noodzakelijk
  • Beperk het aantal plekken waar gevoelige gegevens staan opgeslagen
  • Maak gebruik van DLP software (data loss prevention)

Bent u altijd verplicht een datalek te melden?
Niet ieder datalek hoeft gemeld te worden aan de Autoriteit Persoonsgegevens. Dit is afhankelijk van de (potentiële) impact van het datalek op de bescherming van persoonsgegevens en de persoonlijke levenssfeer van betrokkenen. Een belangrijke factor die hierbij een rol speelt is de aard van de gelekte persoonsgegevens. Gelekte persoonsgegevens van “gevoelige aard” moeten over het algemeen direct gemeld worden. Denk hierbij aan:

  • Bijzondere categorieën persoonsgegevens (raciale/etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuigingen, etc.);
  • Gegevens over de financiële of economische situatie van de betrokkene;
  • Gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene (gokverslaving, werk- of relatieproblemen);
  • Gebruikersnamen, wachtwoorden en andere inloggegevens;
  • Gegevens die kunnen worden misbruikt voor (identiteits-)fraude (Burgerservicenummer).

Wilt u weten of u een datalek moet melden? Hier vindt u meer informatie. Wilt u een datalek melden? Dan kan dit bij de Autoriteit Persoonsgegevens. Dat doet u hier.

Boete
Meldt u een datalek niet terwijl dit wel moet? Dan kan dit u een boete opleveren. Meer weten? Kijk dan hier.

 

Heeft u vragen? Neem dan gerust contact met ons op: 0517 39 99 99 of info@frovdw.nl.

 

Bron: Finfin van Adfiz