Datalekken en de meldplicht

Module 8: Als het misgaat · Leestijd: 11 minuten

Leerdoel: Na deze les kun je bepalen of iets een datalek is, of je het binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens en of je de betrokkenen moet informeren, en je kunt het vastleggen in een datalekregister.

Kernbegrippen: persoonsgegevens, datalek (inbreuk in verband met persoonsgegevens), verwerkingsverantwoordelijke, verwerker, AVG artikel 33 en 34, meldloket datalekken, 72 uur, risico en hoog risico, datalekregister

Wat is een datalek?

Bij "datalek" denken mensen aan hackers die een database stelen. Dat is er één vorm van. De AVG gebruikt een bredere omschrijving: een inbreuk in verband met persoonsgegevens is een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens (artikel 4, punt 12).

Persoonsgegevens zijn alle gegevens over een herkenbaar persoon: een naam, een e-mailadres als jan.jansen@..., een telefoonnummer, een adres, een klantnummer met bestelgeschiedenis, een foto, een IP-adres in combinatie met andere gegevens. Gegevens over een bedrijf als zodanig (KvK-nummer, algemeen adres) zijn dat niet, maar gegevens over de contactpersoon wel.

Daarmee zijn dit allemaal datalekken:

• een mail met een klantenlijst die naar de verkeerde ontvanger gaat;
• een nieuwsbrief waarin alle ontvangers zichtbaar in het Aan- of CC-veld staan;
• een verloren usb-stick of laptop met personeelsgegevens, als die niet versleuteld was;
• ransomware die de klantadministratie versleutelt (de gegevens zijn dan niet beschikbaar, ook als er niets is gekopieerd);
• een overgenomen mailbox waarin facturen met namen en adressen staan;
• een gedeelde link naar een map met sollicitatiebrieven die voor iedereen openstaat.

Het woord "inbreuk op de beveiliging" laat zien dat het niet alleen om vertrouwelijkheid gaat. Ook verlies (de gegevens zijn weg) en wijziging (iemand heeft rekeningnummers aangepast) tellen.

Wie is verantwoordelijk: jij of je leverancier?

De AVG kent twee rollen.

• De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Voor je klanten- en personeelsgegevens ben dat jij, als ondernemer.
• Een verwerker verwerkt gegevens in jouw opdracht: je hostingbedrijf, je boekhoudpakket in de cloud, je nieuwsbriefdienst, je IT-leverancier.

Lekt er iets bij een verwerker, dan moet die het jou zonder onredelijke vertraging melden (artikel 33 lid 2). Jij beoordeelt dan of je moet melden bij de AP en aan de betrokkenen, en in principe meld je ook zelf (tenzij je hebt afgesproken dat de verwerker dat namens jou doet). De verplichting blijft dus bij jou, ook als de fout bij een ander lag. Daarom staan in een verwerkersovereenkomst afspraken over hoe snel en hoe een verwerker je informeert (les 7.2).

De klok van 72 uur

Artikel 33 van de AVG zegt dat je een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur meldt bij de Autoriteit Persoonsgegevens, nadat je er kennis van hebt genomen. De uitzondering: het is niet waarschijnlijk dat het lek een risico oplevert voor de rechten en vrijheden van mensen.

Vier punten worden vaak verkeerd begrepen:

1. De klok begint als je ervan weet, niet als het lek gebeurde. "Ervan weten" betekent: je bent er redelijkerwijs zeker van dat er een inbreuk is waarbij persoonsgegevens betrokken zijn. Een korte eerste beoordeling mag, maar wie bewust niet kijkt, schuift de klok niet op.
2. 72 uur is 72 uur, ook in het weekend en op feestdagen. Ontdek je een lek op vrijdag 16:40, dan is de uiterste termijn maandag 16:40.
3. Onvolledig melden mag. Weet je na 72 uur nog niet alles, dan meld je met wat je weet en vul je later aan. Meld je later dan 72 uur, dan moet je uitleggen waarom; de AP accepteert dat alleen in uitzonderlijke gevallen.
4. Het gaat om risico voor mensen, niet om de schade voor jouw bedrijf.

Ontdekt:  vrijdag   16:40   -> klok start
          zaterdag            (telt mee)
          zondag              (telt mee)
Uiterlijk maandag   16:40   -> melding bij de AP (eventueel onvolledig)

Melden doe je alleen via het online meldformulier van het meldloket datalekken op de website van de AP; bellen, mailen of een brief kan niet. De AP heeft een vragenlijst waarmee je de melding vooraf kunt voorbereiden. Je vult onder meer in wat er gebeurde, wanneer, welke en hoeveel gegevens en personen het betreft, wat de gevolgen kunnen zijn en welke maatregelen je nam. Hier betaalt het logboek uit les 8.1 zich terug.

Wanneer wel en niet melden: de risicoafweging

Je beoordeelt hoe waarschijnlijk en hoe ernstig de gevolgen voor de betrokkenen zijn. Denk aan: identiteitsfraude, financiële schade, discriminatie, reputatieschade, of verlies van controle over hun gegevens. Vragen die helpen:

Twee voorbeelden die vaak terugkomen:

• Versleutelde laptop gestolen, sterk wachtwoord, sleutel niet gelekt, recente back-up: waarschijnlijk geen risico. Niet melden bij de AP, wel vastleggen in je register.
• Webwinkel gehackt, de aanvaller heeft e-mailadressen en zwak opgeslagen wachtwoorden: risico, dus melden. En omdat mensen hun wachtwoord vaak hergebruiken (les 1.4), is er een hoog risico: betrokkenen informeren.

Twijfel je? Dan is melden meestal de veilige keuze. Ook de AP adviseert bij twijfel te melden. Nieuwe informatie geef je later door met een vervolgmelding.

Betrokkenen informeren: bij hoog risico

Artikel 34 gaat over de mensen van wie de gegevens zijn. Levert het lek waarschijnlijk een hoog risico op, dan informeer je hen onverwijld: zo snel als redelijkerwijs kan. Daarvoor geldt geen termijn van 72 uur, maar wachten tot alles is uitgezocht is ook niet de bedoeling.

In het bericht staat in duidelijke taal wat er gebeurde, wat de waarschijnlijke gevolgen zijn, wat jij doet en wat zij zelf kunnen doen (bijvoorbeeld hun wachtwoord elders wijzigen, alert zijn op phishing uit jouw naam, hun bank waarschuwen), plus een contactpersoon.

Informeren hoeft niet als je passende maatregelen had genomen die de gegevens onleesbaar maken (zoals goede versleuteling), als je achteraf maatregelen nam waardoor het hoge risico niet meer waarschijnlijk is, of als het een onevenredige inspanning vergt: dan doe je een openbare mededeling (artikel 34 lid 3).

Let op: phishing volgt vaak op een datalek. Criminelen weten dan wie je klanten zijn en sturen een mail "van jou". Waarschuw je klanten daar ook voor.

Het datalekregister: altijd

Artikel 33 lid 5 verplicht je elk datalek vast te leggen, ook als je het niet meldt. Leg vast: de feiten, de gevolgen, de maatregelen, en je afweging (waarom wel of niet gemeld, waarom wel of niet geïnformeerd). De vorm mag je zelf kiezen; de AP heeft een voorbeeld-datalekregister. Een eenvoudige tabel volstaat:

Nr | Ontdekt (datum/tijd) | Wat gebeurde | Welke gegevens, hoeveel mensen
   | Gevolgen | Maatregelen | AP gemeld? (ja/nee + waarom, datum)
   | Betrokkenen geïnformeerd? (ja/nee + waarom) | Afgehandeld (datum)

Het register helpt je ook zelf: zie je drie keer per jaar "mail naar verkeerde ontvanger", dan weet je waar je moet verbeteren (bijvoorbeeld een vertraging op verzenden, of geen klantenlijsten meer als bijlage, les 7.3).

Datalek en Cyberbeveiligingswet: twee verschillende meldingen

Valt je organisatie onder de Cyberbeveiligingswet (NIS2, les 9.1), dan geldt daarnaast een meldplicht voor significante incidenten: een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand, via MijnNCSC. Dat is een andere melding, met een ander doel (de continuïteit van diensten) en bij een andere instantie. Een ransomwareaanval kan dus bij beide horen. De meeste kleine bedrijven vallen niet onder de Cyberbeveiligingswet; de AVG-meldplicht geldt wel voor iedereen.

Deze les geeft algemene uitleg en is geen juridisch advies. Raadpleeg bij twijfel de website van de AP of een jurist.

Samenvatting

• Een datalek is elke inbreuk waardoor persoonsgegevens verloren gaan, veranderen, of bij iemand terechtkomen die er niet bij mag; ook een mail naar de verkeerde ontvanger of een onversleutelde laptop die kwijt is.
• Melden bij de AP: zonder onredelijke vertraging en zo mogelijk binnen 72 uur na ontdekken, ook in het weekend, tenzij er waarschijnlijk geen risico is. Onvolledig melden mag.
• Betrokkenen informeren: onverwijld, als er waarschijnlijk een hoog risico is.
• Lekt het bij je verwerker, dan moet die jou informeren; de beslissing over melden ligt bij jou.
• Leg elk datalek vast in je datalekregister, met je afweging.

Quiz

Opdracht

Opdracht A8.2: Reken de termijn uit. Je krijgt vier ontdekmomenten. Vul per moment de uiterste datum en tijd in voor de melding bij de AP. Het programma kijkt het na.

Opdracht A8.2b: Melden of niet? Je krijgt acht korte casussen. Kies per casus of je moet melden bij de AP, of je de betrokkenen moet informeren, en of je het in je datalekregister zet. Het programma kijkt na en geeft per casus de uitleg.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Help! Mijn site is gehackt. Hoe los ik dat op en hoe voorkom ik het?
• Autoriteit Persoonsgegevens, Voorbeeld-datalekregister: https://www.autoriteitpersoonsgegevens.nl/documenten/voorbeeld-datalekregister
• Autoriteit Persoonsgegevens, Meldplicht datalekken: https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/beveiliging/meldplicht-datalekken
• Autoriteit Persoonsgegevens, Vragenlijst meldformulier datalekken: https://www.autoriteitpersoonsgegevens.nl/documenten/vragenlijst-meldformulier-datalekken
• AVG (Verordening (EU) 2016/679), artikelen 4, 33 en 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• NCSC, Melden van een datalek: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek