Een datalek melden bij de Autoriteit Persoonsgegevens

Bij een datalek meld je dit in de meeste gevallen binnen 72 uur bij de Autoriteit Persoonsgegevens (AP). In dit artikel lees je wanneer de meldplicht geldt, hoe je een melding doet en wat je intern vastlegt.

Wanneer moet je een datalek melden?

Je bent verplicht een datalek te melden bij de AP als de inbreuk waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Dit geldt voor alle organisaties die persoonsgegevens verwerken onder de Algemene Verordening Gegevensbescherming (AVG). Niet elk datalek hoeft gemeld te worden, maar de lat ligt relatief laag.

Een datalek is elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens. Denk aan een gehackt systeem, een gestolen laptop met klantgegevens, een verkeerd verzonden e-mail met persoonsgegevens of een medewerker die gegevens heeft ingezien zonder daar toegang toe te hebben.

De meldplicht geldt niet als het risico voor betrokkenen verwaarloosbaar is, bijvoorbeeld als de gegevens goed versleuteld waren en de sleutel niet in handen van onbevoegden is gevallen. Twijfel je, meld dan toch: de gevolgen van niet melden kunnen groter zijn dan die van een melding die achteraf niet nodig bleek.

Voor zorgorganisaties gelden aanvullende verplichtingen. De norm NEN 7510 stelt eisen aan informatiebeveiliging in de zorg en helpt om datalekken te voorkomen en correct af te handelen.

Hoeveel tijd heb je om te melden?

Je hebt maximaal 72 uur om een datalek bij de AP te melden, gerekend vanaf het moment dat je organisatie op de hoogte is van het lek. Dit is een harde termijn uit de AVG. Meld je later, dan moet je uitleggen waarom de melding vertraagd was.

Je hoeft niet te wachten tot het onderzoek is afgerond of tot je alle details kent. Je kunt in fasen melden: eerst een eerste melding met de informatie die je op dat moment hebt, en later een aanvulling. Stel jezelf daarom snel twee vragen: is er sprake van een inbreuk op persoonsgegevens, en is er een risico voor betrokkenen? Is het antwoord op allebei ja, start dan direct met de melding.

Zo meld je een datalek bij de AP

Je meldt een datalek via het online meldloket op de website van de Autoriteit Persoonsgegevens. Dit meldloket is 24 uur per dag beschikbaar. Voor de melding heb je nodig:

• een omschrijving van de aard van de inbreuk, met de categorieën betrokkenen en de geschatte omvang;
• de naam en contactgegevens van de Functionaris voor Gegevensbescherming (FG) of een andere contactpersoon;
• een beschrijving van de waarschijnlijke gevolgen van de inbreuk;
• de maatregelen die je hebt genomen of voorstelt om de inbreuk aan te pakken.

Heb je nog niet alle informatie, geef dan aan wat er ontbreekt en wanneer je verwacht het aan te vullen. De AP kan om aanvullende gegevens vragen.

Wat leg je intern vast?

Elk datalek leg je intern vast, ook als je het niet hoeft te melden bij de AP. Dat is een expliciete verplichting uit de AVG. In je interne datalekregister staat minimaal:

• de datum en het tijdstip waarop het datalek is ontdekt;
• wat er is gebeurd en welke persoonsgegevens betrokken zijn;
• de oorzaak, voor zover bekend;
• de (mogelijke) gevolgen voor betrokkenen;
• de maatregelen om het lek te stoppen en herhaling te voorkomen;
• of het datalek is gemeld bij de AP en betrokkenen, en zo niet, waarom niet.

Het register helpt je ook om patronen te herkennen en zwakke plekken in je beveiliging te vinden.

Wanneer informeer je de betrokkenen?

Levert het datalek waarschijnlijk een hoog risico op voor de rechten en vrijheden van betrokkenen, dan moet je hen ook zelf informeren, direct en in begrijpelijke taal. Van een hoog risico is bijvoorbeeld sprake bij diefstal van financiële gegevens of wachtwoorden, bij het lekken van bijzondere persoonsgegevens zoals gezondheidsgegevens, bij een reëel gevaar op identiteitsfraude en bij datalekken waarbij kwetsbare personen betrokken zijn, zoals kinderen of zorgontvangers.

In het bericht beschrijf je wat er is gebeurd, welke gegevens betrokken zijn, wat de mogelijke gevolgen zijn en welke maatregelen je hebt genomen. Je geeft aan wat betrokkenen zelf kunnen doen en vermeldt de contactgegevens van je FG of een andere contactpersoon. Dit hoeft niet als de gegevens door technische maatregelen onleesbaar zijn voor onbevoegden, of als het onevenredig veel inspanning zou kosten. In dat laatste geval kun je kiezen voor een publieke mededeling.

Wat gebeurt er als je niet of te laat meldt?

Meld je een meldplichtig datalek niet of te laat, dan riskeer je een boete van de AP. Die kan oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daarnaast kunnen betrokkenen een schadevergoeding eisen als ze schade hebben geleden.

De AP houdt bij de handhaving rekening met de omstandigheden. Heb je te goeder trouw gehandeld, snel actie ondernomen en het datalek intern goed vastgelegd, dan werkt dat in je voordeel. Een informatiebeveiligingsmanagementsysteem volgens ISO 27001 of NEN 7510 helpt om datalekken te voorkomen en de juiste procedures klaar te hebben als er toch iets misgaat.