Wat is een datalek?
Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren zijn gegaan, ongeoorloofd zijn gewijzigd, verstrekt of ingezien. Denk hierbij aan databestanden die worden gehackt of diefstal van een laptop. Alleen een dreiging of tekortkoming in de beveiliging van persoonsgegevens is niet voldoende. Bij een datalek zijn in ieder geval gegevens verloren geraakt of blootgesteld aan partijen welke niet tot de gegevens gerechtigd zijn (dit wordt ook wel ‘onrechtmatige verwerking’ genoemd). Op grond van de Algemene Verordening Gegevensbescherming (AVG) is een organisatie verplicht om alle (mogelijke) datalekken te documenteren. Documentatie vindt plaats door opneming van het (mogelijke) datalek in een Register Datalekken. Daarnaast is er in bepaalde gevallen een meldplicht bij de Autoriteit Persoonsgegevens en de betrokkenen.
Hoe te handelen in geval van een datalek?
Op grond van de Algemene Verordening Gegevensbescherming (AVG) dient een datalek, zo snel mogelijk (uiterlijk binnen 72 uur), te worden gemeld bij de Autoriteit Persoonsgegevens. Daarnaast heeft u een meldingsplicht aan de betrokkenen indien het datalek waarschijnlijk een groot risico voor de rechten en vrijheden van de betrokkenen met zich meebrengt.
Wanneer er een meldingsplicht is, maar u voldoet hier niet aan, dan loopt u het risico op het verbeuren van een aanzienlijke boete. Het is dan ook aan te raden om voor uw organisatie een Protocol Meldplicht Datalekken op te stellen. Dit Protocol Meldplicht Datalekken is een hulpmiddel voor u en uw medewerkers voor de beantwoording van de vraag of er überhaupt sprake is van een datalek en of er een meldingsplicht is. Hierin staat in ieder geval vermeld:
- Aan wie en binnen welke termijn een (mogelijk) datalek moet worden gemeld;
- Door wie en hoe onderzoek wordt gedaan naar het incident; en
- Wie er verantwoordelijk is voor de melding van het lek aan de Autoriteit Persoonsgegevens en de betrokkenen.
Neem contact met ons op
Wij van Legal Q kunnen u ondersteunen bij het opstellen van een Protocol Meldplicht Datalekken. Voor meer informatie omtrent deze dienst of wanneer u andere vragen heeft in het kader van de AVG kunt u vrijblijvend contact met ons opnemen.