GDPR: datalekken

De term gegevenslek of datalek komt meestal in het nieuws als kwaadwillenden gegevens gestolen hebben. Het begrip omvat echter veel meer dan gegevensdiefstal.

Er is sprake van een datalek als persoonsgebonden gegevens verloren zijn, vernietigd dreigen te worden, in vreemde handen komen of ongeoorloofd gewijzigd dreigen te worden. Er hoeft niet eens kwaad opzet in het spel te zijn.

 

Voorbeelden van gegevenslekken

• Je gooit een papier met persoonsgebonden gegevens onversnipperd bij het oud papier.
• Je verliest een (geëncrypteerde) USB stick waarop persoonsgebonden gegevens staan.
• Jouw laptop of telefoon wordt gestolen.
• Je bent het slachtoffer geworden van phishing (jouw login-gegevens zijn ontvreemd) of van ransomware (jouw computer wordt gegijzeld en je wordt gevraagd losgeld te betalen).
• Je stuurt een mailtje met persoonsgebonden gegevens naar een verkeerd e-mailadres.

Wees voorbereid op een datalek

De kans dat je ooit met een datalek geconfronteerd wordt, is reëel. Daarom ben je maar best voorbereid.

• Leg een logboek van datalekken aan, waarin je alle datalekken registreert. Dit legt pijnpunten bloot én helpt je in jouw contact met de Privacy Commissie.
• Zorg dat jouw medewerkers weten wat een datalek is.
• Zorg dat jouw medewerkers een datalek (durven) melden.
• Neem beschermende maatregelen.
• Doe aangifte van het datalek bij de Privacy Commissie als dat nodig is.

Het logboek van datalekken

Zet de volgende zaken in het logboek van datalekken:

• Een samenvatting van het incident.
• De vermoedelijke datum van het incident.
• Aard en strekking van de betrokken persoonsgegevens.
• Denkbare gevolgen van het gegevenslek voor de betrokken personen.
• Omstandigheden waaronder het gegevenslek plaatsvond.
• De maatregelen die je hebt genomen om het lek te verhelpen.
• Wat je aan de betrokkene aanbeveelt om de mogelijke schade te beperken.
• Is het lek aan de Privacy Commissie gemeld? Als dat niet zo is, waarom niet?

Melding van datalekken

Als het gegevenslek waarschijnlijk risico's inhoudt voor de rechten en de vrijheden van de personen wiens gegevens gelekt zijn, dan moet je dat melden aan de Privacy Commissie.

Als het lek een hoog risico inhoudt voor de betrokken personen, dan moet je hen ook inlichten.

Als je zelf niet de verwerkingsverantwoordelijke bent, moet je ook de verwerkingsverantwoordelijke inlichten.

 

Interessante links

 

De Privacy Commissie over de melding van gegevenslekken, met link naar het meldingsformulier