Wanneer is een datalek meldplichtig? Niet altijd. De AVG verplicht u pas te melden wanneer het waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van de betrokken personen.
Kort samengevat
- Melden is de hoofdregel. Niet melden is de uitzondering, en die moet u onderbouwen.
- Het gaat om risico voor mensen. Niet om schade voor uw organisatie.
- Alles registreren. Ook de lekken die u niet meldt.
- Twee drempels. Een risico voor melden bij de AP, een hoog risico voor het informeren van betrokkenen.
- Bij twijfel melden. Een melding kunt u aanvullen, een gemiste melding niet herstellen.
De meldplicht wordt vaak besproken alsof de vraag is of u binnen 72 uur bent. Dat is de tweede vraag. De eerste is of dit lek überhaupt gemeld moet worden, en die beslissing bepaalt alles wat erna komt.
Wanneer is een datalek meldplichtig bij de AP?
Wanneer het waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van natuurlijke personen. Die formulering draait om twee dingen: het gaat om de betrokkenen en niet om u, en de drempel is een risico en niet een groot risico.
Bij de beoordeling weegt u onder meer de volgende factoren.
- Aard van het lek. Verlies van vertrouwelijkheid, van integriteit of van beschikbaarheid. Ook dat laatste telt: gegevens die u zelf niet meer kunt bereiken zijn een lek.
- Aard en gevoeligheid van de gegevens. Gezondheidsgegevens, financiële gegevens en inloggegevens wegen zwaar.
- Hoeveelheid en aantal betrokkenen. Al is één betrokkene met zeer gevoelige gegevens ook voldoende.
- Herleidbaarheid. Hoe makkelijk zijn de personen te identificeren.
- Kwetsbaarheid van de betrokkenen. Kinderen, patiënten en medewerkers vragen extra voorzichtigheid.
- Wie de gegevens heeft ontvangen. Een bekende, betrouwbare ontvanger die bevestigt te hebben vernietigd, verlaagt het risico.
Wanneer hoeft u niet te melden?
Als het onwaarschijnlijk is dat er een risico ontstaat. Drie situaties komen daarvoor het vaakst in aanmerking.
De gegevens waren adequaat versleuteld en de sleutel is niet mee verdwenen. Denk aan een verloren laptop met volledige schijfversleuteling. Beoordeel wel of de versleuteling nog van deze tijd is.
Het lek bleef binnen een besloten kring waarin geheimhouding geldt en de ontvanger de gegevens aantoonbaar heeft vernietigd. Een mail naar de verkeerde interne collega valt hier vaak onder.
Er is geen sprake van persoonsgegevens die tot een persoon herleidbaar zijn. Let op: pseudonimisering is geen anonimisering. Zolang er ergens een sleutel bestaat, zijn het persoonsgegevens.
Meldt u niet, leg dan de afweging vast. Dat is geen vrijblijvende aanbeveling maar een verplichting, en het is het eerste wat de toezichthouder opvraagt als het lek later alsnog aan het licht komt.
Wanneer informeert u ook de betrokkenen?
Dat is een tweede, hogere drempel: wanneer de inbreuk waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen. U meldt dan niet alleen bij de toezichthouder maar informeert ook de mensen zelf, in duidelijke en eenvoudige taal.
Bij die mededeling vertelt u wat er is gebeurd, wat de waarschijnlijke gevolgen zijn, welke maatregelen u heeft genomen en wat de betrokkene zelf kan doen. Dat laatste is het nuttigste deel: een wachtwoord wijzigen, alert zijn op phishing, de bank in de gaten houden.
Er zijn uitzonderingen, bijvoorbeeld als de gegevens versleuteld waren of als u maatregelen heeft genomen waardoor het hoge risico zich niet meer kan voordoen. Ook hier geldt: onderbouwen en vastleggen.
Welke lekken worden het vaakst gemist?
Niet de spectaculaire. De inbraak op een server wordt altijd opgemerkt. Wat wordt gemist zijn de alledaagse gevallen waarin niemand denkt aan de term datalek.
Een medewerker die een adressenlijst in het cc-veld zet in plaats van in het bcc-veld. Een oud account dat na uitdiensttreding actief bleef en waarmee nog is ingelogd. Een verkeerd ingestelde map in de cloud waardoor documenten voor de hele organisatie zichtbaar waren. Een papieren dossier dat in een trein bleef liggen. Ransomware waarbij u de gegevens zelf niet meer kunt bereiken, wat ook een lek is omdat de beschikbaarheid is aangetast.
Deze gevallen hebben gemeen dat er geen alarm afgaat. Ze komen alleen boven water als medewerkers weten wat een datalek is en het gevoel hebben dat melden verstandig is. Dat is een kwestie van instructie en van cultuur, niet van techniek.
Wat registreert u?
Alle inbreuken, ongeacht of u meldt. Per incident legt u vast wat er is gebeurd, welke gegevens en hoeveel betrokkenen het betreft, wat de gevolgen zijn, welke maatregelen u heeft genomen, en of u heeft gemeld met de onderbouwing daarvan.
Dat register heeft twee functies. Het is een verplichting die de toezichthouder kan controleren, en het is uw eigen leermiddel: drie keer hetzelfde type lek is een signaal dat er iets in het proces niet deugt. Praktische tips voor de inrichting daarvan staan in tien tips voor de registratie van datalekken.
Hoe zorgt u dat de afweging goed gaat?
Door hem niet in het moment te hoeven bedenken. Leg vooraf vast wie de beoordeling doet, welke criteria worden gebruikt en wie besluit over melden. Betrek uw functionaris gegevensbescherming in de adviesrol, maar laat het besluit bij de organisatie liggen.
Oefen het een keer. Een korte doorloop met een fictief lek legt binnen een uur bloot waar het vastloopt, meestal bij de vraag wie er buiten kantooruren bereikbaar is. Wat er in de eerste uren moet gebeuren, staat in een datalek, wat nu.
Twijfelt u bij een concreet incident, dan is dat het moment om te overleggen en niet om af te wachten. Met juridisch privacy advies kunt u de afweging snel laten toetsen, en heeft u structureel behoefte aan die beoordeling, dan is dat een van de dingen die een externe functionaris gegevensbescherming standaard doet.
