Elk datalek legt u vast in een eigen register, ook als u niet meldt. Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, tenzij het risico voor de betrokkenen verwaarloosbaar is. Is het risico hoog, dan informeert u ook de mensen zelf. Bij twijfel: melden kan altijd nog aangevuld worden, niet melden niet.
Wat telt als datalek
Een datalek is elk incident waarbij persoonsgegevens verloren zijn gegaan of in verkeerde handen konden komen. Dat is ruimer dan een hack. In de praktijk gaat het in het MKB vooral om deze gevallen:
- Een mailbox waar iemand anders in heeft gezeten.
- Een mail of bijlage naar de verkeerde ontvanger, bijvoorbeeld een loonstrook of een klantenlijst.
- Een verloren of gestolen laptop, telefoon of usb-stick zonder versleuteling.
- Ransomware, ook als er niets is gestolen: u bent dan zelf de toegang kwijt, en dat telt ook.
- Een oud-medewerker die nog toegang had en die heeft gebruikt.
- Papieren personeelsdossiers die zijn kwijtgeraakt.
De klok van 72 uur
De termijn begint zodra u redelijkerwijs op de hoogte bent, niet als het onderzoek klaar is. Dat is een veelgemaakte denkfout: bedrijven wachten tot ze precies weten wat er is gebeurd en zitten dan al over de termijn heen.
U mag melden met wat u op dat moment weet en later aanvullen. Dat is nadrukkelijk toegestaan en beter dan te laat een compleet verhaal indienen. De melding doet u online bij de Autoriteit Persoonsgegevens; de vragen zijn te overzien en het invullen kost een halfuur.
Wanneer hoeft het niet
Melden hoeft niet als het onwaarschijnlijk is dat het lek een risico oplevert voor de mensen om wie het gaat. Twee voorbeelden die in de praktijk vaak onder die grens blijven:
- Een gestolen laptop waarvan de schijf volledig versleuteld is en die op afstand is gewist. De gegevens zijn dan niet toegankelijk.
- Een mail naar een verkeerde collega binnen hetzelfde bedrijf, die het bericht meteen heeft verwijderd en die er toch al bij mocht.
Het omgekeerde geldt ook: gaat het om gevoelige gegevens — gezondheid, financiën, kopieën van identiteitsbewijzen — dan is het risico al snel hoog en meldt u.
Wanneer u de mensen zelf informeert
Bij een hoog risico voor betrokkenen informeert u hen ook rechtstreeks. Doe dat in gewone taal: wat er is gebeurd, welke gegevens het betreft, wat u eraan doet en wat zij zelf kunnen doen. Wees eerlijk over wat u nog niet weet. Klanten vergeven een incident makkelijker dan een gladde brief die de zaak kleiner maakt dan hij is.
Het register dat u sowieso bijhoudt
Ook zonder meldplicht moet u elk datalek vastleggen. Dat register mag een eenvoudig document zijn. Per incident noteert u:
- Datum en tijdstip van ontdekking, en van het incident zelf.
- Wat er is gebeurd en welke gegevens het betreft.
- Hoeveel mensen het raakt, bij benadering.
- Wat de gevolgen kunnen zijn.
- Welke maatregelen u heeft genomen.
- Of u heeft gemeld, en zo niet: waarom niet.
Die laatste regel is de belangrijkste. Een toezichthouder die langskomt, kijkt niet of u nooit een incident had, maar of u er verstandig mee bent omgegaan.
Uw leverancier lekt, u meldt
Gebeurt het lek bij een partij die voor u gegevens verwerkt — uw boekhoudpakket, uw salarisadministratie, uw IT-beheerder — dan moet die partij het bij ú melden, en meldt u het bij de toezichthouder. Daarom staat die verplichting in een verwerkersovereenkomst. Controleer dat u weet wie u bij welke leverancier belt; dat zoekt u niet uit op het moment zelf.