Wanneer is er sprake van een datalek?
Een datalek gaat niet alleen over gegevens die uitlekken. Volgens de Europese privacytoezichthouders (EDPB) gaat het om incidenten die de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens raken. Een datalek kan bijvoorbeeld ontstaan door:
- een e-mail met klantgegevens die naar de verkeerde ontvanger gaat;
- een kwijtgeraakte laptop of USB-stick met klantgegevens;
- een hack, of ransomware die je klantbestanden versleutelt;
- medewerkers die persoonsgegevens invoeren in een generatieve AI-tool.
Niet elk beveiligingsincident is een datalek. Zijn er geen persoonsgegevens bij betrokken, dan valt het er niet onder.
Wat zegt de AVG over het melden van een datalek?
Artikel 33 van de AVG verplicht je om een datalek zonder onredelijke vertraging te melden bij de toezichthouder. Dat moet zo mogelijk binnen 72 uur nadat je ervan weet. In Nederland meld je bij de Autoriteit Persoonsgegevens (AP).
Melden is niet nodig als het lek waarschijnlijk geen risico oplevert voor de mensen om wie het gaat. Meld je later dan 72 uur, dan geef je een reden voor de vertraging. Heb je nog niet alle informatie, dan mag je die in stappen aanleveren.
Brengt het lek een hoog risico mee, dan informeer je ook de betrokkenen zelf, zonder uitstel. Dat hoeft bijvoorbeeld niet als de gegevens versleuteld waren en de sleutel veilig is. Verwerk je gegevens voor een ander bedrijf, dan meld je elk lek aan die opdrachtgever. Die doet zo nodig de melding bij de AP.
Elk datalek leg je vast, ook als melden niet nodig is. Noteer wat er gebeurde, wat de gevolgen zijn en welke maatregelen je nam. Zo’n overzicht heet vaak een datalekregister.
Voorbeeld: een bijlage naar de verkeerde lijst
Fysiotherapiepraktijk De Brug in Zwolle verstuurt een nieuwsbrief. Per ongeluk gaat er een bestand met namen en behandeldata als bijlage mee naar alle 900 abonnees.
Gezondheidsgegevens zijn gevoelig, dus de praktijk schat het risico hoog in. Binnen 72 uur volgt een melding bij de AP. De praktijk mailt ook alle patiënten in het bestand en vraagt de ontvangers om de bijlage te verwijderen. In het datalekregister noteert de praktijk wat er misging en welke extra controle er voortaan is vóór het versturen.
Veelgestelde vragen over Datalek
Binnen hoeveel tijd moet je een datalek melden?
Zo mogelijk binnen 72 uur nadat je het lek ontdekt, als er risico is voor de betrokkenen. Lukt dat niet, dan meld je later met een reden voor de vertraging. De melding gaat naar de Autoriteit Persoonsgegevens.
Is een verkeerd verstuurde e-mail een datalek?
Ja, als er persoonsgegevens in staan. Of je het moet melden, hangt af van het risico voor de mensen om wie het gaat. Leg het altijd vast in je datalekregister.
Wat gebeurt er als je een datalek niet meldt?
Moest je het lek wel melden en deed je dat niet? Dan kan de Autoriteit Persoonsgegevens je een boete geven.