8 misvattingen rondom datalekken

Op 1 januari is de Meldplicht Datalekken van kracht geworden. Ernstige datalekken moeten worden gemeld aan de Autoriteit Persoonsgegevens (dit is nieuwe naam van het College Bescherming Persoonsgegevens) en aan de personen om wie het gaat. Daarnaast heeft de Autoriteit Persoonsgegevens boetebevoegdheid gekregen. Het achterliggende doel van de meldplicht en de boetbevoegdheid is het dwingen dat organisaties de zorgplicht op het gebruik van persoonsgegevens serieus nemen.Toch zijn er nogal wat misvattingen over datalekken. Hieronder een opsomming van misvattingen en tips rondom datalekken.

1. Met een datalek wordt een inbreuk op de beveiliging van persoonsgegevens bedoeld. Dit zijn gegevens die informatie bevatten over een identificeerbaar persoon. Ook vastgelegde gedragingen van personen zoals bestelgedrag, rijgedrag of medicijngebruik zijn persoonsgegevens. Wat voor persoonsgegevens worden in uw organisatie gebruikt?
2. Een datalek is niet alleen een schending van de vertrouwelijkheid van gegevens. Ook het niet beschikbaar zijn van persoonsgerelateerde gegevens of diensten wordt gezien als een datalek als dat nadelige gevolgen heeft voor die personen. Bijvoorbeeld het uitvallen van een standalone systeem waar geen back-up van bestaat of aan het gijzelen van een bestand of dienst. Ook ongeautoriseerde wijzigingen aan de persoonsgegevens als gevolg van gebrekkige beveiliging zijn een datalek als dit nadelige gevolgen heeft voor de betrokkenen.
3. De Meldplicht Datalekken heeft ook betrekking op papieren dossiers. Deze dossiers vallen onder de reikwijdte van de Wet Bescherming Persoonsgegevens.
4. De Wet Bescherming Persoonsgegevens eist passende organisatorische en technische beveiligingsmaatregelen. Daarbij moet rekening worden gehouden met de risico’s en ook met de stand van de techniek. U moet daarbij zelf een inschatting op maken en daarover verantwoording kunnen afleggen.
5. Moet er altijd gemeld worden? Nee, er moet alleen naar Autoriteit Persoonsgegevens gemeld worden als dit ernstige nadelige gevolgen kan hebben. De Autoriteit Persoonsgegevens heeft richtsnoeren Hierin vindt u precies wanneer u moet melden en hoe de meldplicht zal worden toegepast. Een goede encryptie van de data voorkomt bijvoorbeeld de noodzaak om te melden.
6. De (voorlopige) melding naar de Autoriteit Persoonsgegevens moet binnen 72 uur plaatsvinden. Dat moet gebeuren middels een webformulier op de website van AP. Bestudeer dit meldingsformulier Kunt u die in korte tijd beantwoorden.
7. De melding naar de betrokkenen moet ‘onverwijld’ plaatsvinden. Hoe bereikt u de personen om wie het gaat en wat voor handelingsperspectief biedt u aan om de schade te beperken?
8. Een datalek kan ook plaatsvinden bij een organisatie die voor u de gegevens verwerkt. Denk bijvoorbeeld aan een salarisadministratiebureau of aan een leverancier waar een applicatie draait met uw gegevens. Deze bewerker moet het datalek aan de opdrachtgever (‘de verantwoordelijke’) melden, waarna de verantwoordelijke de verdere afhandeling doet naar de Autoriteit Persoonsgegevens en de personen om wie het gaat.

Daarnaast zijn er boetes mogelijk die naast elkaar (gestapeld) toegepast kunnen worden. Zie daarvoor de boetebeleidsregels van de Autoriteit Persoonsgegevens.

Voor de meeste organisaties die met een datalek te maken hebben gehad blijkt de reputatieschade de grootste pijn te zijn. Klanten, burgers of patiënten lopen weg. Nu er een officiële meldplicht is zal die vertrouwensschade alleen maar toenemen, evenals de aansprakelijkheidsstellingen.

Alle reden om in 2016 te streven naar een doordachte en geoefende aanpak. Zorg ervoor dat de juiste processen klaar staan om in het geval van een datalek snel te kunnen reageren. Zoals bij punt 4 genoemd is het van belang dat de juiste technische beveiligingsmaatregelen aanwezig zijn.

Auteur: Joris Hutter van Privacy Management Partners via QS Solutions