Een datalek is elke situatie waarin persoonsgegevens kwijt zijn, zijn ingezien, gewijzigd of ontoegankelijk geworden door een beveiligingsincident. Niet elk lek hoeft gemeld te worden, maar elk lek moet beoordeeld en vastgelegd worden.

Zo herken je een datalek

• Je stuurt een bestand of mail met persoonsgegevens naar de verkeerde persoon.
• Een laptop, telefoon of usb-stick met onversleutelde gegevens is kwijt.
• Iemand heeft toegang gehad tot je mailbox of een systeem, bijvoorbeeld na phishing.
• Bestanden zijn versleuteld door ransomware of gewist zonder back-up.

De regels in het kort

• 72 uur: je organisatie meldt een datalek binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het een risico oplevert voor de betrokkenen. De klok loopt vanaf de ontdekking, niet vanaf het einde van je onderzoek.
• Betrokkenen informeren: is het risico voor de mensen zelf hoog (gelekte wachtwoorden, medische of financiële gegevens), dan waarschuw je hen ook zo snel mogelijk.
• Register: elk datalek, ook wat je niet meldt, leg je vast in een intern datalekregister: wat er gebeurde, de gevolgen en de maatregelen.
• Verantwoordelijkheid: melden is de taak van je organisatie als verwerkingsverantwoordelijke; wij mogen als verwerker alleen namens je melden als dat schriftelijk is afgesproken.

Wat jij doet

Meld het incident meteen intern (leidinggevende of privacyverantwoordelijke) en bij ons. Verzamel wat je weet: wat, wanneer, welke gegevens, hoeveel mensen. Verberg niets; snel melden beperkt de schade.

Wat wij doen

Wij stoppen het lek waar dat technisch kan, zoeken uit wat er is ingezien of verstuurd en leveren de technische feiten voor je melding en je register. De beoordeling en de melding zelf, via het meldloket van de Autoriteit Persoonsgegevens, doet je organisatie.