Regeling meldplicht datalekken 2016

3.1 Wat is een datalek?

We spreken van een datalek als persoonsgegevens in handen vallen van derden, die geen toegang tot die gegevens zouden mogen hebben. Een datalek kan het gevolg zijn van een beveiligingsprobleem. In de meeste gevallen gaat het om uitgelekte computerbestanden, al kan een gestolen of verloren geprinte klantenlijst evengoed een datalek vormen. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. We spreken van een datalek als er een inbreuk is op de beveiliging van persoonsgegevens, zoals bedoeld in artikel 13 van de Wet bescherming persoonsgegevens. Bij een datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking - dus aan datgene waartegen de beveiligingsmaatregelen bescherming moeten bieden.

3.2 Voorbeelden datalekken

Bij beveiligingsincidenten waar sprake kan zijn van een inbreuk op de beveiliging van persoonsgegevens moet u bijvoorbeeld denken aan:

• •

  een kwijtgeraakte USB-stick;

• •

  een gestolen laptop;

• •

  een inbraak door een hacker;

• •

  een malware-besmetting;

• •

  een calamiteit zoals een brand in een datacentrum.

Kenmerkend voor een inbreuk op de beveiliging is verder dat het beveiligingsincident daadwerkelijk gevolgen heeft voor de persoonsgegevens die worden verwerkt. Er zijn persoonsgegevens verloren gegaan, of redelijkerwijs kan niet worden uitgesloten dat er persoonsgegevens onrechtmatig zijn verwerkt. De beveiligingsmaatregelen en de herstelmaatregelen die getroffen zijn, waren niet voldoende om deze gevolgen geheel weg te nemen.

Naast het verliezen van een ICT-middel of een beveiligingsincident in een ICT-systeem zijn er ook analoge incidenten die onder deze wetgeving vallen. Denk aan een brief of formulier met daarop persoonsgegevens die kwijt raakt of gestolen is. Het onjuist verwerken van persoonsgegevens of het kwijt raken van persoonsgegevens, maar er is geen back-up voor handen, wordt als een datalek gezien. Je moet immers opnieuw aan betreffende persoon zijn gegevens opvragen.

3.2.1 Voorbeeld van analoge datalek

Een envelop met creditcardbetalingsgegevens van 800 personen was per ongeluk niet versnipperd, maar in een vuilnisbak gegooid. Een derde persoon haalde de gegevens uit de vuilniscontainer op straat en verstrekte ze aan andere personen. Het datalek kan financiële consequenties hebben voor de betrokkenen, als hun kaartgegevens nog geldig zijn en worden misbruikt. De betrokkenen moeten daarom van het datalek in kennis worden gesteld.

3.2.2 Voorbeeld technische beschermingsmaatregelen bij verlies van persoonsgegevens

De versleutelde laptop van een financieel adviseur is gestolen uit de kofferbak van zijn auto. Op de laptop staan de financiële dossiers - met daarin onder meer details over hypotheken, salarissen en aanvragen van leningen - van 1000 betrokkenen.

Door de diefstal zijn deze gegevens blootgesteld aan onbevoegde kennisname. De financieel adviseur komt tot de conclusie dat alle gegevens op de harde schijf adequaat versleuteld zijn, en dat het restrisico acceptabel is. In principe zou hij de melding aan de betrokkene dus achterwege kunnen laten.

Echter: De financieel adviseur beschikt niet over een back-up (reserve-kopie) van de persoonsgegevens op de harde schijf. Dat betekent dat er in dit geval niet alleen sprake is van blootstelling aan onbevoegde kennisname, maar ook van het verlies van de getroffen persoonsgegevens.

Aangezien de financieel adviseur de gegevens niet meer heeft, zal hij ze opnieuw bij de betrokkenen op moeten vragen. De vertraging die hierdoor ontstaat kan ertoe leiden dat deadlines voor de indiening van documenten of aanvragen niet worden gehaald, wat voor de betrokkenen uiteindelijk kan leiden tot boetes, derving van inkomsten of verwachte winst, beëindiging van koopovereenkomsten of andere ingrijpende gevolgen.

In dit geval ligt het, ondanks de genomen technische beschermingsmaatregelen, voor de hand om het datalek te melden aan de betrokkenen. De melding omvat in ieder geval het verzoek om de gegevens opnieuw aan de financieel adviseur te verstrekken en een uitleg van de potentiële consequenties en negatieve gevolgen van de inbreuk.

De werknemer is verplicht een datalek binnen 24 uur na ontdekking te melden aan de verantwoordelijke manager binnen Ferm Werk (zie toelichting).

6.1. Taken, verantwoordelijkheden en bevoegdheden

• 1.

  Iedere medewerker die direct of indirect kennis draagt of krijgt van een privacy lek, is verplicht dit direct te melden aan zijn eigen manager en de manager Financiën en ICT.

• 2.

  De manager Financiën en ICT is verantwoordelijk voor het onderzoeken van het incident;

• 3.

  Het Afdelingsmanager is verantwoordelijk voor het ondernemen van preventieve en repressieve acties;

• 4.

  De manager Financiën en ICT is verantwoordelijk voor de actualiteit van deze procedure.

6.2 Uitvoering

• 1.

  De medewerker die direct of indirect kennis draagt of krijgt van een incident inzake het lekken van privacygegevens meldt dit direct zijn eigen manager en de manager Financiën en ICT.

• 2.

  De manager Financiën en ICT, eventueel in samenwerking met de afdelingsmanager onderzoeken het incident. Hierbij is aandacht voor de volgende aspecten:

  • a.

    wat is de aard van het privacylek;

  • b.

    wat is de oorzaak dat dit incident heeft plaatsgevonden;

  • c.

    is er sprake van het niet nakomen van of een tekortkoming in de beveiligingsprocedures;

  • d.

    is de organisatie verwijtbaar;

  • e.

    van het incident wordt een verslag gemaakt en in Alfresco vastgelegd;

• 3.

  De manager Financiën en ICT neemt contact op met de Autoriteit Persoonsgegevens en aan de hand van het verslag wordt uitleg gegeven;

• 4.

  Eventuele aanwijzingen van de Autoriteit Persoonsgegevens worden vastgelegd en opgevolgd.

6.3 Interne controle

• 1.

  Op basis van de, gedurende een jaar, ontvangen meldingen analyseert de manager Financiën en ICT deze en stelt een verbeterplan of -advies op. Dit plan of advies wordt opgenomen in de jaarlijks uit te brengen managementrapportage;

• 2.

  Minimaal jaarlijks beoordeelt de manager Financiën en ICT of de procedure en de uitvoering nog met elkaar in overeenstemming zijn. Indien deze niet met elkaar overeenkomen wordt beoordeeld of de procedure geactualiseerd moet worden of dat medewerkers geïnstrueerd moeten worden op een juiste toepassing van de procedure.

6.4 Melden aan Autoriteit Persoonsgegevens (AP)

Niet ieder datalek moet gemeld worden aan de Autoriteit Persoonsgegevens. Volgens de wet moet een melding gedaan worden aan de Autoriteit Persoonsgegevens als het datalek leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. Een factor die hierbij een rol speelt is de aard van de gelekte persoonsgegevens. Ferm Werk hoeft een datalek alleen te melden als dit leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens. Of als een aanzienlijke kans bestaat dat dit gebeurt.