Ja, in veel gevallen ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens (AP). De AVG schrijft voor dat je een inbreuk op persoonsgegevens binnen 72 uur meldt, tenzij het onwaarschijnlijk is dat de inbreuk een risico vormt voor de rechten en vrijheden van betrokkenen. Of een melding verplicht is, hangt af van de aard van het lek, de gevoeligheid van de gegevens en de mogelijke gevolgen. In dit artikel beantwoorden we de meest gestelde vragen over de datalekmeldplicht, zodat je weet wanneer je moet handelen en hoe.
Wat telt als een datalek onder de AVG?
Een datalek is onder de AVG elke inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens. Het gaat dus niet alleen om hacking of diefstal, maar ook om menselijke fouten en technische storingen.
Concrete voorbeelden van situaties die als datalek kwalificeren:
- Een e-mail met persoonsgegevens verstuurd naar de verkeerde ontvanger
- Een gestolen of verloren laptop, USB-stick of telefoon met onversleutelde gegevens
- Ransomware die toegang tot persoonsgegevens blokkeert
- Een medewerker die zonder toestemming klantgegevens inziet of kopieert
- Een softwarefout waardoor gegevens van meerdere gebruikers zichtbaar worden voor anderen
- Papieren dossiers die zoekraken of in verkeerde handen vallen
Belangrijk om te begrijpen: een datalek hoeft geen kwaadwillende buitenstaander te betreffen. Ook interne fouten of technische problemen vallen onder de definitie. Zodra persoonsgegevens betrokken zijn en de beschikbaarheid, integriteit of vertrouwelijkheid in het geding is, spreek je van een datalek in de zin van de AVG.
Wanneer ben je verplicht een datalek te melden bij de AP?
Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens wanneer de inbreuk waarschijnlijk een risico vormt voor de rechten en vrijheden van de betrokken personen. Deze melding moet plaatsvinden binnen 72 uur nadat je op de hoogte bent geraakt van het lek. Alleen als je kunt aantonen dat het risico verwaarloosbaar is, vervalt de meldplicht.
Bij de beoordeling of melding noodzakelijk is, spelen de volgende factoren een rol:
- Aard van de gegevens: Bijzondere categorieën zoals gezondheidsgegevens, financiële informatie of BSN-nummers wegen zwaarder dan gewone contactgegevens.
- Omvang van het lek: Hoeveel personen zijn geraakt en hoeveel gegevens zijn betrokken?
- Gevolgen voor betrokkenen: Kunnen de gegevens leiden tot discriminatie, identiteitsfraude of financiële schade?
- Versleuteling: Waren de gelekte gegevens afdoende versleuteld, waardoor ze voor derden onleesbaar zijn?
Als je na beoordeling concludeert dat er geen meldplicht geldt, moet je dit besluit en de onderbouwing ervan alsnog intern documenteren. De AP kan namelijk achteraf vragen waarom je niet hebt gemeld. Het bijhouden van een intern register van datalekken is dan ook een wettelijke verplichting, ongeacht of je extern meldt of niet.
Wanneer moet je betrokkenen informeren over een datalek?
Betrokkenen informeren over een datalek is verplicht wanneer de inbreuk waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Dit is een strengere drempel dan de meldplicht aan de AP. Niet elk lek dat je bij de AP meldt, hoeft ook aan de betrokkenen zelf te worden gemeld.
Van een hoog risico is sprake bij situaties zoals:
- Diefstal van onversleutelde medische of financiële gegevens
- Lekken waarbij identiteitsfraude een reëel gevaar is
- Blootstelling van wachtwoorden of inloggegevens
- Grootschalige lekken met gevoelige gegevens van kwetsbare groepen
De informatie aan betrokkenen moet duidelijk en begrijpelijk zijn. Je legt uit wat er is gebeurd, welke gegevens betrokken zijn, wat de mogelijke gevolgen kunnen zijn en welke maatregelen je hebt genomen of gaat nemen. Daarbij vermeld je de contactgegevens van je privacycontactpersoon of Functionaris Gegevensbescherming. Communiceer zo snel mogelijk, want betrokkenen moeten zelf beschermende stappen kunnen nemen.
Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?
Een datalek melden bij de AP doe je via het online meldloket op de website van de Autoriteit Persoonsgegevens. De melding moet binnen 72 uur na ontdekking worden ingediend. Als je niet alle informatie direct beschikbaar hebt, kun je een voorlopige melding doen en deze later aanvullen.
Bij de melding geef je in ieder geval de volgende informatie op:
- Een beschrijving van de aard van de inbreuk, inclusief de categorieën en het geschatte aantal betrokken personen en persoonsgegevens
- De naam en contactgegevens van de Functionaris Gegevensbescherming of een ander contactpunt
- De waarschijnlijke gevolgen van de inbreuk voor betrokkenen
- De maatregelen die je hebt genomen of voorstelt te nemen om de inbreuk aan te pakken en de gevolgen te beperken
Verwerk je persoonsgegevens als verwerker voor een andere organisatie (de verwerkingsverantwoordelijke), dan ben jij niet degene die meldt bij de AP. In dat geval meld je het lek zo snel mogelijk aan de verwerkingsverantwoordelijke, die vervolgens beoordeelt of en hoe de AP ingelicht wordt. Leg dit soort afspraken altijd vast in een verwerkersovereenkomst.
Wat zijn de gevolgen als je een datalek niet meldt?
Het niet melden van een meldplichtig datalek bij de Autoriteit Persoonsgegevens kan leiden tot aanzienlijke boetes. De AP kan op grond van de AVG boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties kan de AP ook een verwerkingsverbod opleggen of een bindende aanwijzing geven.
De gevolgen reiken echter verder dan alleen boetes:
- Reputatieschade: Openbare besluiten van de AP worden gepubliceerd en kunnen vertrouwen bij klanten en partners beschadigen.
- Aansprakelijkheid: Betrokkenen kunnen schadevergoeding eisen als zij schade hebben geleden door het niet tijdig informeren.
- Verlies van aanbestedingen: Organisaties die aantoonbaar tekortschoten in naleving van de AVG lopen risico bij inkooptrajecten en leveranciersbeoordelingen.
De AP houdt bij haar beoordeling rekening met de mate van verwijtbaarheid, de genomen maatregelen en of er sprake is van herhaling. Transparantie en snelle actie werken in je voordeel. Wie structureel werkt aan informatiebeveiliging conform ISO 27001 of vergelijkbare normen, heeft aantoonbaar een beleid en staat sterker bij een eventuele beoordeling door de toezichthouder.
Hoe voorkom je dat een datalek meldplichtig wordt?
Een datalek volledig voorkomen is niet altijd mogelijk, maar je kunt de kans op een meldplichtig lek aanzienlijk verkleinen door de juiste technische en organisatorische maatregelen te treffen. De kern is dat goed beveiligde gegevens, zelfs als ze in verkeerde handen vallen, geen of nauwelijks risico opleveren voor betrokkenen.
Effectieve maatregelen die de impact van een datalek beperken:
- Encryptie: Versleutel persoonsgegevens op apparaten en in communicatie. Versleutelde gegevens zijn bij diefstal of verlies doorgaans niet bruikbaar voor derden, wat de meldplicht kan wegnemen.
- Toegangsbeheer: Beperk wie toegang heeft tot welke gegevens op basis van het need-to-know-principe. Zo beperkt een intern incident de omvang van het lek.
- Bewustwording en training: Veel datalekken ontstaan door menselijke fouten. Regelmatige trainingen voor medewerkers verlagen dit risico significant.
- Procedures en beleid: Stel duidelijke protocollen op voor het omgaan met persoonsgegevens en voor wat te doen bij een vermoedelijk lek.
- Dataminimalisatie: Bewaar alleen de gegevens die je echt nodig hebt, zo lang als noodzakelijk. Minder data betekent minder risico bij een incident.
- Regelmatige audits: Controleer periodiek of maatregelen nog effectief zijn en of er kwetsbaarheden zijn ontstaan.
Een structurele aanpak van informatiebeveiliging, waarbij techniek, processen en mensen samen worden versterkt, zorgt ervoor dat datalekken minder snel voorkomen en minder groot van omvang zijn als ze toch optreden. Organisaties die werken met een ingericht managementsysteem voor informatiebeveiliging hebben bovendien een intern register en werkende procedures klaarliggen, wat bij een incident direct van waarde is.
Hoe Kwinzo helpt bij de AVG datalekmeldplicht
Weten of je een datalek moet melden is een zaak van beleid, procedures en bewustwording. Wij helpen organisaties om dit goed te regelen, zodat je bij een incident weet wat te doen en aantoonbaar voldoet aan de AVG.
Wat wij concreet voor je doen:
- Inrichten van een intern register voor datalekken en bijbehorende procedures
- Opstellen van een helder protocol voor beoordeling, melding en communicatie bij een datalek
- Begeleiden bij de implementatie van technische en organisatorische maatregelen die de kans op een meldplichtig lek verkleinen
- Uitvoeren van interne audits om te controleren of je beveiliging en procedures op orde zijn
- Verzorgen van trainingen voor medewerkers over veilig omgaan met persoonsgegevens
- Invullen van de rol van Functionaris Gegevensbescherming, die toeziet op naleving van de AVG binnen jouw organisatie
Informatiebeveiliging werkt alleen als het echt is ingebed in de dagelijkse praktijk, niet alleen op papier. Wil je weten hoe jouw organisatie er op dit moment voor staat? Neem contact op voor een vrijblijvend adviesgesprek.