Direct na een datalek moet je snel en gestructureerd handelen. Onder de AVG ben je als organisatie verplicht om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico vormt voor betrokkenen. Hoe snel je daarna handelt, bepaalt in grote mate hoeveel schade je kunt beperken. Dit artikel behandelt de concrete stappen die je direct na een datalek zet.
Binnen hoeveel uur moet je een datalek melden?
Je bent verplicht om een datalek binnen 72 uur na ontdekking te melden bij de Autoriteit Persoonsgegevens (AP), tenzij het onwaarschijnlijk is dat het incident een risico oplevert voor de rechten en vrijheden van betrokkenen. Deze termijn is vastgelegd in de AVG en geldt voor alle organisaties die persoonsgegevens verwerken.
De 72-uurtermijn begint op het moment dat je als organisatie weet van het datalek, niet pas wanneer je alle details hebt uitgezocht. Je hoeft de melding dus niet volledig te hebben voordat je die indient. Als je nog niet alle informatie hebt, kun je een voorlopige melding doen en deze later aanvullen. Wachten totdat je alles weet is geen geldige reden om de termijn te overschrijden.
Niet elk datalek hoeft gemeld te worden bij de AP. Gaat het om een incident waarbij de kans op schade voor betrokkenen verwaarloosbaar is, zoals een brief die aan de verkeerde interne afdeling is bezorgd, dan kan melding achterwege blijven. Twijfel je? Meld dan toch. De AP kijkt bij de beoordeling ook naar de snelheid en zorgvuldigheid waarmee je hebt gehandeld.
Welke informatie moet je verzamelen direct na een datalek?
Direct na het ontdekken van een datalek moet je zo snel mogelijk de volgende informatie verzamelen: wat er precies is gebeurd, welke persoonsgegevens zijn betrokken, hoeveel mensen het treft en wat de mogelijke gevolgen zijn voor betrokkenen. Deze informatie heb je nodig voor zowel de melding bij de AP als voor het beperken van de schade.
Concreet gaat het om de volgende gegevens:
- De aard van het incident (inbraak, phishing, verloren apparaat, verkeerde verzending, enzovoort)
- Welke categorieën persoonsgegevens zijn betrokken (bijvoorbeeld naam, adres, BSN, medische gegevens)
- Het geschatte aantal betrokkenen
- De datum en het tijdstip van het incident en van de ontdekking
- Welke systemen of bestanden zijn geraakt
- Wie intern op de hoogte is en wie de coördinatie op zich neemt
Zorg dat je deze informatie vastlegt op een centrale plek en dat de juiste personen direct betrokken zijn, zoals de Functionaris Gegevensbescherming (FG), de privacyverantwoordelijke of het management. Hoe beter je de feiten in kaart hebt, hoe gerichter je kunt handelen en hoe steviger je dossier staat bij een eventuele beoordeling door de AP.
Wanneer moet je betrokkenen informeren over een datalek?
Je bent verplicht om betrokkenen te informeren over een datalek wanneer het incident waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Denk aan datalekken waarbij gevoelige gegevens zoals medische informatie, financiële gegevens of inloggegevens zijn gelekt. In dat geval moet je betrokkenen zo snel mogelijk op de hoogte stellen.
De melding aan betrokkenen staat los van de melding aan de AP. Je meldt bij de AP zodra je weet dat er een datalek is. Betrokkenen informeer je wanneer duidelijk is dat zij daadwerkelijk risico lopen. In de melding aan betrokkenen vermeld je minimaal:
- Wat er is gebeurd
- Welke gegevens zijn betrokken
- Wat de mogelijke gevolgen kunnen zijn
- Welke maatregelen je hebt genomen of gaat nemen
- Bij wie betrokkenen terecht kunnen met vragen
Is het risico beperkt, dan is melding aan betrokkenen niet verplicht maar kan het alsnog verstandig zijn om transparant te communiceren. Dit versterkt het vertrouwen en laat zien dat je als organisatie verantwoordelijkheid neemt.
Hoe beperk je de schade na een datalek?
Schadebeperking na een datalek begint met het zo snel mogelijk stoppen van de bron van het lek. Daarna neem je maatregelen om verdere verspreiding van gegevens te voorkomen en herstel je de normale bedrijfsvoering zo gecontroleerd mogelijk. Hoe sneller je handelt, hoe meer schade je kunt beperken voor betrokkenen en voor je eigen organisatie.
Praktische stappen voor schadebeperking zijn:
- Isoleer het probleem: schakel getroffen systemen uit, blokkeer toegang of trek gelekte inloggegevens in
- Beveilig het bewijs: leg vast wat er is gebeurd voordat je systemen herstelt, zodat je later kunt reconstrueren hoe het lek is ontstaan
- Beperk verdere verspreiding: neem contact op met betrokken partijen als gegevens bij een derde partij terecht zijn gekomen
- Informeer intern: zorg dat de juiste mensen weten wat er speelt en wie welke verantwoordelijkheid draagt
- Onderneem herstelacties: herstel systemen, verander wachtwoorden en pas toegangsrechten aan waar nodig
Goede informatiebeveiliging op basis van ISO 27001 zorgt ervoor dat dit soort stappen al zijn vastgelegd in procedures, zodat je in een stressvolle situatie niet van nul hoeft te beginnen.
Wat moet je vastleggen in het datalekregister?
Elke organisatie die onder de AVG valt, is verplicht om alle datalekken bij te houden in een intern datalekregister, ook als het lek niet gemeld hoeft te worden bij de AP. Het register dient als bewijs dat je als organisatie zorgvuldig omgaat met incidenten en is een vereiste bij een eventuele controle door de toezichthouder.
In het datalekregister leg je minimaal de volgende informatie vast:
- Datum en tijdstip van het incident en van de ontdekking
- Een beschrijving van de aard van het datalek
- Welke categorieën en hoeveelheden persoonsgegevens zijn betrokken
- De (vermoedelijke) oorzaak van het lek
- De genomen maatregelen om het lek te stoppen en herhaling te voorkomen
- Of het lek gemeld is bij de AP en/of betrokkenen, en zo ja wanneer en hoe
- De beoordeling van het risico voor betrokkenen
Het bijhouden van dit register is niet alleen een wettelijke verplichting, maar ook een waardevol instrument om patronen te herkennen en je beveiligingsbeleid gericht te verbeteren.
Hoe voorkom je een volgend datalek na een incident?
Een datalek voorkomen begint met het grondig analyseren van het incident dat heeft plaatsgevonden. Wat was de oorzaak? Welke zwakke plek in je processen, systemen of gedrag van medewerkers heeft het lek mogelijk gemaakt? Pas als je de oorzaak begrijpt, kun je gerichte maatregelen nemen om herhaling te voorkomen.
Veelvoorkomende oorzaken van datalekken zijn menselijke fouten, zwakke wachtwoorden, phishing, onvoldoende toegangsbeheer en het ontbreken van duidelijke procedures. Structurele preventie vraagt om maatregelen op meerdere niveaus:
- Technisch: versleuteling, sterke authenticatie, toegangsbeperking op basis van rollen
- Organisatorisch: heldere procedures voor het omgaan met persoonsgegevens en het melden van incidenten
- Menselijk: bewustwording en gerichte trainingen voor medewerkers over informatiebeveiliging en privacy
Daarnaast is het verstandig om regelmatig te toetsen of je maatregelen nog actueel en effectief zijn. Een interne audit is hiervoor een uitstekend instrument. Zo’n audit brengt kwetsbaarheden aan het licht voordat ze leiden tot een incident en helpt je managementsysteem continu te verbeteren.
Hoe Kwinzo helpt bij datalekken en informatiebeveiliging
Een datalek is een stressvolle situatie, maar met de juiste voorbereiding hoef je niet te improviseren. Wij helpen organisaties in zorg, ICT en onderwijs om informatiebeveiliging structureel op orde te brengen, zodat je bij een incident weet wat je moet doen en herhaling zoveel mogelijk wordt voorkomen. Onze aanpak is concreet en praktisch:
- Wij begeleiden je bij het opzetten van een werkend ISMS, inclusief een datalekprocedure die aansluit op de AVG
- We voeren interne audits uit om kwetsbaarheden tijdig te signaleren
- We verzorgen bewustwordingstrainingen voor medewerkers zodat menselijke fouten minder vaak voorkomen
- We kunnen optreden als Functionaris Gegevensbescherming voor jouw organisatie
- We ondersteunen bij certificering op basis van ISO 27001, NEN-7510 en andere relevante normen
Wil je weten hoe goed jouw organisatie is voorbereid op een datalek? Neem contact met ons op voor een vrijblijvend gesprek.