Datalek? Dit moet u als ondernemer direct doen

Een laptop die wordt gestolen, een e-mail met persoonsgegevens naar de verkeerde ontvanger of een cyberaanval waarbij klantgegevens op straat belanden. Het zijn allemaal voorbeelden van een datalek. Voor veel ondernemers is het onduidelijk wanneer er daadwerkelijk sprake is van een datalek en welke stappen zij vervolgens moeten nemen.

De Algemene verordening gegevensbescherming (AVG) verplicht organisaties om zorgvuldig met persoonsgegevens om te gaan. Ontstaat er toch een datalek? Dan is snel handelen belangrijk. In deze blog leest u wat een datalek is, wanneer u het moet melden en hoe u de kans op herhaling verkleint.

Wat is een datalek?

Van een datalek is sprake wanneer persoonsgegevens onbedoeld verloren gaan, worden vernietigd, gewijzigd of toegankelijk worden voor personen die daar geen toegang toe mogen hebben.

Een datalek ontstaat dus niet alleen door een cyberaanval. Ook een menselijke fout kan leiden tot een datalek.

Voorbeelden zijn:

• een e-mail met persoonsgegevens die naar de verkeerde ontvanger wordt gestuurd;
• een verloren of gestolen laptop, telefoon of usb-stick met persoonsgegevens;
• een ransomware-aanval waardoor persoonsgegevens niet meer toegankelijk zijn;
• documenten met persoonsgegevens die zoekraken;
• onbevoegden die toegang krijgen tot klant- of personeelsgegevens.

Stap 1: Stop het datalek

Ontdekt u een datalek? Probeer dan eerst verdere schade te voorkomen.

Afhankelijk van de situatie kunt u bijvoorbeeld:

• accounts blokkeren;
• wachtwoorden wijzigen;
• een verloren apparaat op afstand wissen;
• systemen tijdelijk uitschakelen;
• de oorzaak van het lek verhelpen.

Hoe sneller u het datalek stopt, hoe kleiner de mogelijke gevolgen voor betrokkenen én uw organisatie.

Stap 2: Onderzoek wat er is gebeurd

Breng vervolgens de situatie in kaart.

Stel uzelf onder andere de volgende vragen:

• Welke persoonsgegevens zijn gelekt?
• Om hoeveel personen gaat het?
• Zijn de gegevens daadwerkelijk ingezien door onbevoegden?
• Is het datalek nog gaande?
• Wat zijn de mogelijke gevolgen voor de betrokken personen?

Deze informatie heeft u nodig om te beoordelen of een melding verplicht is.

Stap 3: Beoordeel of u het datalek moet melden

Niet ieder datalek hoeft gemeld te worden aan de Autoriteit Persoonsgegevens (AP). Volgens de AVG moet u een datalek binnen 72 uur melden wanneer het waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen.

Twijfelt u? Onderzoek dan zorgvuldig de aard van het datalek en de mogelijke gevolgen. De Autoriteit Persoonsgegevens biedt hiervoor praktische hulpmiddelen, raadpleeg hiervoor de website: https://autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/datalek-wel-of-niet-melden.

Stap 4: Informeer de betrokken personen

Heeft het datalek waarschijnlijk grote gevolgen voor de personen van wie de gegevens zijn gelekt?

Dan moet u ook deze personen informeren.

Vertel daarbij duidelijk:

• wat er is gebeurd;
• welke gegevens zijn gelekt;
• welke gevolgen dit mogelijk heeft;
• welke maatregelen u al heeft genomen;
• wat betrokkenen eventueel zelf kunnen doen.

Open communicatie helpt mensen om passende maatregelen te nemen, bijvoorbeeld het wijzigen van wachtwoorden of extra alert te zijn op phishing.

Stap 5: Registreer ieder datalek

Veel ondernemers denken dat alleen meldingsplichtige datalekken geregistreerd hoeven te worden. Dat is niet juist.

Volgens de AVG bent u verplicht alle datalekken vast te leggen in een datalekregister. Ook wanneer het datalek uiteindelijk niet bij de Autoriteit Persoonsgegevens hoeft te worden gemeld.

In het register legt u onder andere vast:

• de datum van het incident;
• wat er is gebeurd;
• welke gegevens betrokken waren;
• welke maatregelen zijn genomen;
• waarom het datalek wel of niet is gemeld.

Een goed bijgehouden datalekregister helpt u bovendien om patronen te herkennen en herhaling te voorkomen.

Hoe voorkomt u een datalek?

Een datalek is niet altijd volledig te voorkomen, maar u kunt het risico wel aanzienlijk verkleinen.

Denk bijvoorbeeld aan:

• het beperken van de toegang tot persoonsgegevens;
• sterke wachtwoorden en multifactor-authenticatie;
• het versleutelen van laptops en mobiele apparaten;
• regelmatige software-updates;
• het centraal opslaan van gevoelige gegevens;
• medewerkers bewust maken van phishing en veilig omgaan met persoonsgegevens;
• het gebruik van passende beveiligingsmaatregelen, zoals Data Loss Prevention (DLP), wanneer dat past bij uw organisatie.

Ook alert zijn op signalen, zoals verdachte inlogpogingen, onverwachte bestandwijzigingen of meldingen van antivirussoftware, kan helpen om een datalek tijdig te ontdekken.

Praktijkvoorbeeld

Een medewerker stuurt per ongeluk een Excel-bestand met persoonsgegevens van klanten naar een verkeerde ontvanger.

De organisatie neemt direct contact op met de ontvanger met het verzoek het bestand te verwijderen, onderzoekt welke gegevens zijn gedeeld en beoordeelt of er een risico bestaat voor de betrokken personen. Vervolgens wordt het incident vastgelegd in het datalekregister en wordt onderzocht hoe een vergelijkbare fout in de toekomst kan worden voorkomen.

Veelgestelde vragen

Is iedere cyberaanval automatisch een datalek?

Nee. Er is pas sprake van een datalek wanneer persoonsgegevens verloren gaan, worden gewijzigd, vernietigd of toegankelijk worden voor onbevoegden.

Hoe snel moet ik een datalek melden?

Wanneer een melding verplicht is, moet deze zonder onnodige vertraging en uiterlijk binnen 72 uur nadat u kennis heeft genomen van het datalek worden gedaan.

Moet ik ieder datalek registreren?

Ja. Ook datalekken die u niet hoeft te melden aan de Autoriteit Persoonsgegevens moeten worden opgenomen in uw datalekregister.

Moet ik mijn klanten altijd informeren?

Nee. Dat is alleen verplicht wanneer het datalek waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokken personen.

Een goede voorbereiding voorkomt veel problemen

Een datalek komt vaak onverwacht. Juist daarom is het belangrijk dat uw organisatie vooraf duidelijke procedures heeft. Zorg dat medewerkers weten hoe zij een incident moeten melden, houd een datalekregister bij en leg vast wie verantwoordelijk is voor de opvolging.

Daarnaast is het verstandig om regelmatig te controleren of uw privacybeleid, beveiligingsmaatregelen en verwerkersovereenkomsten nog aansluiten op de actuele wet- en regelgeving.

ICTWaarborg ondersteunt haar deelnemers met actuele juridische documenten, waaronder verwerkersovereenkomsten, privacydocumentatie en praktisch juridisch advies. Zo bent u beter voorbereid wanneer zich onverhoopt een datalek voordoet.