MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een datalek protocol opstellen doe je door in één draaiboek vast te leggen: hoe medewerkers een datalek herkennen en intern melden, wie de ernst beoordeelt, wanneer je meldt bij de Autoriteit Persoonsgegevens (art. 33 AVG), wanneer je betrokkenen informeert (art. 34 AVG) en hoe je elk incident vastlegt in het interne register (art. 33 lid 5 AVG). Het protocol moet vooral werkbaar zijn onder tijdsdruk, want de meldtermijn van 72 uur laat weinig ruimte voor twijfel over wie wat doet.
Het korte antwoord
- Herkennen en intern melden: hoe een medewerker een lek signaleert en direct doorgeeft.
- Beoordelen: wie het risico weegt en op basis van welke criteria.
- Melden aan de AP: wanneer en hoe, binnen 72 uur (art. 33 AVG).
- Informeren van betrokkenen: bij een hoog risico, in duidelijke taal (art. 34 AVG).
- Documenteren: elk lek vastleggen in het register (art. 33 lid 5 AVG), ook zonder melding.
Datalek protocol opstellen: de vaste onderdelen
Een bruikbaar protocol is geen theoretisch document maar een stappenplan dat iedereen kan volgen. De vaste onderdelen:
- Definitie: wat een datalek is, met herkenbare voorbeelden zoals een verkeerd verzonden e-mail of een verloren gegevensdrager.
- Meldpunt: bij wie een medewerker een vermoedelijk lek direct meldt, met contactgegevens en een 24-uursbereikbaarheid.
- Beoordelingscriteria: hoe je het risico weegt, gericht op de gevolgen voor betrokkenen.
- Beslisboom: wel of niet melden aan de AP, wel of niet informeren van betrokkenen.
- Register: het format waarin elk incident wordt vastgelegd.
- Evaluatie: hoe je na afloop leert van het incident en de beveiliging aanscherpt.
Rollen en verantwoordelijkheden
Onder tijdsdruk moet duidelijk zijn wie beslist. Wijs daarom concrete rollen aan. Wie ontvangt de interne meldingen, wie beoordeelt de ernst, wie beslist over de melding aan de Autoriteit Persoonsgegevens, en wie stelt de communicatie naar betrokkenen op. In een klein bedrijf kan dat een of twee personen zijn, maar leg wel een vervanger vast voor het geval de eerste persoon niet bereikbaar is. Een protocol dat afhankelijk is van één afwezige medewerker faalt precies op het verkeerde moment.
De 72-uursklok werkbaar maken
De termijn van 72 uur uit art. 33 AVG begint zodra je redelijkerwijs op de hoogte bent van het datalek. Dat is korter dan het lijkt, zeker als een lek in het weekend wordt ontdekt. Bouw daarom in het protocol een snelle beoordeling in: een eerste inschatting binnen enkele uren, gevolgd door een besluit. Neem op dat een melding aan de AP zo nodig kan worden aangevuld als nog niet alle informatie bekend is. Zo voorkom je dat je de termijn laat verstrijken omdat het onderzoek nog loopt.
Werk de melddrempel concreet uit. Melden hoeft niet als het onwaarschijnlijk is dat het lek een risico inhoudt voor de rechten en vrijheden van betrokkenen. Geef voorbeelden die passen bij jouw organisatie, zodat de beoordelaar niet elke keer bij nul begint.
Communicatie naar betrokkenen
Is er een hoog risico voor betrokkenen, dan moet je hen informeren (art. 34 AVG). Bereid daarvoor een standaardtekst voor die je snel kunt aanpassen. Die tekst beschrijft in duidelijke taal wat er is gebeurd, welke gegevens betrokken zijn, wat de mogelijke gevolgen zijn en welke maatregelen zij zelf kunnen nemen, zoals het wijzigen van een wachtwoord. Een kant-en-klaar sjabloon scheelt kostbare tijd op een moment dat je die niet hebt.
Een praktijkvoorbeeld: een webwinkel ontdekt op zaterdag dat een database met klantgegevens toegankelijk was. Dankzij het protocol wordt de verantwoordelijke direct gebeld, het risico als hoog beoordeeld omdat wachtwoorden zijn gelekt, en op zondag een melding bij de AP gedaan met de standaardtekst voor klanten klaar. Zonder protocol was de maandag verstreken voordat iemand de termijn in de gaten had.
Register en nazorg
Neem in het protocol het interne register op als vaste stap. Elk datalek, ook een dat je niet meldt, leg je vast met de feiten, de gevolgen en de genomen maatregelen (art. 33 lid 5 AVG). Rond af met een evaluatie: wat ging er mis, en welke technische of organisatorische maatregel voorkomt herhaling. Zo wordt elk incident ook een verbetering van je beveiliging.
Eerlijke aanbeveling
Voor een klein bedrijf met beperkte en weinig gevoelige persoonsgegevens stel je een werkbaar protocol prima zelf op met een goed model. Zolang je de 72-uursklok, de melddrempel en de registerplicht correct verwerkt en concrete rollen aanwijst, heb je daar geen jurist voor nodig.
Laat wel meekijken wanneer je met bijzondere persoonsgegevens werkt, met meerdere verwerkers, of met grote gegevensstromen. Dan luistert de beoordeling nauwer en wil je zeker weten dat de meldketen en de risicoweging kloppen. Bij een echt incident bepaalt die inrichting of je op tijd en juist handelt, en een fout daarin is duurder dan het protocol laten controleren.
Lees ook de uitleg bij wat is een datalek protocol en de kosten bij datalek protocol laten opstellen. Een document laten maken kan via de datalek protocol-pagina.
Veelgestelde vragen
Leg in één draaiboek vast hoe medewerkers een lek herkennen en melden, wie de ernst beoordeelt, wanneer je meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen, en hoe je elk incident vastlegt in het register. Wijs concrete rollen en vervangers aan.
Een heldere definitie van een datalek, een intern meldpunt, beoordelingscriteria, een beslisboom voor melden, het registerformat en een evaluatiestap. Zonder deze onderdelen mist het protocol de sturing die je onder tijdsdruk nodig hebt.
Bouw een snelle eerste beoordeling in binnen enkele uren en een besluit ruim binnen 72 uur (art. 33 AVG). Neem op dat een melding aan de Autoriteit Persoonsgegevens later kan worden aangevuld als nog niet alle informatie bekend is.
Wijs concrete rollen aan: wie ontvangt de meldingen, wie beoordeelt het risico, wie beslist over melding en wie communiceert naar betrokkenen. Leg altijd een vervanger vast, zodat het protocol niet vastloopt bij afwezigheid van één persoon.
Ja. Elk datalek, ook een dat je niet meldt, leg je vast in een intern register met de feiten, de gevolgen en de genomen maatregelen (art. 33 lid 5 AVG). De Autoriteit Persoonsgegevens kan dat register opvragen ter controle.
Bij een hoog risico informeer je betrokkenen in duidelijke taal (art. 34 AVG): wat er is gebeurd, welke gegevens betrokken zijn en wat zij zelf kunnen doen. Een voorbereide standaardtekst scheelt tijd op een druk moment.
Verwijs naar de afspraak dat verwerkers een lek zonder onredelijke vertraging aan jou melden (art. 33 lid 2 AVG), zoals vastgelegd in de verwerkersovereenkomst. Zo weet iedereen wie wie waarschuwt en verlies je geen tijd in de meldketen.
