Datalekken

Wat we doen

Binnen de organisatie kan ondanks goede preventie een datalek voorkomen. Van een datalek is sprake op het moment dat een derde ongeoorloofd of onbedoeld toegang verkrijgt tot persoonsgegevens. Daarnaast kan een datalek zich voordoen op het moment dat persoonsgegevens ongewenst worden gewijzigd, verloren of vernietigd. Indien sprake is van een datalek binnen een organisatie, zal gelijk in actie moeten worden gekomen. Onze privacy specialisten zullen de desbetreffende situatie beoordelen en indien nodig ondersteunen bij het doen van een melding bij de Autoriteit Persoonsgegevens (AP).

Zijn er vragen omtrent datalekken? Neem dan contact met ons op.

Wat is een datalek precies?

Een datalek is een inbreuk op de beveiliging van persoonsgegevens. De Algemene verordening gegevensbescherming (AVG) omschrijft dit in artikel 4, onderdeel 12, als een inbreuk die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens. Niet ieder beveiligingsincident is dus een datalek: pas wanneer daadwerkelijk persoonsgegevens betrokken zijn, spreken we juridisch van een datalek.

In de praktijk varieren datalekken sterk. Denk aan een ransomware-aanval waarbij een klantenbestand wordt versleuteld, een e-mail met persoonsgegevens die naar de verkeerde ontvanger gaat, een gestolen of verloren laptop of usb-stick, een hack van een webapplicatie, of post met financiele gegevens die op het verkeerde adres belandt. Of het nu gaat om een internationaal concern of om de bakker op de hoek met een klantenkaart: zodra persoonsgegevens in verkeerde handen vallen, gelden dezelfde wettelijke verplichtingen.

De meldplicht bij de Autoriteit Persoonsgegevens (artikel 33 AVG)

Op grond van artikel 33 van de AVG moet een datalek zonder onredelijke vertraging, en zo mogelijk binnen 72 uur na ontdekking, worden gemeld bij de Autoriteit Persoonsgegevens. Dat hoeft alleen als het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Lukt het niet om binnen 72 uur te melden, dan moet de vertraging met redenen worden onderbouwd.

De melding bevat onder meer de aard van het datalek, de categorieen en het aantal betrokkenen, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen. De bewijslast om aan te tonen dat een datalek geen risico oplevert, ligt bij de verwerkingsverantwoordelijke. Onze advocaten en bedrijfsjuristen helpen om die afweging snel en zorgvuldig te maken, zodat u niet onnodig meldt, maar ook geen meldplichtig lek over het hoofd ziet.

Wanneer moet u de betrokkenen informeren? (artikel 34 AVG)

Naast de melding bij de toezichthouder verplicht artikel 34 van de AVG u om de betrokkenen zelf te informeren wanneer het datalek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden. De lat ligt daarmee hoger dan voor een melding bij de Autoriteit Persoonsgegevens. Informeren aan betrokkenen kan achterwege blijven als de gegevens bijvoorbeeld goed waren versleuteld, als achteraf maatregelen zijn getroffen die het hoge risico hebben weggenomen, of als individuele mededeling een onevenredige inspanning zou vergen.

Daarnaast schrijft artikel 33, vijfde lid, AVG voor dat u alle datalekken intern documenteert in een register, ook de datalekken die u niet meldt. Zo kunt u richting de Autoriteit Persoonsgegevens aantonen dat u uw verplichtingen serieus neemt.

Stappenplan: wat te doen bij een datalek

Bij een datalek telt elk uur. Wij hanteren een vast stappenplan dat we samen met u doorlopen:

1. Indammen en onderzoeken: stop de inbreuk, bepaal welke persoonsgegevens zijn getroffen en hoeveel betrokkenen het raakt.
2. Risico beoordelen: weeg de waarschijnlijkheid en de ernst van de gevolgen voor de betrokkenen af.
3. Melden bij de AP: indien meldplichtig, binnen 72 uur en met de juiste informatie.
4. Betrokkenen informeren: bij een hoog risico, in duidelijke en eenvoudige taal.
5. Maatregelen treffen en vastleggen: herstel de beveiliging, voorkom herhaling en leg alles vast in het datalekkenregister.

Onze juristen begeleiden ook de communicatie met de toezichthouder, klanten en eventueel de pers, zodat reputatieschade beperkt blijft.

De rol van de verwerker en de verwerkersovereenkomst (artikel 28 AVG)

Veel organisaties besteden de verwerking van persoonsgegevens uit, bijvoorbeeld aan een hostingpartij, een softwareleverancier of een salarisadministrateur. Op grond van artikel 28 van de AVG moeten de afspraken tussen verwerkingsverantwoordelijke en verwerker zijn vastgelegd in een verwerkersovereenkomst. Daarin hoort ook te staan dat de verwerker een datalek onverwijld meldt bij de verwerkingsverantwoordelijke, zodat die op tijd aan zijn eigen meldplicht kan voldoen.

Gaat het mis bij uw leverancier, dan blijft u als verwerkingsverantwoordelijke vaak het eerste aanspreekpunt voor de toezichthouder. Wij beoordelen uw verwerkersovereenkomsten, leggen aansprakelijkheid waar die hoort en helpen bij regres op een nalatige verwerker.

Boetes, handhaving en schadevergoeding (artikelen 82 en 83 AVG)

De Autoriteit Persoonsgegevens kan bij het schenden van de meldplicht of bij ontoereikende beveiliging een boete opleggen van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bij ernstigere schendingen, zoals het onrechtmatig verwerken van persoonsgegevens, loopt dat op tot 20 miljoen euro of 4% van de jaaromzet (artikel 83 AVG). In de Nederlandse praktijk lopen de opgelegde boetes uiteen van tienduizenden tot honderdduizenden euro’s.

Daarnaast kunnen betrokkenen op grond van artikel 82 van de AVG schadevergoeding vorderen voor materiele en immateriele schade door een datalek. Dat risico op claims, naast de handhaving door de toezichthouder, maakt een doordachte aanpak essentieel. Onze advocaten staan zowel organisaties bij die met een boete of claim worden geconfronteerd, als de kleine ondernemer die wil voorkomen dat het ooit zover komt.

Datalekken voorkomen: beveiliging op orde (artikel 32 AVG)

De beste melding is de melding die nooit nodig is. Artikel 32 van de AVG verplicht u om passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beschermen, zoals versleuteling, toegangsbeheer en bewustwording bij medewerkers. Onze privacyjuristen helpen om uw beveiliging en interne procedures op orde te brengen, zodat u bij een incident snel en correct kunt handelen.

Goede preventie hangt nauw samen met andere onderdelen van uw privacybeleid. Bekijk daarom ook onze pagina’s over de privacy-audit, de DPIA en de Functionaris Gegevensbescherming (FG).

Veelgestelde vragen over datalekken

Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?
Nee. U meldt alleen als het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen. Alle datalekken legt u wel vast in uw interne register.

Binnen hoeveel tijd moet ik een datalek melden?
Zonder onredelijke vertraging en zo mogelijk binnen 72 uur na ontdekking (artikel 33 AVG). Lukt dat niet, dan moet u de vertraging motiveren.

Wat als het datalek bij mijn leverancier ontstaat?
U blijft als verwerkingsverantwoordelijke verantwoordelijk richting de toezichthouder. De verwerker moet het lek wel onverwijld bij u melden; dat legt u vast in de verwerkersovereenkomst (artikel 28 AVG).

Kan ik een boete krijgen als ik niet meld?
Ja. Het niet of te laat melden kan leiden tot een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet (artikel 83 AVG).

Onderdeel van Privacy en gegevensbescherming

Datalekken zijn een specialisme binnen onze bredere expertise Privacy en gegevensbescherming. In gemengde teams van advocaten en bedrijfsjuristen staan wij organisaties bij van internationaal concern tot de bakker op de hoek, zowel bij een acuut datalek als bij het structureel op orde brengen van uw privacybeleid.