Het registreren van datalekken

Heeft uw organisatie te maken met een datalek, dan is het wettelijk verplicht om het datalekken intern te documenteren.

Wanneer moet er geregistreerd worden?

Ieder datalek, ongeacht of het moet worden gemeld aan de Autoriteit Persoonsgegevens en betrokkenen, moet worden gedocumenteerd. Het is gebruikelijk om datalekken te documenteren in een datalekregister.

Welke informatie moet er geregistreerd worden?

U moet de volgende informatie bijhouden van ieder datalek:

Een korte omschrijving van het datalek
Datum waarop het datalek plaatsvond
Wat er met de gegevens is gebeurd (zijn ze verloren gegaan, of door een onbevoegde ingezien, gekopieerd of gewijzigd?)
Van welke groep(en) personen er gegevens gelekt zijn, en om hoeveel personen het gaat
Om welke soorten gegevens het gaat
De (mogelijke) gevolgen van de inbreuk (bijvoorbeeld een risico op identiteitsfraude of reputatieschade)
De maatregelen die zijn genomen naar aanleiding van het lek. Welke actie is ondernomen om schade te voorkomen of zo veel mogelijk te beperken (bijvoorbeeld het op afstand wissen van gegevens, of het wijzigen van wachtwoorden. Maar ook: wat heeft u gedaan om te zorgen dat het niet nog een keer kan gebeuren?)

Moet ik elk datalek dat ik registreer, ook melden?

Nee, dat hoeft niet altijd. Een datalek moet worden gemeld aan de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het datalek een risico oplevert voor de betrokkene. Denk aan negatieve gevolgen als identiteitsfraude of reputatieschade.

In bepaalde gevallen moet u de betrokkene (de persoon wiens gegevens gelekt zijn) informeren dat zijn/haar persoonsgegevens gelekt zijn. Dat is het geval wanneer gevoelige gegevens gelekt zijn, zoals gezondheidsgegevens, financiële gegevens en het BSN.

Het doel van het registreren is dat ervan kan worden geleerd, om datalekken in de toekomst zo veel mogelijk te voorkomen. Een ander doel is dat daarmee aan de Autoriteit Persoonsgegevens kan worden aangetoond dat datalekken daadwerkelijk worden gemonitord en opgevolgd.

Zelf datalekken registreren?

JuriBlox en Privacy Verified bieden een tool waarmee dit gemakkelijk mogelijk is.

Meer informatie ontvangen?

Bel ons voor meer informatie op telefoonnummer: 020 663 1941 (voor ICTRecht Groningen: 050 209 3499). Een bericht achterlaten via het formulier kan ook: een van onze juridisch adviseurs neemt dan contact met u op.

Wanneer u een aanvraag bij ons doet, volgt altijd eerst een vrijblijvend kennismakingsgesprek: telefonisch, bij ons op kantoor of bij u op locatie.