Bij een datalek moet je als organisatie snel en gestructureerd handelen. De AVG verplicht je om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor betrokkenen. Afhankelijk van de ernst moet je ook de mensen informeren van wie de gegevens zijn gelekt. In dit artikel lopen we stap voor stap door de procedure, zodat je precies weet wat je moet doen.<\/p>\n
Zodra je een datalek ontdekt, begint de klok te lopen. De AVG geeft je 72 uur om het lek te melden bij de Autoriteit Persoonsgegevens, gerekend vanaf het moment dat je redelijkerwijs op de hoogte had kunnen zijn. Die 72 uur klinkt ruim, maar is in de praktijk krap. Zeker als je midden in een incident zit.<\/p>\n
De eerste stap is het incident intern te bevestigen en af te bakenen. Wat is er precies gelekt? Om welke persoonsgegevens gaat het? Hoeveel mensen zijn er mogelijk bij betrokken? Hoe is het lek ontstaan? Zorg dat je deze vragen zo snel mogelijk kunt beantwoorden, want de Autoriteit Persoonsgegevens vraagt hier expliciet naar in haar meldformulier.<\/p>\n
Tegelijkertijd moet je het lek stoppen of beperken. Denk aan het afsluiten van een gehackt account, het blokkeren van ongeautoriseerde toegang, of het isoleren van een ge\u00efnfecteerd systeem. Documenteer alles wat je doet, inclusief tijdstippen. Die documentatie is niet alleen nuttig voor de melding, maar ook voor een eventueel intern onderzoek achteraf.<\/p>\n
Heb je een Functionaris voor Gegevensbescherming (FG)? Betrek die dan direct. Heb je die niet, maar wel een externe adviseur of accountant die vragen stelt over je informatiebeveiliging? Dan is dit precies het moment om ook die lijn te activeren.<\/p>\n
Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens wanneer het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokkenen. Levert het lek geen enkel risico op, dan mag je afzien van melding, maar moet je het incident wel intern documenteren.<\/p>\n
In de praktijk is de grens niet altijd scherp. Een verloren USB-stick met versleutelde gegevens levert doorgaans geen meldingsplicht op. Een gehackte database met onversleutelde namen, e-mailadressen en financi\u00eble gegevens vrijwel zeker wel. De sleutelwoorden zijn: aard van de gegevens, omvang van het lek, en de waarschijnlijke gevolgen voor betrokkenen.<\/p>\n
Bijzondere categorie\u00ebn persoonsgegevens, zoals gezondheidsgegevens, BSN-nummers of gegevens van minderjarigen, verhogen de drempel voor melding aanzienlijk. Bij twijfel is het verstandig om te melden. De Autoriteit Persoonsgegevens beoordeelt dan zelf de ernst. Niet melden terwijl je had moeten melden, is een groter risico dan een melding die achteraf niet noodzakelijk bleek.<\/p>\n
Ja, soms ben je ook verplicht om de betrokkenen zelf te informeren, dus de mensen van wie de gegevens zijn gelekt. Dat is het geval wanneer het datalek waarschijnlijk een hoog risico<\/strong> oplevert voor hun rechten en vrijheden. Dit is een strengere drempel dan de meldplicht bij de Autoriteit Persoonsgegevens, maar hij wordt in de praktijk regelmatig bereikt.<\/p>\n Denk aan situaties waarbij iemands identiteitsgegevens zijn buitgemaakt en er een re\u00ebel risico bestaat op identiteitsfraude. Of wanneer medische gegevens zijn gelekt die iemand kunnen benadelen in zijn werk of verzekering. In zulke gevallen moet je betrokkenen zonder onnodige vertraging informeren, in begrijpelijke taal, over wat er is gebeurd en wat zij zelf kunnen doen om schade te beperken.<\/p>\n Je hoeft betrokkenen niet te informeren als de gelekte gegevens afdoende versleuteld waren, als je achteraf maatregelen hebt genomen die het hoge risico wegnemen, of als individuele kennisgeving onevenredig veel inspanning kost, in welk geval een openbare mededeling volstaat. Ook hier geldt: documenteer je afweging zorgvuldig.<\/p>\n Als je een meldingsplichtig datalek niet meldt bij de Autoriteit Persoonsgegevens, riskeer je een forse boete. De AVG maakt het mogelijk om boetes op te leggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor een mkb-bedrijf zijn de bedragen in de praktijk lager, maar ze zijn zeker niet verwaarloosbaar.<\/p>\n Naast de financi\u00eble gevolgen is er ook reputatieschade. Als later blijkt dat je een lek hebt verzwegen, ondermijnt dat het vertrouwen van klanten, partners en medewerkers. In een tijd waarin informatiebeveiliging voor het MKB<\/strong> steeds nadrukkelijker op de agenda staat, is dat vertrouwen moeilijk te herstellen.<\/p>\n Bovendien kunnen betrokkenen schadevergoeding eisen als ze schade hebben geleden door het lek en jij hen niet tijdig hebt ge\u00efnformeerd. De combinatie van toezichthouder, klanten en rechter maakt niet melden een risico dat je simpelweg niet wilt lopen. Meer weten over hoe Auren organisaties ondersteunt bij compliance<\/a>? Bekijk wat wij doen.<\/p>\n Een datalek voorkomen begint met weten waar je kwetsbaar bent. Dat klinkt vanzelfsprekend, maar de meeste mkb-bedrijven hebben hun IT-omgeving nooit systematisch laten beoordelen. De risico’s zijn er wel, maar ze zijn niet zichtbaar gemaakt. En wat je niet ziet, kun je ook niet aanpakken.<\/p>\n Concrete stappen die het verschil maken:<\/p>\n Wet- en regelgeving zoals de NIS2-richtlijn voor het MKB<\/strong> en de AVG verplichten organisaties steeds nadrukkelijker om informatiebeveiliging serieus te nemen, niet als eenmalige actie, maar als doorlopend proces. Dat vraagt om structuur, beleid en periodieke toetsing. Bekijk ook onze evenementen over informatiebeveiliging en compliance<\/a> voor actuele kennissessies.<\/p>\n Een datalek is zelden het gevolg van \u00e9\u00e9n fout. Het is bijna altijd het resultaat van een combinatie van factoren: ontbrekende technische maatregelen, onduidelijke processen en een gebrek aan zicht op wat er in de IT-omgeving eigenlijk gebeurt. Wij helpen mkb-ondernemers om dat zicht te krijgen, voordat het misgaat.<\/p>\n Wat wij voor u kunnen doen:<\/p>\nWat zijn de gevolgen als je een datalek niet meldt?<\/h2>\n
Hoe voorkom je een volgend datalek?<\/h2>\n
\n
Hoe Auren u helpt bij datalekpreventie en compliance<\/h2>\n