Meldplicht datalekken

Bij een datalek gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens bij een organisatie. Of om vernietiging, verlies, wijziging of vrijkomen van persoonsgegevens. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens en verlies van (toegang tot) persoonsgegevens.

De term ‘datalek’ komt niet voor in de wet. In de plaats daarvan heeft de Algemene verordening gegevensbescherming (AVG) het over een ‘inbreuk in verband met persoonsgegevens’.

Hiervan is sprake bij een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens (Artikel 4, punt 12, AVG).

Categorieën datalekken

Er zijn drie categorieën datalekken te onderscheiden:

• Inbreuk op de vertrouwelijkheid
  Wanneer er sprake is van een onbevoegde of onopzettelijke openbaring van, of toegang tot, persoonsgegevens.
• Inbreuk op de integriteit
  Wanneer er sprake is van een onbevoegde of onopzettelijke wijziging van persoonsgegevens.
• Inbreuk op de beschikbaarheid
  Wanneer er sprake is van een onbevoegd of onopzettelijk verlies van toegang tot, of vernietiging van, persoonsgegevens.

Een datalek kan, afhankelijk van de omstandigheden, in meer dan één van deze drie categorieën vallen.

Voorbeelden datalekken

Voorbeelden van datalekken zijn:

• het verlies van een USB-stick met niet-versleutelde persoonsgegevens;
• een cyberaanval waarbij persoonsgegevens zijn buitgemaakt;
• een besmetting met ransomware waarbij persoonsgegevens ontoegankelijk zijn gemaakt.

Treedt er bij uw organisatie een datalek op waarbij er kans is op verlies of onrechtmatige verwerking van persoonsgegevens? Dan kunt u verplicht zijn een melding te doen bij de Autoriteit Persoonsgegevens (AP).

Of u een datalek wel of niet bij de AP moet melden, hangt af van de ernst van het datalek. In bepaalde gevallen moet u ook de betrokkenen informeren over het datalek.

Overtreding meldplicht datalekken

Meldt u een datalek ten onrechte niet bij de AP? Dan kan de AP u een boete geven. U kunt ook een boete krijgen als u ten onrechte een datalek met een hoog risico verzwijgt voor de betrokkenen.

Meldplicht datalekken Telecommunicatiewet

Biedt u openbare elektronische communicatiediensten aan? Dan doet u uw datalekmelding ook bij de AP. U gebruikt hiervoor hetzelfde meldformulier van het meldloket datalekken waarmee u ook de overige datalekken meldt.

Nee. Of u een datalek moet melden, is afhankelijk van de (potentiële) impact van het datalek op de bescherming van persoonsgegevens en de persoonlijke levenssfeer van betrokkenen.

U hoeft een datalek alleen te melden als het datalek leidt tot een risico voor de rechten en vrijheden van betrokkenen.

Guidelines meldplicht datalekken

De Guidelines meldplicht datalekken, en dan met name hoofdstuk IV, kunnen u helpen te bepalen of u een datalek moet melden aan de Autoriteit Persoonsgegevens.

Nee. U hoeft de betrokkenen (de personen van wie u gegevens verwerkt) alleen te informeren als een datalek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert. Kunt u aannemelijk maken dat dit niet zo is? Dan hoeft u het datalek niet aan de betrokkenen te melden.

Let op: u moet het datalek mogelijk wél melden bij de Autoriteit Persoonsgegevens. Als dat zo is, geeft u in uw melding aan dat u het datalek niet heeft gemeld aan de betrokkenen. Als onderbouwing hiervoor vermeldt u welke redenen u heeft om de betrokkenen niet te informeren.

Hoog risico

Om te bepalen of een datalek een hoog risico oplevert voor de betrokkenen, moet u onder andere kijken of het datalek kan leiden tot fysieke, materiële of immateriële schade voor de betrokkenen. Zoals: discriminatie, (identiteits-)fraude, financiële schade en reputatieschade.

Meer informatie vindt u in hoofdstuk III en IV van de Guidelines meldplicht datalekken.

Melden datalek niet nodig

U mag de melding aan de betrokkenen eventueel achterwege laten als u aan een van de volgende voorwaarden voldoet.

1. Maatregelen vooraf
U heeft, voordat het datalek plaatsvond, passende maatregelen getroffen. Hierdoor zijn de gelekte persoonsgegevens onbegrijpelijk voor onbevoegden. Bijvoorbeeld doordat de gegevens goed zijn versleuteld of vervangen door een hashwaarde.

Let op: deze uitzondering geldt alleen als:

• de gegevens nog volledig intact zijn;
• u nog steeds de volledige controle over de gegevens heeft;
• de sleutel die voor de encryptie of voor de hashing is gebruikt geen gevaar heeft gelopen bij de inbreuk en voor onbevoegden met de beschikbare technologische middelen niet te vinden is.

2. Maatregelen achteraf
U heeft, onmiddellijk nadat het datalek plaatsvond, maatregelen getroffen. Het hoge risico voor de rechten en vrijheden van betrokkenen zal zich hierdoor waarschijnlijk niet meer voordoen. Bijvoorbeeld wanneer de gelekte persoonsgegevens onmiddellijk na het datalek op afstand zijn gewist, nog voordat de onbevoegde ontvanger iets met de gegevens kon doen.

3. Uitzonderingen UAVG
Daarnaast noemt de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) de volgende gevallen waarin u een melding aan betrokkenen achterwege mag laten:

• Wanneer dat noodzakelijk en evenredig is ter waarborging van: a. de nationale veiligheid; b. landsverdediging; c. de openbare veiligheid; d. het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of het uitvoeren van straffen.
• Is uw organisatie een financiële onderneming als bedoeld in de Wet op het financieel toezicht (Wft)? Dan is de meldplicht aan de betrokkenen op u niet van toepassing. Wel geldt de meldplicht aan de Autoriteit Persoonsgegevens onverkort voor financiële ondernemingen.

Informeren door openbare mededeling

Zou het individueel informeren van de betrokkenen een onevenredige inspanning vergen? Bijvoorbeeld omdat u de contactgegevens van de betrokkenen bent verloren door het datalek?

Dan mag u de betrokkenen ook informeren met een openbare mededeling of een soortgelijke maatregel, waarbij zij even doeltreffend worden geïnformeerd.

Ja. Iedere organisatie die verwerkingsverantwoordelijke is, moet volgens de privacywet een datalekregister opstellen. Hierin houdt u bij welke inbreuken er in uw organisatie zijn geweest.

Doel datalekregister

Het doel van het datalekregister is dat u als organisatie leert van uw eerdere datalekken en maatregelen neemt om de kans op nieuwe datalekken te verminderen.

Daarnaast kunt u met uw datalekregister aan de Autoriteit Persoonsgegevens (AP) laten zien dat u zich houdt aan de meldplicht datalekken.

Vorm datalekregister

U mag zelf bepalen welke vorm uw register heeft, zolang u maar de wettelijk verplichte informatie erin opneemt.

Om u op weg te helpen heeft de AP een checklist opgesteld met 10 tips voor het professioneel registreren van datalekken.

De meldplicht datalekken is onder de Algemene verordening gegevensbescherming (AVG) voor het grootste gedeelte hetzelfde als eerder onder de Wet bescherming persoonsgegevens (Wbp). De AVG stelt wel strengere eisen aan uw eigen registratie van de datalekken die zich in uw organisatie hebben voorgedaan.

U moet onder de AVG alle datalekken documenteren, inclusief de feiten over het datalek, de gevolgen daarvan en de genomen corrigerende maatregelen. Met deze documentatie moet de Autoriteit Persoonsgegevens (AP) kunnen controleren of u aan de meldplicht heeft voldaan.

Dit gaat verder dan de vroegere protocolplicht uit de Wbp, waarbij u alleen de gemelde datalekken hoefde te documenteren.

Andere verschillen meldplicht datalekken

Andere nuanceverschillen zijn onder meer:

• Onder de AVG kan er ook sprake kan zijn van een datalek als een verwerkingsverantwoordelijke tijdelijk of permanent de controle verliest over, of geen toegang meer heeft tot, de persoonsgegevens die hij verwerkt.
• Onder de AVG mag er onder bepaalde omstandigheden worden afgezien van het melden van het datalek aan de toezichthouder en aan de betrokkenen als de persoonsgegevens waarover het gaat goed zijn versleuteld of vervangen door een hashwaarde.
  Deze uitzondering geldt alleen als: (1) de gegevens nog volledig intact zijn; (2) de verwerkingsverantwoordelijke nog steeds de volledige controle over de gegevens heeft; (3) de sleutel die voor de encryptie of voor de hashing is gebruikt bij de inbreuk geen gevaar heeft gelopen en voor onbevoegden met de beschikbare technologische middelen niet te vinden is.
• Bij de AVG gaat het om Europese regelgeving. Het kan daarbij voorkomen dat datalekken in grensoverschrijdende verwerkingen bij de AP worden gemeld, omdat de AP voor de betreffende verwerking de leidende toezichthouder is. In die gevallen moet de AP de andere betrokken privacytoezichthouders informeren.

Europese guidelines meldplicht datalekken

De Europese privacytoezichthouders hebben de Guidelines meldplicht datalekken gepubliceerd. Deze guidelines zijn bedoeld om organisaties te helpen om te bepalen of zij een datalek moeten melden.

Belangrijke maatregelen waarmee u het risico op een datalek door malware (bijvoorbeeld door ransomware) verkleint, zijn onder meer:

• op tijd software-updates installeren;
• geen verouderde (netwerk)protocollen gebruiken;
• computernetwerken en -systemen segmenteren (scheiden).

Praktische hulp bij technische maatregelen

Meer praktische informatie over technische maatregelen vindt u in deze documenten:

• Brochure AIVD en MIVD: Bent u zich bewust van de risico's van cyberspionage?
• Factsheets op de website van het Nationaal Cyber Security Centrum (NCSC), waaronder: 10 vuistregels voor veilig internetten.

Melden bij de AP

Is uw organisatie getroffen door malware waarbij (mogelijk) persoonsgegevens getroffen zijn? Dan hoeft u alleen niet te melden als het niet waarschijnlijk is dat de besmetting leidt tot een risico voor de rechten en vrijheden van betrokkenen.

Bij dit onderzoek moet u onder andere kijken naar de kans dat de malware zich verspreidt via uw computernetwerk. Blijkt uit uw onderzoek dat er waarschijnlijk een risico is voor de rechten en vrijheden van betrokkenen? Dan moet u de besmetting met malware als datalek melden bij de AP.

Melden aan betrokkenen

Is uw organisatie getroffen door malware waarbij (mogelijk) persoonsgegevens getroffen zijn? Dan moet u onderzoeken of de inbreuk waarschijnlijk leidt tot een hoog risico voor de rechten en vrijheden van de betrokkenen.

U kunt daarvoor technisch onderzoek (laten) uitvoeren, zoals analyse van logbestanden. Blijkt uit dit onderzoek dat het niet waarschijnlijk is dat de inbreuk leidt tot een hoog risico voor de rechten en vrijheden van de betrokkenen? Dan hoeft u hen niet te informeren.

Op deze website vindt u informatie en antwoorden op vragen over de meldplicht datalekken. Heeft u hier geen antwoord op uw vraag gevonden? Dan kunt u contact opnemen met de Autoriteit Persoonsgegevens. Het telefoonnummer is 088-1805255 (voor dit nummer betaalt u uw gebruikelijke telefoonkosten).

Nee, u kunt een datalek niet melden bij de functionaris gegevensbescherming (FG). U moet het datalek melden bij de Autoriteit Persoonsgegevens.

Wel is het zinvol om de FG te betrekken bij de afhandeling van het datalek. De FG kan u bijvoorbeeld adviseren bij het informeren van de betrokkenen.

De algemene regel is dat de verwerkingsverantwoordelijke een datalek moet melden. Werkt u samen in een samenwerkingsverband? Dan kan er sprake zijn van gezamenlijke verantwoordelijkheid. U spreekt dan onderling af wie het datalek meldt aan de Autoriteit Persoonsgegevens (AP) en aan de betrokkenen.

Afspraken meldplicht datalekken

Bij het maken van afspraken over het melden van datalekken kunt u aansluiten bij de bestaande afspraken die u, los van de meldplicht datalekken, heeft gemaakt over de naleving van de Algemene verordening gegevensbescherming (AVG).

Welke samenwerkingspartner zorgt er bijvoorbeeld voor dat betrokkenen hun rechten kunnen uitoefenen, zoals het recht op inzage en rectificatie?

Ook is het van belang dat u bekijkt hoe de gezamenlijke gegevenshuishouding eruitziet. Waar kunnen eventueel datalekken optreden, welke samenwerkingspartners moeten dat weten en hoe zorgt u dat ze tijdig op de hoogte worden gesteld? Maak ook hier afspraken over.

Geeft u de Autoriteit Persoonsgegevens (AP) een tip over een mogelijk datalek? Dan beoordeelt de AP of het om een datalek gaat dat de organisatie die het datalek heeft (gehad) moet melden bij de AP.

Zo ja, dan controleert de AP of de organisatie het datalek al heeft gemeld. Zo nee, dan kan de AP contact opnemen met de organisatie.

Het is daarom belangrijk dat u zo concreet mogelijke informatie geeft als u de AP een tip geeft over een datalek.

Onderzoek

Uw tip kan, eventueel in combinatie met tips van andere personen, ook aanleiding zijn voor de AP om een onderzoek te starten naar de naleving van de privacywetgeving.

Geen informatie over melding

Let op: de AP kan u niet zeggen of een datalek bij de AP gemeld is. Deze informatie is namelijk niet openbaar.

Datalek melden

Niet ieder datalek hoeft gemeld te worden bij de AP. Dit hoeft alleen als het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokkenen.

U moet de betrokkenen informeren als het datalek door ransomware waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen.

Heeft u door encryptie de (mogelijk) gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk gemaakt voor onbevoegden? Dan kunt u de melding aan de betrokkenen eventueel achterwege laten.

Dit is een strenge norm, die u van geval tot geval moet toepassen op basis van de actuele stand van de techniek. Bovendien geldt deze uitzondering alleen maar als:

• de gegevens nog volledig intact zijn;
• u nog steeds de volledige controle over de gegevens heeft;
• de sleutel die voor de encryptie of voor de hashing is gebruikt bij de inbreuk geen gevaar heeft gelopen en voor onbevoegden met de beschikbare technologische middelen niet te vinden is.

Wel melden

Twijfelt u over de adequaatheid van de technische beschermingsmaatregelen die u heeft getroffen? Dan moet u het datalek melden aan de betrokkenen.

Zijn de gegevens door de ransomware niet meer toegankelijk voor u en voor de betrokkenen? En is er geen back-up voorhanden? Dan moet u dit mogelijk wél aan de betrokkenen melden. In dat geval is namelijk sprake van verlies van persoonsgegevens. Ook als u de gegevens had geëncrypt.

Criteria melden datalek aan betrokkenen

U moet de betrokkenen informeren als het datalek door ransomware waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen.

Hiervoor moet u onder andere kijken of het datalek kan leiden tot fysieke, materiële of immateriële schade voor de betrokkenen. Zoals: discriminatie, (identiteits-)fraude, financiële schade en reputatieschade.

Meer informatie vindt u in hoofdstuk III en IV van de Guidelines meldplicht datalekken.

Nee. U bent vanuit de meldplicht datalekken niet verplicht een (digitaal forensisch) onderzoek te (laten) doen. Het is aan u om te besluiten of u de omvang van de inbreuk wilt (laten) onderzoeken of niet.

Zonder onderzoek zal de onzekerheid over de omvang van de besmetting echter blijven bestaan. Dit betekent dat u niet redelijkerwijs kunt uitsluiten dat persoonsgegevens door een derde zijn ingezien, gekopieerd, gestolen of veranderd.

Belangrijke maatregelen waarmee u het risico op een datalek door malware (bijvoorbeeld door ransomware) verkleint, zijn onder meer:

• op tijd software-updates installeren;
• geen verouderde (netwerk)protocollen gebruiken;
• computernetwerken en -systemen segmenteren (scheiden).

Praktische hulp bij technische maatregelen

Meer praktische informatie over technische maatregelen vindt u in deze documenten:

• Brochure AIVD en MIVD: Bent u zich bewust van de risico's van cyberspionage?
• Factsheets op de website van het Nationaal Cyber Security Centrum (NCSC), waaronder: 10 vuistregels voor veilig internetten.

Melden bij de AP

Is uw organisatie getroffen door malware waarbij (mogelijk) persoonsgegevens getroffen zijn? Dan hoeft u alleen niet te melden als het niet waarschijnlijk is dat de besmetting leidt tot een risico voor de rechten en vrijheden van betrokkenen.

Bij dit onderzoek moet u onder andere kijken naar de kans dat de malware zich verspreidt via uw computernetwerk. Blijkt uit uw onderzoek dat er waarschijnlijk een risico is voor de rechten en vrijheden van betrokkenen? Dan moet u de besmetting met malware als datalek melden bij de AP.

Melden aan betrokkenen

Is uw organisatie getroffen door malware waarbij (mogelijk) persoonsgegevens getroffen zijn? Dan moet u onderzoeken of de inbreuk waarschijnlijk leidt tot een hoog risico voor de rechten en vrijheden van de betrokkenen.

U kunt daarvoor technisch onderzoek (laten) uitvoeren, zoals analyse van logbestanden. Blijkt uit dit onderzoek dat het niet waarschijnlijk is dat de inbreuk leidt tot een hoog risico voor de rechten en vrijheden van de betrokkenen? Dan hoeft u hen niet te informeren.