Meldplicht datalekken

Treedt er bij uw organisatie een datalek op waarbij er kans is op verlies of onrechtmatige verwerking van persoonsgegevens? Dan kunt u verplicht zijn een melding te doen bij de Autoriteit Persoonsgegevens (AP).

Of u een datalek wel of niet bij de AP moet melden, hangt af van de waarschijnlijkheid en de mogelijke ernst van het datalek voor de betrokken personen.

U zult daarom een risico-inschatting moeten maken. Wanneer het datalek waarschijnlijk een hoog risico oplevert, moet u ook de betrokkenen informeren over het datalek.

Overtreding meldplicht datalekken

Meldt u een datalek ten onrechte niet bij de AP? Dan kan de AP u een boete geven. U kunt ook een boete krijgen als u ten onrechte een datalek met een hoog risico verzwijgt voor de betrokkenen.

Meldplicht datalekken Telecommunicatiewet

Biedt u openbare elektronische communicatiediensten aan? Dan doet u uw datalekmelding ook bij de AP.

U gebruikt hiervoor hetzelfde meldformulier van het meldloket datalekken waarmee u ook de overige datalekken meldt.

Nee. Of u een datalek moet melden, is afhankelijk van de (potentiële) impact van het datalek op de bescherming van persoonsgegevens en de persoonlijke levenssfeer van betrokkenen.

U hoeft een datalek niet te melden als het niet waarschijnlijk is dat het datalek leidt tot een risico voor de rechten en vrijheden van betrokkenen.

Guidelines meldplicht datalekken

De Guidelines meldplicht datalekken, en dan met name hoofdstuk IV, kunnen u helpen te bepalen of u een datalek moet melden aan de Autoriteit Persoonsgegevens.

Registreer wel in uw datalekregister

Let op: ook wanneer u het datalek niet hoeft te melden aan de AP, dan moet u het wel registreren in uw interne datalekregister.

Nee. U hoeft de betrokkenen (de personen van wie u gegevens verwerkt) alleen te informeren als een datalek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert. Kunt u aannemelijk maken dat dit niet zo is? Dan hoeft u het datalek niet aan de betrokkenen te melden.

Let op: u moet het datalek mogelijk wél melden bij de Autoriteit Persoonsgegevens. Als dat zo is, geeft u in uw melding aan dat u het datalek niet heeft gemeld aan de betrokkenen. Als onderbouwing hiervoor vermeldt u welke redenen u heeft om de betrokkenen niet te informeren.

Hoog risico

Om te bepalen of een datalek een hoog risico oplevert voor de betrokkenen, moet u onder andere kijken of het datalek kan leiden tot fysieke, materiële of immateriële schade voor de betrokkenen. Zoals: discriminatie, (identiteits-)fraude, financiële schade en reputatieschade.

Meer informatie vindt u in hoofdstuk III en IV van de Guidelines meldplicht datalekken.

U hoeft niet alle datalekken te melden. De privacywet eist dat organisaties een datalek melden bij de AP, ténzij het niet waarschijnlijk is dat het datalek een risico oplevert voor ‘de rechten en vrijheden van betrokkenen’. De betrokken personen informeert u alleen als er sprake is van een hoog risico.

Melden aan de AP en aan de betrokkenen niet verplicht

U hoeft het datalek niet te melden aan de AP of aan de betrokkenen in de volgende gevallen.

1. Maatregelen vooraf
U heeft voordat het datalek plaatsvond passende maatregelen getroffen. Hierdoor zijn de gelekte persoonsgegevens onbegrijpelijk voor onbevoegden. Bijvoorbeeld doordat de gegevens goed zijn versleuteld of vervangen door een hashwaarde.

Let op: deze uitzondering geldt alleen als:

• de gegevens nog volledig intact zijn.
• u nog steeds de volledige controle over de gegevens heeft.
• de sleutel die voor de encryptie of voor de hashing is gebruikt geen gevaar heeft gelopen bij het datalek. En deze ook met de beschikbare technologie niet vindbaar is voor onbevoegden

2. De onjuiste ontvanger is betrouwbaar
Zijn de persoonsgegevens verzonden aan een verkeerde maar betrouwbare ontvanger? Dan betekent dit mogelijk dat het niet langer waarschijnlijk is dat het datalek een risico oplevert. In dat geval hoeft u het datalek dus niet te melden aan de AP of aan de getroffen personen.

Melden aan de betrokkenen niet verplicht

Wanneer u een datalek niet hoeft te melden aan de AP, hoeft u het ook niet te melden aan de betrokken personen. Verder hoeft u het datalek ook niet aan de betrokken personen te melden in de volgende gevallen:

1. Maatregelen achteraf
U heeft, onmiddellijk nadat het datalek plaatsvond, maatregelen getroffen. Het hoge risico voor de rechten en vrijheden van betrokkenen zal zich hierdoor waarschijnlijk niet meer voordoen. Bijvoorbeeld wanneer u de persoon die toegang tot de persoonsgegevens heeft gehad onmiddellijk heeft geïdentificeerd en dat u actie heeft ondernomen voordat die persoon iets met de persoonsgegevens kon doen.

2. Uitzonderingen UAVG
Daarnaast noemt de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) een aantal gevallen waarin u een melding aan betrokkenen achterwege mag laten:

• Wanneer dat noodzakelijk en evenredig is om een zwaarwegend belang te waarborgen. Zoals de nationale of openbare veiligheid. Of de bescherming van de privacy van anderen. Bijvoorbeeld wanneer kinderen een hulpvraag hebben gedaan zonder dat hun ouders dat weten.
• Is uw organisatie een financiële onderneming als bedoeld in de Wet op het financieel toezicht (Wft)? Dan geldt de meldplicht aan de betrokken personen niet voor u. Wel geldt de meldplicht aan de AP.

Informeren door openbare mededeling

Zou het individueel informeren van de betrokkenen een onevenredige inspanning vergen? Bijvoorbeeld omdat u de contactgegevens van de betrokkenen bent verloren door het datalek?

Dan mag u de betrokkenen ook informeren met een openbare mededeling of een soortgelijke maatregel, waarbij zij even doeltreffend worden geïnformeerd.

U moet een datalek binnen 72 uur melden aan de Autoriteit Persoonsgegevens (AP). Ténzij het niet waarschijnlijk is dat er een risico is. De betrokken personen informeert u alleen als er sprake is van een hoog risico.

Bij het inschatten van het risico kijkt u naar hoe waarschijnlijk het is dat een risico zich voordoet. En wat de impact is als het inderdaad gebeurt.

Objectief beoordelen risico’s datalek

Soms is het risico heel duidelijk. Bijvoorbeeld wanneer er volledige medische dossiers zijn gelekt. Maar vaker is het een inschatting. Ook dan moet u de situatie objectief beoordelen. Onderstaande factoren helpen om uw afweging objectief te maken:

De aard van de inbreuk
Zijn er persoonsgegevens gewist, gewijzigd of gelekt? Voorbeeld: het lekken van medische persoonsgegevens aan een onbevoegde, heeft andere gevolgen dan wanneer deze gegevens verloren zijn gegaan.

De aard, gevoeligheid en omvang van de persoonsgegevens
Hoe gevoeliger de gegevens, hoe groter het risico op schade. Houd ook rekening met persoonsgegevens die al (openbaar) beschikbaar zijn. Want juist een combinatie van gegevens kan de impact groter maken.

Gemak waarmee personen kunnen worden geïdentificeerd
Kun je op basis van het datalek eenvoudig zien om wie het gaat?

Ernst van gevolgen voor personen
De gevolgen van een datalek kunnen ernstig zijn. Vooral wanneer het datalek kan leiden tot bijvoorbeeld identiteitsdiefstal of reputatieschade. Het risico wordt kleiner wanneer de gegevens in handen zijn gekomen van een betrouwbare ontvanger die er niet op uit is om schade te veroorzaken.

Bijzondere kenmerken van de persoon
Wanneer gegevens van kwetsbare personen betrokken zijn bij het datalek, kunnen zij een groter risico op schade lopen. Bijvoorbeeld kinderen.

Bijzondere kenmerken van uw organisatie
Ter illustratie: de risico’s bij een datalek van een ziekenhuis zullen groter zijn dan bij een datalek met een mailinglijst van een krant.

Het aantal getroffen personen
Over het algemeen kan een datalek grotere gevolgen hebben naarmate er meer personen bij betrokken zijn. Een inbreuk kan echter zelfs voor één persoon ernstige gevolgen hebben.

Hulpmiddel: voorbeeldlijst wel/niet melden

Het is uw eigen verantwoordelijkheid om het risico van een datalek in te schatten. Dat kan de AP zonder onderzoek niet voor u doen.

Wel bieden wij praktische informatie om u te helpen zelf een goede afweging te maken. Zoals de voorbeeldlijst wel/niet melden aan de AP en betrokken personen.

Zie ook

• Wanneer levert een datalek een hoog risico op?
• Wanneer hoef ik een datalek níet te melden aan de AP en de betrokken personen?
• AP-stappenplan: ‘Kom in actie bij een datalek’
• Privacy-video ‘Wat moet ik doen bij een datalek?’

Een datalek brengt een hoog risico met zich mee wanneer het kan leiden tot lichamelijke, materiële of immateriële schade voor de betrokken personen. In deze gevallen moet u ervan uit gaan dat u het datalek moet melden aan de Autoriteit Persoonsgegevens (AP) en aan de betrokkenen. Tenzij er sprake is van een uitzondering op de meldplicht.

Fysieke schade
Bijvoorbeeld wanneer cruciale medische gegevens zijn gewist waardoor er een risico bestaat dat iemand (tijdelijk) niet de benodigde zorg krijgt. Of bij doorbreking van het beroepsgeheim.

Materiële schade
Bijvoorbeeld wanneer de kans bestaat dat iemand online bestellingen kan plaatsen op kosten van een ander. Of andere vormen van financieel verlies of identiteitsdiefstal of -fraude.

Immateriële schade
Zoals kans op discriminatie, reputatieschade of inbreuk op iemands persoonlijke levenssfeer.

Voorbeelden hoog risico

Van een hoog risico is sprake als een datalek kan leiden tot:

• Discriminatie: bijvoorbeeld bij een datalek met gegevens over ras, geloof of seksuele geaardheid.
• Identiteitsdiefstal of –fraude: bijvoorbeeld bij een datalek met complete paspoortkopieën. Of het BSN in combinatie met andere persoonsgegevens.
• Financiële verliezen: bijvoorbeeld bij een datalek met creditcardgegevens waardoor het risico bestaat dat iemand online bestellingen kan plaatsen op kosten van een ander.
• Reputatieschade: bijvoorbeeld bij een datalek met gegevens over problematische schulden, verslaving of prestaties op het werk.
• Doorbreking van beroepsgeheim: bijvoorbeeld bij een datalek met medische gegevens.

Er is ook sprake van een hoog risico wanneer het datalek kan leiden tot:

• Het ongeoorloofd ongedaan maken van gepseudonimiseerde persoonsgegevens. 
• Een aanzienlijk economisch of maatschappelijk nadeel.
• Een situatie waarbij de betrokken personen hun rechten en vrijheden niet kunnen uitoefenen. Of geen controle over hun persoonsgegevens kunnen uitoefenen.

Andere voorbeelden van datalekken met een hoog risico:

• Datalek met bijzondere persoonsgegevens.
• Datalek met strafrechtelijke persoonsgegevens.
• Datalek met informatie over persoonlijke aspecten, bedoeld om profielen op te stellen of te gebruiken. Met name als het gaat om profiling op basis van informatie over beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid, gedrag en locatie.
• Datalek met persoonsgegevens van kwetsbare groepen. Zoals gehandicapten, mensen die ziek zijn, kinderen en bejaarden. 
• Datalek met een grote hoeveelheid persoonsgegevens en met gevolgen voor een hele grote groep mensen.

Hulpmiddel: voorbeeldlijst wel/niet melden

Los van deze situaties kan er ook in andere gevallen een hoog risico zijn. En/of kunt u verplicht zijn het datalek te melden aan de Autoriteit Persoonsgegevens. Het is uw verantwoordelijkheid als organisatie om dat in te schatten. Om u hierbij te helpen hebben wij een voorbeeldlijst opgesteld.

Zie ook

• AP-stappenplan: ‘Kom in actie bij een datalek’
• Privacy-video: ‘Wat moet ik doen bij een datalek’

Heeft u persoonsgegevens gelekt aan een verkeerde ontvanger? Maar gaat het om een ‘betrouwbare ontvanger’? Dan kan dit betekenen dat het onwaarschijnlijk is dat het datalek een risico oplevert voor de betrokken personen. U hoeft het datalek dan niet te melden aan de Autoriteit Persoonsgegevens (AP) en de betrokken personen.

Wat is betrouwbaar?

‘Betrouwbaar’ houdt in dat u er redelijk zeker van kunt zijn dat de onjuiste ontvanger geen kwaad in de zin heeft. Dus dat hij verder niets doet met de per ongeluk ontvangen gegevens. En dat hij zich houdt aan uw eventuele instructies. Bijvoorbeeld om de persoonsgegevens terug te sturen of te vernietigen.

Voorbeelden van betrouwbare ontvangers

Voorbeelden van betrouwbare ontvangers kunnen zijn:

• partijen met wie u een zakelijke relatie heeft. Bijvoorbeeld een vaste leverancier;
• partijen die een wettelijk beroepsgeheim hebben. Zoals een huisarts of andere zorgverlener.

Meewegen in het beoordelen van de risico’s

Is de verkeerde ontvanger een betrouwbare partij? Dan kunt u dit meewegen in het beoordelen van de risico’s van het datalek. Wanneer de ontvanger kan worden vertrouwd, kan dit namelijk de risico’s van het datalek wegnemen. U hoeft het datalek dan niet te melden aan de AP of de betrokken personen.

Twijfelt u of u het datalek moet melden? Dan kunt het beste het zekere voor het onzekere nemen en het datalek wél melden.

Wel registreren in datalekregister

Registreer een datalek wel altijd in uw datalekkenregister. Ook wanneer u het datalek niet hoeft te melden aan de AP en de betrokken personen.

De Autoriteit Persoonsgegevens (AP) kijkt zorgvuldig naar alle ontvangen meldingen van datalekken. Gelet op het grote aantal meldingen dat wij jaarlijks ontvangen, kunnen wij niet alle meldingen even uitgebreid onderzoeken.

Meestal krijgt u geen reactie. Tenzij we inhoudelijke vragen hebben over uw melding. Dan nemen we binnen 2 weken contact met u op.

Acties naar aanleiding van een datalek

Afhankelijk van de situatie kunnen wij besluiten om het volgende te doen na melding van een datalek:

• u verplichten om de betrokken personen te informeren wanneer u dat onterecht niet heeft gedaan;
• een kortlopend onderzoek starten bij een mogelijke overtreding van de meldplicht. Bijvoorbeeld wanneer u een datalek niet heeft gemeld. Of te laat heeft gemeld. 
• een inlichtingenverzoek doen. Bijvoorbeeld om het rapport van uw onderzoek naar het datalek op te vragen;
• u bellen voor meer informatie over het datalek;
• u bellen om u extra uitleg en advies te geven;
• u een brief sturen met extra uitleg over de normen en hoe te handelen bij datalekken;
• de melding sluiten. Wanneer uit uw melding blijkt dat u de meldplicht goed heeft nageleefd en voldoende maatregelen zijn genomen om nieuwe inbreuken te voorkomen.

Onderzoek AP

Uw datalekmelding kan, eventueel in combinatie met andere meldingen, ook aanleiding zijn voor de AP om een onderzoek te starten naar de naleving van de privacywetgeving.

AP-register met alle datalekken

De AP slaat uw melding op in een register met alle ontvangen meldingen over datalekken. Dit register is niet openbaar.

Nee, u kunt een datalek niet melden bij de functionaris gegevensbescherming (FG). U moet het datalek melden bij de Autoriteit Persoonsgegevens.

Wel is het zinvol om de FG te betrekken bij de afhandeling van het datalek. De FG kan u bijvoorbeeld adviseren bij het informeren van de betrokkenen.

De algemene regel is dat de verwerkingsverantwoordelijke een datalek moet melden. Werkt u in een samenwerkingsverband? Dan kan er sprake zijn van gezamenlijke verantwoordelijkheid. U spreekt dan onderling af wie het datalek meldt aan de Autoriteit Persoonsgegevens (AP) en aan de betrokkenen.

Afspraken meldplicht datalekken

Bij het maken van afspraken over het melden van datalekken kunt u aansluiten bij de bestaande afspraken die u, los van de meldplicht datalekken, heeft gemaakt over de naleving van de Algemene verordening gegevensbescherming (AVG).

Welke samenwerkingspartner zorgt er bijvoorbeeld voor dat betrokkenen hun rechten kunnen uitoefenen, zoals het recht op inzage en rectificatie?

Ook is het van belang dat u bekijkt hoe de gezamenlijke gegevenshuishouding eruitziet. Waar kunnen eventueel datalekken optreden, welke samenwerkingspartners moeten dat weten en hoe zorgt u dat ze tijdig op de hoogte worden gesteld? Maak ook hier afspraken over.

Maakt u als verwerkingsverantwoordelijke gebruik van een dienst van een andere organisatie? En is die organisatie een verwerker? Dan moet u de melding doen als er een datalek is. Tenzij u expliciet afspraken maakt met de verwerker - bijvoorbeeld in de verwerkersovereenkomst - dat die namens u datalekken meldt aan de Autoriteit Persoonsgegevens (AP).

Let op: onder de Algemene verordening gegevensbescherming (AVG) is de verwerker verplicht om de verwerkingsverantwoordelijke zonder onredelijke vertraging te informeren zodra de verwerker weet heeft van een datalek.

Bent u als verwerkingsverantwoordelijke verplicht om het datalek aan de betrokkenen te melden? Dan kunt u niet afspreken dat de verwerker dit namens u doet. U moet in die gevallen altijd zelf de betrokkenen informeren.

Zie ook

• Hoe meld ik als verwerker een datalek namens een of meerdere verwerkingsverantwoordelijken?

Geeft u de Autoriteit Persoonsgegevens (AP) een tip over een mogelijk datalek? Dan beoordeelt de AP of het om een datalek gaat dat de organisatie die het datalek heeft (gehad) moet melden bij de AP.

Zo ja, dan controleert de AP of de organisatie het datalek al heeft gemeld. Zo nee, dan kan de AP contact opnemen met de organisatie.

Het is daarom belangrijk dat u zo concreet mogelijke informatie geeft als u de AP een tip geeft over een datalek.

Onderzoek

Uw tip kan, eventueel in combinatie met tips van andere personen, ook aanleiding zijn voor de AP om een onderzoek te starten naar de naleving van de privacywetgeving.

Geen informatie over melding

Let op: de AP kan u niet zeggen of een datalek bij de AP gemeld is. Deze informatie is namelijk niet openbaar.

Datalek melden

Niet ieder datalek hoeft gemeld te worden bij de AP. Dit hoeft alleen als het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokkenen.

U kunt de omvang van de inbreuk achteraf (laten) onderzoeken. Een van de meest gangbare manieren hiervoor is digitaal forensisch onderzoek.

Onderzoek niet verplicht

U bent vanuit de meldplicht datalekken niet verplicht zo'n (digitaal forensisch) onderzoek te (laten) doen. Het is aan u om te besluiten of u de omvang van de inbreuk wilt (laten) onderzoeken of niet.

Zonder onderzoek zal de onzekerheid over de omvang van de besmetting echter blijven bestaan. Dit betekent dat u niet redelijkerwijs kunt uitsluiten dat persoonsgegevens door een derde zijn ingezien, gekopieerd, gestolen of veranderd.

Andere manieren dan onderzoek

Andere manieren dan onderzoek (laten) doen zijn ook mogelijk. U kunt bijvoorbeeld functionaliteiten van de malware (laten) analyseren als achterhaald kan worden met welke malware de inbreuk is gepleegd.

Logging en controle op de logging kunnen ook helpen bij het bepalen van de omvang van de inbreuk. Dit is mogelijk als het systeem zo is ingericht dat alle manieren worden gelogd waarop gegevens benaderd kunnen worden.

U moet de betrokkenen informeren als het datalek door ransomware waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen.

Heeft u door encryptie de (mogelijk) gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk gemaakt voor onbevoegden? Dan kunt u de melding aan de betrokkenen eventueel achterwege laten.

Dit is een strenge norm, die u van geval tot geval moet toepassen op basis van de actuele stand van de techniek. Bovendien geldt deze uitzondering alleen maar als:

• de gegevens nog volledig intact zijn;
• u nog steeds de volledige controle over de gegevens heeft;
• de sleutel die voor de encryptie of voor de hashing is gebruikt bij de inbreuk geen gevaar heeft gelopen en voor onbevoegden met de beschikbare technologische middelen niet te vinden is.

Wel melden

Twijfelt u over de adequaatheid van de technische beschermingsmaatregelen die u heeft getroffen? Dan moet u het datalek melden aan de betrokkenen.

Zijn de gegevens door de ransomware niet meer toegankelijk voor u en voor de betrokkenen? En is er geen back-up voorhanden? Dan moet u dit mogelijk wél aan de betrokkenen melden.

In dat geval is namelijk sprake van verlies van persoonsgegevens. Ook als u de gegevens had geëncrypt.

Criteria melden datalek aan betrokkenen

U moet de betrokkenen informeren als het datalek door ransomware waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen.

Hiervoor moet u onder andere kijken of het datalek kan leiden tot fysieke, materiële of immateriële schade voor de betrokkenen. Zoals: discriminatie, (identiteits-)fraude, financiële schade en reputatieschade.

Meer informatie vindt u in hoofdstuk III en IV van de Guidelines meldplicht datalekken.

Belangrijke maatregelen waarmee u het risico op een datalek door malware (bijvoorbeeld door ransomware) verkleint, zijn onder meer:

• op tijd software-updates installeren;
• geen verouderde (netwerk)protocollen gebruiken;
• computernetwerken en -systemen segmenteren (scheiden).

Praktische hulp bij technische maatregelen

Meer praktische informatie over technische maatregelen vindt u in deze documenten:

• Brochure AIVD en MIVD: Bent u zich bewust van de risico's van cyberspionage?
• Factsheets op de website van het Nationaal Cyber Security Centrum (NCSC), waaronder: 10 vuistregels voor veilig internetten.

Melden bij de AP

Is uw organisatie getroffen door malware waarbij (mogelijk) persoonsgegevens getroffen zijn? Dan hoeft u alleen niet te melden als het niet waarschijnlijk is dat de besmetting leidt tot een risico voor de rechten en vrijheden van betrokkenen.

Bij dit onderzoek moet u onder andere kijken naar de kans dat de malware zich verspreidt via uw computernetwerk. Blijkt uit uw onderzoek dat er waarschijnlijk een risico is voor de rechten en vrijheden van betrokkenen? Dan moet u de besmetting met malware als datalek melden bij de AP.

Melden aan betrokkenen

Is uw organisatie getroffen door malware waarbij (mogelijk) persoonsgegevens getroffen zijn? Dan moet u onderzoeken of de inbreuk waarschijnlijk leidt tot een hoog risico voor de rechten en vrijheden van de betrokkenen.

U kunt daarvoor technisch onderzoek (laten) uitvoeren, zoals analyse van logbestanden. Blijkt uit dit onderzoek dat het niet waarschijnlijk is dat de inbreuk leidt tot een hoog risico voor de rechten en vrijheden van de betrokkenen? Dan hoeft u hen niet te informeren.