Protocol meldplicht datalekken

Een van de bepalingen binnen de AVG wetgeving is de meldplicht datalekken. In beginsel richt deze meldplicht zich vooral op overheid en grote-organisatisch waarbij het gaat om data lekken met een potentieel grote impact.

Wanneer u als organisatie bij controle vaststelt, dat er “mogelijk” spraken is van een data-lek, dient u deze te kunnen categoriseren op risico-niveau, en te kunnen classificeren welke (mogelijke) impact deze data-lek kan hebben.

U bent verantwoordelijk voor de veiligheid van verwerking, bewerking en opslag van gegevens. Wanneer u in uw organisatie een data-lek vaststelt, dient er een protocol gevolgd te worden die aansluit bij het risico-niveau.

Een aantal eenvoudige vragen die u, uw organisatie dient te stellen bij een vermoedelijk data-lek.

• Waar is de mogelijke datalek ontstaan?
• Welke mogelijke gevolgen heeft deze data-lek?
• Is het mogelijk potentiële schade en verspreiding tegen te gaan?
• Hoe kan in het vervolg een datalek voorkomen worden?

De meldplicht stelt enkel de verplichting de data-lek te melden maar biedt in bredere zin, uw organisatie een protocol voor de volledige handelswijze bij een data-lek.

Het is van belang dat er in uw organisatie mensen verantwoordelijk zijn voor de controle & beveiliging van data, waarbij het protocol nageleefd wordt bij iedere vermoedelijke data-lek.

Melding data-lek

Wanneer de risico-analyse uitwijst dat de data-lek duidelijk schade tot gevolg kan hebben, dient u de data-lek te melden bij “Autoriteit Persoonsgegevens”. Wanneer er spraken is van een (vermoedelijk) strafbaar delict, dient u aangifte te doen, en in uw rapportage melding te maken van de oorzaak.

Schema melden data-lek

De melding opzichzelfstaand dient op juiste wijze in specifieke volgorde plaats te vinden. Deze volgorde en methode waarop u melding maakt van de data-lek kan verschillen per organisatie en is afhankelijk van ondermeer de architectuur van uw data-systemen, afdelingen (organisatie-structuur) en belangen van derden.

Aan een data-lek gaat altijd een beveiligingslek vooraf. Dit kan systematisch, incidenteel of structureel zijn. Simpel gezegd kan een beveiligingslek ontstaan door een persoonlijke fout of een systeem-fout (fout in de beveiliging). Het beveiligings-incident dient bij vaststelling te worden gelogd/gerapporteerd. Hierbij is het van belang dat zowel de AVG Functionaris, (indien aanwezig controller) als verantwoordelijke voor beveiliging (IT/ICT) betrokken zijn. Wanneer er daadwerkelijk sprake is van een datalek, dient het protocol verder gevolgd te worden. Wanneer de noodzakelijkheid van de melding is vastgesteld dient uw organisatie dat te doen bij autoriteit persoonsgegevens. Pas daarna ligt u betrokkenen in waarbij u ook dient aan te geven welke maatregelen uw organisatie gaat treffen.