Vestiging Amsterdam

  • Jollemanhof 12
  • 1019 GW Amsterdam
Telefoon
020 663 1941
E-mail
info@ictrecht.nl
KvK
34216164
btw
NL8223.30.040.B01

Factsheets / Het registreren van datalekken

Heeft u al een datalek gehad? Sinds januari 2016 is het verplicht datalekken te melden, als het een relatief groot datalek was. Maar vanaf 25 mei 2018 moet u ook intern documenteren welke datalekken er zijn geweest, ook als het gaat om kleine kwesties.

Die dag trad namelijk de Algemene Verordening Gegevensbescherming (AVG / GDPR) in werking, met strenge nieuwe eisen over beveiliging, datalekken, hacks en aansprakelijkheid. Zorg er voor dat u ook deze registratie op orde heeft!

> DOWNLOAD FACTSHEET ‘HET REGISTREREN VAN DATALEKKEN’

> BEKIJK ONZE PRIVACYTRAININGEN

Wanneer moet er geregistreerd worden?

Een datalek is iedere inbreuk op de beveiliging waarbij persoonsgegevens verloren zijn gegaan, of ongeoorloofd zijn gewijzigd, verstrekt of ingezien. Bijvoorbeeld bij diefstal van een laptop met daarop een klantenbestand, een hack waarbij persoons-gegevens zijn buitgemaakt, of het verzenden van gegevens naar een foutief e-mailadres.

Welke informatie moet er geregistreerd worden?

U moet de volgende informatie bijhouden van ieder datalek:

  • een korte omschrijving van het lek;
  • wanneer het plaatsvond;
  • wat er met de gegevens is gebeurd (zijn ze verloren gegaan, of door een onbevoegde ingezien, gekopieerd of gewijzigd?);
  • van welke groep(en) personen er gegevens gelekt zijn, en om hoeveel personen het gaat;
  • om welke soorten gegevens het gaat.

Daarnaast moet worden geregistreerd:

  • de (mogelijke) gevolgen van de inbreuk (bijvoorbeeld een risico op identiteitsfraude of reputatieschade);
  • de maatregelen die zijn genomen naar aanleiding van het lek. Welke actie is ondernomen om schade te voorkomen of zo veel mogelijk te beperken (bijvoorbeeld het op afstand wissen van gegevens, of het wijzigen van wachtwoorden)? Maar ook: wat heeft u gedaan om te zorgen dat het niet nog een keer kan gebeuren?

Het doel van het registreren is dat ervan kan worden geleerd, om datalekken in de toekomst zo veel mogelijk te voorkomen. Een ander doel is dat daarmee aan de Autoriteit Persoonsgegevens kan worden aangetoond dat datalekken daadwerkelijk worden gemonitord en opgevolgd.

Moet ik elke inbreuk die ik registreer, ook melden?

Nee, dat hoeft niet altijd. Een inbreuk in verband met persoonsgegevens moet worden gemeld aan de toezichthouder, tenzij het lek geen risico oplevert op negatieve gevolgen als identiteitsfraude of reputatieschade.

In bepaalde gevallen moet u degenen over wie de gegevens gaan (de betrokkenen) op de hoogte stellen.

Wilt u weten of u een bepaald datalek moet melden aan de toezichthouder of betrokkenen? Of wilt u meer weten over andere aspecten van privacywetgeving en hoe u hieraan kunt voldoen?

Neem dan contact op met de privacyjuristen van ICTRecht, Lisette Meij, Peter Kager of Mathieu Paapst via l.meij@ictrecht.nl , p.kager@ictrecht.nl of m.paapst@ictrecht.nl.

Zelf datalekken registreren?

PrivacyBlox.nl biedt een tool waarmee dit gemakkelijk mogelijk is.

Andere factsheets

  • Geef hier die domeinnaam!

    Wie op internet actief wil zijn, heeft een goede domeinnaam nodig. Aan deze naam worden de website en e-mailadressen van het bedrijf gekoppeld. Wie een bekende handels- of merknaam heeft, registreert die natuurlijk als domeinnaam.

  • Social Media

    Social media op de werkvloer zijn niet meer weg te denken. Er wordt veelvuldig gebruikgemaakt van LinkedIn, Twitter en Facebook. Dit kan positief bijdragen aan uw onderneming, denk aan het opbouwen van naamsbekendheid of het werven van nieuwe werknemers. Anderzijds kan een negatieve post op Facebook de goede naam van uw onderneming besmeuren. In deze factsheet leest u hoe u als werkgever het social mediagebruik van uw werknemers in goede banen kunt leiden.