Wat is een datalek?
Korte samenvatting
een datalek is een situatie waarin persoonsgegevens terechtkomen bij iemand die ze niet had mogen zien.
Uitleg in gewone taal
Een datalek betekent dat persoonsgegevens, zoals namen, adressen, medische gegevens of andere persoonlijke informatie, terechtkomen bij iemand die daar geen toestemming voor heeft gekregen. Het ongewenst vernietigen, verliezen, wijzigen en delen van gegevens door zo’n ongeval, per ongeluk of met opzet, valt ook onder een datalek
Er zijn drie soorten datalekken:
- Inbreuk op de vertrouwelijkheid, een onbevoegde persoon kan de persoonsgegevens bekijken of de gegevens worden openbaar gemaakt.
- Inbreuk op de integriteit, een onbevoegd persoon wijzigt de persoonsgegevens zonder toestemming of ze worden per ongeluk aangepast.
- Inbreuk op de beschikbaarheid, de desbetreffende personen kunnen niet meer bij de persoonsgegevens komen
Voorbeelden van een datalek zijn het sturen van een e-mail met persoonsgegevens naar de verkeerde persoon, een medewerker die zonder toestemming een medisch dossier bekijkt, het verliezen van een onbeveiligde USB-stick met persoonsgegevens, een cyberaanval waarbij gegevens worden gestolen of een ransomware-aanval waardoor gegevens niet meer toegankelijk zijn.
Een datalek hoeft dus helemaal geen groot IT-incident te zijn. Ook kleine fouten in het dagelijks leven kunnen een datalek veroorzaken.
Wat moet je doen als je een datalek hebt?
Wat je moet doen bij een datalek hangt af van je rol: ben je de verwerkingsverantwoordelijke of de verwerker?
Als je de verwerkingsverantwoordelijke bent, moet je het datalek altijd opnemen in het datalekkenregister. Daarna moet je beoordelen of het datalek gemeld moet worden bij de Autoriteit Persoonsgegevens (AP) en eventueel bij de personen van wie de gegevens zijn gelekt. Je hoeft dus niet ieder datalek bij de AP te melden. Dit ligt aan de mogelijke impact van het datalek op het slachtoffer. Als een melding nodig is, moet deze in principe binnen 72 uur worden gedaan.
Ben je een verwerker, dan moet je het datalek zo snel mogelijk melden aan de verwerkingsverantwoordelijke, oftewel je klant. Je hoeft als verwerker zelf geen melding bij de AP te doen. Wel moet je de verwerkingsverantwoordelijke helpen bij het afhandelen van het datalek, bijvoorbeeld door alle informatie over het datalek door te geven die nodig is om de juiste stappen te zetten.
Waarom is dit belangrijk voor uw organisatie?
Een datalek kan verschillende gevaren met zich meebrengen: Een belangrijk gevaar is identiteitsfraude, waarbij criminelen jouw gegevens kunnen gebruiken om bijvoorbeeld iets op jouw naam te regelen.
Ook kunnen de gegevens worden gebruikt voor oplichting en phishing, waarbij criminelen slachtoffers misleiden met geloofwaardige berichten of telefoontjes. In sommige gevallen kunnen gegevens over iemands adres of bezittingen zelfs worden gebruikt voor diefstal of inbraak.
Dit kan niet alleen vervelende gevolgen hebben voor de persoon van wie de gegevens zijn gelekt, maar ook voor uw organisatie. Wanneer gelekte gegevens worden misbruikt , kan dit ertoe leiden dat het vertrouwen van klanten in uw organisatie vermindert.
Voorbeeld uit de praktijk
Een medewerker van een organisatie wil een e-mail sturen naar een klant met daarin een document met persoonlijke gegevens. Per ongeluk kiest de medewerker het verkeerde e-mailadres en wordt het document naar een andere persoon gestuurd. In het document staan bijvoorbeeld de naam, het adres, telefoonnummer en andere persoonlijke gegevens van de klant.
Dit is een datalek, omdat de persoonsgegevens bij iemand terecht zijn gekomen die geen toestemming heeft om deze gegevens te bekijken. De medewerker moet het incident daarom direct melden binnen de organisatie. Vervolgens moet er bekeken worden hoe groot het risico is en welke stappen er nodig zijn. Dit voorbeeld laat zien dat een datalek niet altijd wordt veroorzaakt door een grote cyberaanval. Een simpele menselijke fout, zoals het versturen van een e-mail naar de verkeerde persoon, kan al genoeg zijn.
Wat kunt u als organisatie doen?
Als organisatie kunt u verschillende dingen doen om datalekken zoveel mogelijk te voorkomen:
- Zorgen dat persoonsgegevens goed beveiligd zijn.
- Zorgen dat u goede afspraken maakt met verwerkers die persoonsgegevens voor uw organisatie verwerken.
- Medewerkers informeren over hoe zij veilig met persoonsgegevens moeten omgaan.
- Alleen de juiste personen toegang geven tot persoonsgegevens.
- Zorgen dat er een duidelijk plan is voor wanneer er een datalek ontstaat.
Gerelateerde onderwerpen
Hulp nodig?
Wilt u weten hoe uw organisatie ervoor staat? Neem contact op voor een vrijblijvend adviesgesprek.