Datalekken: voorbereiden, beperken en de meldplicht beoordelen
Leg vast wie bij een mogelijk datalek handelt, welke gegevens betrokken zijn en hoe besluiten worden bewaard. Technisch herstel en privacybeoordeling lopen naast elkaar.
Door Elev8Studio · Bijgewerkt op
Ken de gegevens en de verantwoordelijken
Maak een overzicht van systemen met persoonsgegevens, toegangsrollen, leveranciers en contactpersonen. Verzamel alleen informatie die nodig is om te bepalen wat is geraakt. Wijs vooraf iemand aan die de privacybeoordeling coördineert en iemand die technische maatregelen laat uitvoeren.
Wat de AVG over melden zegt
Een verwerkingsverantwoordelijke meldt een persoonsgegevensinbreuk zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname aan de toezichthouder, tenzij risico voor rechten en vrijheden onwaarschijnlijk is. Bij waarschijnlijk hoog risico kan ook informeren van betrokkenen nodig zijn. Artikelen 33 en 34 bevatten voorwaarden en uitzonderingen. Laat de concrete beoordeling tijdig door een deskundige uitvoeren; wacht niet op volledig technisch herstel.
Bewaar een bruikbaar incidentlog
| Onderwerp | Voorbeeld van relevante informatie |
|---|---|
| Tijdlijn | Wanneer ontdekt, welke acties en door wie |
| Gegevens | Categorieën, mogelijke ontvangers en omvang voor zover bekend |
| Beperking | Ingetrokken toegang of afgeschermd onderdeel |
| Beoordeling | Risico, meldbesluit en onderbouwing |
| Vervolg | Open vragen, eigenaar en termijn |
Bereid herstel en contact voor
Test back-ups en de bereikbaarheid van de betrokken leveranciers. Bewaar bewijsmateriaal voordat gegevens worden overschreven. Dit artikel is een praktisch startpunt voor voorbereiding; het is geen volledige AVG-toets of incidentbeoordeling. Beveiligingsmaatregelen en organisatorische afspraken moeten passen bij de concrete verwerking.
Bronnen en verdere uitleg
De bronnen geven achtergrond bij de genoemde functies en gegevens. De keuzehulpen en voorbeelden zijn bedoeld om je eigen situatie te beoordelen.
Veelgestelde vragen
Moet ieder technisch incident naar de AP?
Niet ieder incident is een persoonsgegevensinbreuk en niet iedere inbreuk is meldplichtig. Beoordeel en documenteer de situatie tijdig.
Mag ik wachten tot alle details bekend zijn?
Wacht niet met de beoordeling. De AVG voorziet onder voorwaarden in het gefaseerd aanvullen van informatie.
Heb ik altijd een functionaris gegevensbescherming nodig?
Dat hangt af van de wettelijke criteria en verwerkingen. Alleen het aantal medewerkers bepaalt dit niet; laat de verplichting afzonderlijk toetsen.