Eerst feiten veiligstellen
Bepaal wat is gebeurd, welke persoonsgegevens betrokken zijn, hoeveel personen geraakt kunnen zijn, wie toegang had en of misbruik aannemelijk is. Tegelijk moeten technische en organisatorische maatregelen verdere schade beperken.
Documenteer tijdstippen, bronnen, aannames en besluiten. Ook een niet-gemeld datalek moet in het interne datalekregister worden vastgelegd met de reden voor het besluit.
Risico voor betrokkenen beoordelen
Kijk niet alleen naar de gevoeligheid van gegevens, maar ook naar identificeerbaarheid, volume, kwetsbaarheid van betrokkenen, mogelijke gevolgen en de effectiviteit van maatregelen zoals encryptie.
Een hoog risico kan leiden tot informatie aan betrokkenen. Die communicatie moet begrijpelijk uitleggen wat is gebeurd, welke gevolgen mogelijk zijn en wat personen zelf kunnen doen.
Privacy en cybersecurity samen
Bij ransomware, accountovername of ketenincidenten lopen technisch herstel, AVG-beoordeling, contractuele meldingen en mogelijk verplichtingen onder de Cyberbeveiligingswet naast elkaar.
Vooraf afgesproken incidentregie voorkomt tegenstrijdige communicatie en gemiste termijnen. Datajuristen kan vanuit een abonnement direct opschalen met een bekende PO, FG of CISO.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Tijdstip van ontdekking vastleggen
- Soorten gegevens en betrokkenen bepalen
- Waarschijnlijke gevolgen beoordelen
- Maatregelen en restrisico documenteren
- AP, betrokkenen en andere meldplichten beoordelen
Veelgestelde vragen
Verder met uw vraag.
Is ieder beveiligingsincident een datalek?
Nee. Er moet sprake zijn van een inbreuk op de beveiliging van persoonsgegevens, bijvoorbeeld verlies, wijziging, vernietiging of onbevoegde verstrekking of toegang.
Mag een melding na 72 uur?
Als melden later gebeurt, moet de vertraging worden gemotiveerd. Wacht niet onnodig op volledige technische zekerheid.
Moet een fout geadresseerde e-mail worden gemeld?
Dat hangt af van inhoud, ontvanger, maatregelen en risico. Ook een niet-gemeld incident moet intern worden beoordeeld en gedocumenteerd.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.