Moeten betrokkenen ook worden geïnformeerd?

Als een datalek waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, verplicht artikel 34 AVG u om deze personen zonder onnodige vertraging rechtstreeks te informeren, naast de melding bij de Autoriteit Persoonsgegevens. Voorbeelden van hoog risico zijn blootgestelde financiële gegevens, gezondheidsgegevens, of inloggegevens die identiteitsdiefstal mogelijk maken.

Wat moet er in de melding staan?

De AP verwacht de datum van het incident en de datum waarop u zich ervan bewust werd, de aard en categorieën van de betrokken persoonsgegevens, het geschatte aantal betrokkenen en records, de te verwachten gevolgen en risico's, de technische en organisatorische maatregelen die zijn genomen of voorgesteld, en de reden voor eventuele vertraging in de melding.

Heeft een klein bedrijf een formeel incident response plan nodig?

Ja. Het verantwoordingsbeginsel van de AVG geldt ongeacht de omvang van de organisatie, en de termijn van 72 uur start op het moment dat u zich bewust wordt van een datalek, niet wanneer het onderzoek is afgerond. Een gedocumenteerd plan, zelfs een eenvoudig plan waarin staat wie wat doet, maakt een termijn van 72 uur haalbaar in plaats van een wensdroom.

Datalek Melden: Wat te Doen in de Eerste 72 Uur

Q: Moet elk beveiligingsincident worden gemeld bij de Autoriteit Persoonsgegevens?

Nee. Alleen datalekken die een risico vormen voor de rechten en vrijheden van betrokkenen zijn meldplichtig. Een DDoS-aanval die een marketingwebsite twee uur offline haalt zonder dat persoonsgegevens worden blootgesteld, is geen meldplichtig datalek. Ongeautoriseerde toegang tot een klantendatabase, een verkeerd geadresseerde e-mail met persoonsgegevens, of een verloren onversleutelde laptop met werknemersgegevens zijn doorgaans wel meldplichtig. Bij twijfel adviseert de AP zelf om te melden.

Q: Wat gebeurt er als we niet binnen 72 uur melden?

Een late of ontbrekende melding is op zichzelf al een overtreding waarop de Autoriteit Persoonsgegevens kan handhaven, los van het datalek zelf, en kan bijdragen aan een boete tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Een gedeeltelijke melding binnen 72 uur, gevolgd door aanvullende details naarmate het onderzoek vordert, wordt veel gunstiger beoordeeld dan een volledige melding die te laat wordt ingediend.

Belangrijkste punten

Artikel 33 AVG geeft u 72 uur vanaf het moment dat u zich bewust wordt van een meldplichtig datalek om dit te melden bij de Autoriteit Persoonsgegevens, niet 72 uur vanaf het moment dat het datalek plaatsvond
Niet elk incident is meldplichtig. De drempel is of het datalek een risico vormt voor de rechten en vrijheden van betrokkenen
Een gedeeltelijke melding binnen 72 uur, met aanvullende details later, wordt door de AP veel gunstiger beoordeeld dan een volledige melding die te laat wordt ingediend
Een gestructureerde respons in zes fasen (voorbereiding, identificatie, indamming, uitroeiing, herstel, evaluatie) houdt u binnen de termijn en levert het bewijs op dat de AP verwacht
Maximale boetes onder de AVG bedragen 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is, en een late melding is op zichzelf al een overtreding, los van het onderliggende datalek

Waarom de eerste uren de uitkomst bepalen

Vroege indamming beperkt hoeveel gegevens worden blootgesteld en hoeveel systemen worden getroffen. Een ransomware-infectie die binnen een uur na detectie wordt geïsoleerd, treft doorgaans een fractie van de systemen die dezelfde infectie zou bereiken na een volledige werkdag van onopgemerkte laterale beweging. Dezelfde logica geldt voor ongeautoriseerde toegang: hoe sneller u een gecompromitteerde inlogcode intrekt, hoe kleiner het venster waarin deze misbruikt had kunnen worden.

Een gedocumenteerde, tijdgestempelde respons doet ook iets waar artikel 33 AVG expliciet naar vraagt: het toont aan dat u passende technische en organisatorische maatregelen had getroffen. De beoordeling van elk datalek door de Autoriteit Persoonsgegevens weegt uw houding en uw respons mee, niet alleen het feit dat er een datalek heeft plaatsgevonden.

72u

om de Autoriteit Persoonsgegevens te melden vanaf het moment dat u zich bewust wordt van een meldplichtig datalek

€20M

maximale boete, of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is

respijt voor organisaties die "nog aan het onderzoeken waren"

Wat een meldplichtig incident is

Artikel 33 AVG legt de drempel bij risico voor de rechten en vrijheden van betrokkenen, niet bij het bestaan van een beveiligingsincident. Een DDoS-aanval die uw publieke website twee uur offline haalt zonder dat persoonsgegevens worden blootgesteld, is een beveiligingsincident maar geen meldplichtig datalek. Ongeautoriseerde toegang tot een klantendatabase, een spreadsheet met sollicitatiegegevens die naar de verkeerde ontvanger wordt gemaild, of een onversleutelde laptop met werknemersgegevens die in de trein wordt vergeten, zijn doorgaans wel meldplichtig.

Beoordeel het risico aan de hand van een klein aantal criteria: hoe gevoelig zijn de betrokken gegevens (financiële gegevens en gezondheidsgegevens brengen meer risico met zich mee dan alleen een naam en e-mailadres), hoeveel betrokkenen en records zijn getroffen, waarvoor kunnen de gegevens worden gebruikt bij misbruik (identiteitsdiefstal en financiële fraude vormen een hoger risico dan ongewenste reclame), en is de blootstelling omkeerbaar (een wachtwoord kan worden gereset; een gelekte paspoortscan niet).

Vuistregel

Als u echt niet zeker weet of een datalek de meldplichtdrempel haalt, is het advies van de Autoriteit Persoonsgegevens zelf om te melden. Een gedeeltelijke melding binnen 72 uur, met een notitie dat het onderzoek nog loopt en volledige details volgen, wordt veel gunstiger beoordeeld dan een volledige melding die na de termijn wordt ingediend.

De zes fasen van incident response

1. Voorbereiding

Voorbereiding gebeurt vóór een incident, niet tijdens. Dit betekent een gedocumenteerd responsplan, een aangewezen team met duidelijke rollen, en draaiboeken voor uw meest waarschijnlijke scenario's. Stel duidelijke escalatiecriteria op voor wanneer de FG, juridisch adviseur en directie betrokken moeten worden. Zie onze incident response diensten voor hoe wij organisaties hierbij vooraf helpen.

2. Identificatie

Bevestig de omvang van wat er is gebeurd voordat u handelt op basis van aannames. Bewaar logbestanden en ander bewijs voordat u begint met indamming, aangezien indammingsacties zelf (een systeem isoleren, inloggegevens resetten) het bewijs kunnen overschrijven dat u nodig heeft voor zowel uw melding bij de AP als een eventueel vervolgonderzoek.

3. Indamming

Isoleer getroffen systemen om verdere verspreiding van het incident te stoppen. Registreer elke actie van uw team vanaf dit moment met tijdstempel. Indamming is niet hetzelfde als herstel: het doel hier is de bloeding te stoppen, niet de normale bedrijfsvoering te herstellen.

4. Uitroeiing

Verwijder de oorzaak voordat u iets herstelt. Een systeem terugzetten naar productie voordat de kwetsbaarheid of kwaadaardige aanwezigheid die het incident veroorzaakte is geëlimineerd, is een van de meest voorkomende oorzaken van herinfectie.

5. Herstel

Herstel vanaf back-ups die geverifieerd schoon zijn, niet simpelweg de meest recente beschikbare back-up. Monitor herstelde systemen nauwlettend op tekenen van reactivering voordat u het incident als afgesloten beschouwt.

6. Evaluatie na afloop

Documenteer wat er is gebeurd, wat werkte en wat niet. Dit overzicht voedt rechtstreeks het verantwoordingsbewijs dat de AVG van u verwacht en moet uw responsplan en draaiboeken bijwerken voor de volgende keer.

Een systeem herstellen voordat het incident is ingedamd, is de duurste fout in incident response. Het bespaart een paar uur uitvaltijd en kan weken aan herinfectie kosten, plus een veel lastiger gesprek met de Autoriteit Persoonsgegevens.

Wat u moet opnemen in de melding aan de AP

Datum en bewustwording

De datum waarop het incident plaatsvond, en apart daarvan, de datum waarop u zich hiervan bewust werd. Deze verschillen vaak en beide zijn relevant voor de beoordeling door de AP.

Aard van de gegevens

De categorieën betrokken persoonsgegevens: namen en contactgegevens, financiële informatie, gezondheidsgegevens of bijzondere persoonsgegevens dragen elk een ander risicogewicht.

Omvang

Een schatting van het aantal betrokkenen en het aantal getroffen records, ook als dit een voorlopig cijfer is in afwachting van volledig onderzoek.

Te verwachten gevolgen

De realistische risico's voor betrokkenen: identiteitsdiefstal, financieel verlies, leed, of reputatieschade, gebaseerd op waarvoor de blootgestelde gegevens gebruikt kunnen worden.

Genomen maatregelen

De technische en organisatorische stappen die al zijn genomen of worden voorgesteld om het datalek aan te pakken en de gevolgen te beperken.

Reden voor vertraging

Als de melding na 72 uur wordt gedaan, is een toelichting op de reden voor de vertraging vereist naast de inhoudelijke melding.

Als een datalek waarschijnlijk een hoog risico voor betrokkenen oplevert, verplicht artikel 34 AVG u om deze personen zonder onnodige vertraging rechtstreeks te informeren, naast uw melding bij de Autoriteit Persoonsgegevens.

Hoe u uw plan opstelt voordat u het nodig heeft

1. Bepaal uw team en noodcontacten

Benoem specifieke personen, niet alleen functietitels, voor incidentleider, technische respons, juridisch en communicatie. Houd contactgegevens actueel en toegankelijk buiten uw primaire systemen, voor het geval juist die systemen getroffen zijn.

2. Documenteer uw meldingscriteria

Leg vast welke risicofactoren uw organisatie hanteert om te bepalen of een datalek meldplichtig is, zodat deze beslissing niet vanaf nul genomen hoeft te worden onder tijdsdruk.

3. Bouw draaiboeken voor uw belangrijkste scenario's

Ransomware, ongeautoriseerde toegang tot een database, een verloren of gestolen apparaat, en een datalek bij een derde partij of leverancier dekken het grootste deel van de incidenten waarmee de meeste organisaties te maken krijgen. Een specifiek draaiboek voor elk scenario verwijdert beslissingswrijving wanneer de tijd krap is.

4. Stel een proces voor bewijsbehoud in

Bepaal vooraf wat er wordt gelogd, hoe, en voor hoe lang, voordat een incident zich voordoet. Bewijs dat verkeerd wordt bewaard tijdens de hectiek van indamming, is bewijs dat u niet kunt gebruiken in uw melding bij de AP of een later onderzoek.

5. Test het plan jaarlijks

Een tabletop-oefening, waarbij een realistisch scenario met de daadwerkelijke betrokken personen door uw plan wordt gelopen, onthult hiaten die een documentbeoordeling nooit blootlegt.

6. Evalueer het plan na elk daadwerkelijk incident

Behandel elk daadwerkelijk incident, hoe klein ook, als een live test van het plan en werk het bij op basis van wat u leert.

Cyvra kan helpen

Wij helpen organisaties bij het opstellen van incident response plannen die stand houden onder druk, voeren tabletop-oefeningen uit, en bieden doorlopende incident response ondersteuning zodat de termijn van 72 uur nooit een verrassing is. Neem contact op om uw huidige plan te bespreken.

Vrijwaring

Dit artikel biedt algemene informatie en vormt geen juridisch advies. Of een specifiek incident meldplichtig is, hangt af van de feiten en dient te worden beoordeeld met uw Functionaris Gegevensbescherming of juridisch adviseur.

Datalek melden: wat te doen in de eerste 72 uur