Een datalek is een incident waarbij persoonsgegevens in gevaar zijn gekomen omdat ze:
1. Toegankelijk (kunnen) zijn voor een onbevoegde persoon
2. Door een onbevoegde persoon zijn aangepast
3. Zijn vernietigd of de controle verloren is gegaan zonder back-up
De meldplicht datalekken houdt in dat uw organisatie datalekken met risico’s moet melden aan de Autoriteit Persoonsgegevens en soms ook aan de personen om wiens persoonsgegevens het gaat.
Nee. Niet alle datalekken hoeven te worden gemeld:
Datalekken die geen risico met zich meebrengen hoeven niet te worden gemeld aan de Autoriteit Persoonsgegevens.
Alleen datalekken die een hoog risico met zich meebrengen moeten ook worden gemeld aan de betrokken personen.
Alle datalekken, dus ook die niet zijn gemeld, moeten worden vastgelegd in een datalekken register.
DRAAIBOEK DATALEKKEN
Wanneer de verantwoordelijke niet (op tijd) een datalek meldt dat had moeten worden gemeld, kan de Autoriteit Persoonsgegevens een boete opleggen. Dit kan oplopen tot € 10.000.0000 of 2% van de wereldwijde omzet.
Inventariseer voor welke persoonsgegevens uw organisatie verantwoordelijke is. Als u verwerker bent, inventariseer ook voor welke uw organisatie verwerker is.
Zorg voor een procedure om te zorgen dat datalekken bij u worden gemeld, en dat u - met behulp van het Draaiboek Datalekken - kunt vaststellen of het datalek moet worden gemeld.
Informeer de medewerkers in de organisatie over wat datalekken zijn en dat ze die aan u moeten melden.
Documenteer alle datalekken.
Heeft u vragen over dit onderwerp of over het Draaiboek Datalekken?
Neem contact met ons op.