Wat is een protocol meldplicht datalekken?
Een protocol meldplicht datalekken is een document dat jouw organisatie helpt bij het omgaan met datalekken. Dergelijk protocol is essentieel volgens de Algemene Verordening Gegevensbescherming (AVG) en de nationale Wet Bescherming Persoonsgegevens. In dit protocol staat beschreven wat de procedure is bij een datalek en wie verantwoordelijk is voor het melden van een datalek. Het opstellen van zo'n protocol biedt niet alleen juridische bescherming, maar helpt ook om snel en efficiënt te reageren in gevallen van datalekken.
Je moet een datalek binnen de 72 uur melden bij de Autoriteit Persoonsgegevens (AP) als er sprake is van een risico voor de rechten en vrijheden van de betrokkenen. Daarnaast is het mogelijk dat je de betrokkenen zelf moet informeren, vooral als het gaat om bijzondere persoonsgegevens.
Een goed protocol bevat doorgaans de volgende zaken:
- definitie van een datalek: Wat valt er precies onder een datalek?
- meldprocedure: Hoe meld je een datalek aan de juiste instanties?
- verantwoordelijkheden: Wie binnen jouw organisatie is verantwoordelijk voor de meldingen?
Het document zorgt ervoor dat alle medewerkers weten wat ze moeten doen zodra er een datalek plaatsvindt. Hierdoor kan de schade beperkt blijven en voldoet jouw organisatie aan de AVG en andere relevante wetgeving.
Wanneer je een datalek meldt, moet je:
- de aard van het incident beschrijven.
- de getroffen persoonsgegevens specificeren.
- maatregelen aangeven die zijn of zullen worden genomen.
Het is ook verplicht om betrokkenen te informeren over het datalek, indien hieraan aanzienlijke risico’s verbonden zijn. Zorg ervoor dat je altijd een bijgewerkt datalekregister bijhoudt, zodat je een overzicht hebt van alle incidenten en hoe deze zijn afgehandeld. Dit is onder de AVG een verplichting voor iedere verwerkingsverantwoordelijke.
Zorg er ook voor dat er een bewerkersovereenkomst is met derde partijen die jouw gegevens verwerken.
Wanneer heb je een protocol meldplicht datalekken nodig?
Een protocol meldplicht datalekken is noodzakelijk wanneer er sprake is van een beveiligingsincident waarbij persoonsgegevens per ongeluk of onrechtmatig zijn verwerkt.
Voorbeelden van een datalek zijn:
- hacken: Wanneer een hacker toegang krijgt tot jouw systemen en gegevens steelt.
- diefstal: Een laptop of USB-stick met persoonsgegevens wordt gestolen.
- verlies: Verlies van documenten of apparaten waarop persoonsgegevens staan.
- fouten: Een e-mail met gevoelige informatie wordt naar de verkeerde persoon gestuurd.
De Autoriteit Persoonsgegevens (AP) eist dat je een datalek binnen 72 uur meldt. Als je deze termijn niet haalt, riskeer je een hoge boete.
In sommige situaties, zoals bij een telecombedrijf, geldt ook de Telecommunicatiewet, die specifiekere regels voor datalekken kan bevatten. Een duidelijke meldprocedure is van belang om te voldoen aan de eisen van de European Data Protection Board en de AP.
Hoe stel je een protocol meldplicht datalekken op?
Het kan een hele uitdaging lijken om een protocol meldplicht datalekken op te stellen, maar door het volgen van enkele duidelijke stappen kan je jouw organisatie goed voorbereiden.
Hieronder vind je deze stappen.
1. Begrijp de wettelijke vereisten
Zorg ervoor dat je de specifieke vereisten van de AVG en UAVG kent. Dit helpt je om een document op te stellen dat voldoet aan alle wettelijke verplichtingen.
2. Benoem verantwoordelijken
Stel duidelijk vast wie verantwoordelijk is voor de verschillende taken binnen het protocol. Dit omvat het identificeren van wie datalekken meldt, wie onderzoek doet en wie communiceert met de Autoriteit Persoonsgegevens.
3. Beschrijf de detectie- en meldingsprocedure
Beschrijf hoe jouw organisatie een datalek detecteert. Benoem de tools, zoals hashing en encryptie, die gebruikt worden om gegevens te beschermen. Geef ook aan binnen hoeveel uur een lek moet worden gemeld.
4. Preventieve maatregelen
Leg uit welke preventieve maatregelen genomen worden om datalekken te voorkomen. Dit kan versleuteling, sterke authenticatiemiddelen en regelmatige beveiligingsreviews omvatten.
5. Acties bij een datalek
Beschrijf de directe acties bij een datalek. Dit omvat het onderzoeken van het datalek, het bepalen van de impact en het nemen van gepaste maatregelen om verdere schade te voorkomen.
6. Communicatie met betrokkenen
Stel een duidelijk stappenplan op voor hoe en wanneer je de betrokkenen informeert over een datalek. Transparantie is hier cruciaal. Zorg ervoor dat de communicatie duidelijk en behulpzaam is.
7. Datalekregister
Houd een datalekregister bij waarin je alle incidenten registreert, inclusief details over de getroffen gegevens en de genomen maatregelen. Dit register helpt bij de evaluatie en verbetering van jouw procedures.
8. Onderhoud en updates
Bespreek hoe het protocol regelmatig wordt geëvalueerd en bijgewerkt. Zorg ervoor dat wijzigingen in de wetgeving of in de organisatie worden opgenomen in het protocol.
