Een datalek zit in een klein hoekje

Hoe moet je melden?

De wettelijk bepaalde meldplicht is niet vrijblijvend. Elke vorm van (mogelijke) lekkage van gegevens dient gemeld te worden bij de ABP. Overigens behoort een bedrijf de verwerking van persoonsgegevens sowieso te melden, dus als het goed is ben je al bekend met de ABP. Check bij twijfel nog even goed de uitgebreide uitleg op de site van de ABP, of bel even op. Zover de ABP zich nu opstelt zijn ze behulpzaam en adequaat en geven ze advies of instructies over bijvoorbeeld het informeren van partijen die potentieel worden geraakt met een gemeld lek. Tot nu toe zijn er zover bekend/gepubliceerd nog geen bestuurlijke boetes uitgedeeld, maar wellicht dat de teugels na een aanloopperiode strakker aangetrokken gaan worden. Privacy en bescherming van persoonsgegevens is immers een serieuze zaak.

Het loket waar datalekken gemeld dienen te worden is hier te vinden. Zoals te zien is op het formulier wordt er veel informatie gevraagd om te bepalen hoe ernstig de zaak is.

Een datalek zit in een klein hoekje

Duidelijk is dat de verantwoordelijkheid niet alleen in theorie maar ook in de praktijk bij de partijen wordt gelegd die gegevens verwerken en verzamelen. Toch bestaat altijd de kans dat er wat mis gaat of er door criminaliteit verlies van gegevens optreedt. Het is daarom essentieel dat elke organisatie een beleid opstelt over de omgang en bescherming van persoonsgegevens. Een geaccepteerde leidraad is de ISO 27001 en ISO 27002 normering. Beide geven handvatten voor bescherming van informatie, taakscheiding en rechtenstructureren bijvoorbeeld. De verwachting is dat komende jaren dit soort standaarden belangrijker worden.

Verantwoordelijkheden afwentelen?

Als je je data hebt ondergebracht bij een derde partij, zoals een clouddienst ontslaat dit  je niet van je eigen verantwoordelijkheid als bedrijf. Belangrijk dus om ook bij deze partij na te gaan in hoeverre deze de zaak op orde heeft. Voordeel is wel dat je wel dient te controleren of het voor elkaar is, maar dat de uitvoering bij de leverancier ligt. Overigens als een leverancier jouw data verliest, dien je uiteraard zelf melding te maken. Het formulier biedt hier ruimte voor.