Er is sprake van een datalek als iemand toegang heeft tot persoonsgegevens, terwijl dit niet mag. Dit kan expres of per ongeluk gebeuren. Bijvoorbeeld als:
U kunt ook een datalek hebben als persoonsgegevens worden verwijderd of bewerkt, terwijl dat niet de bedoeling is. U kunt bijvoorbeeld niet meer bij klantgegevens omdat deze door een cyberaanval zijn versleuteld.
Een datalek kan ook ontstaan doordat medewerkers persoonsgegevens gebruiken in generatieve AI-modellen. Volgens de AVG bent u als werkgever verantwoordelijk voor hoe uw werknemers persoonsgegevens verwerken voor het werk. Het invoeren van persoonsgegevens in een AI-tool valt ook onder verwerken. Het maakt niet uit of de tool de gegevens opslaat of niet.
U kunt het risico op een datalek door gebruik van AI tools verkleinen door het opstellen van AI-beleid. Hierin legt u bijvoorbeeld duidelijk vast:
Zorg daarnaast voor training en bewustzijn bij uw medewerkers.
Of u een datalek moet melden, hangt af van het risico dat uw slachtoffers lopen. Als er gevolgen kunnen zijn voor de personen van wie de gegevens zijn gelekt, moet u het melden. Bijvoorbeeld:
Twijfelt u of er gevolgen zijn voor de personen van wie de gegevens zijn gelekt? Dan kunt u het beste het datalek wel melden.
Check bij het AP of u het datalek wel of niet moet melden
Zodra u het datalek ontdekt, moet u het binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). Meld u het datalek niet, terwijl dit wel moest? Dan kan AP een boete geven.
Als u het datalek bij AP moet melden, moet u ook de betrokkenen laten weten wat er met hun persoonsgegevens is gebeurd. Zodat zij zo snel mogelijk zichzelf kunnen beschermen. Bijvoorbeeld door:
Lees u hoe u betrokkenen informeert over een datalek.
Soms hoeft u betrokkenen niet te informeren. Bijvoorbeeld als de persoonsgegevens versleuteld zijn en de sleutel nog veilig is. Of als er geen risico meer is voor de slachtoffers.
Check wanneer u wel of niet de slachtoffers moet informeren
U moet altijd bijhouden dat u een datalek heeft gehad. Ook als u het datalek niet hoeft te melden bij de AP en de slachtoffers. Dit staat in de Algemene Verordening Gegevensbescherming (AVG). U kunt dit doen in een datalekregister. U schrijft op:
Lees meer over bijhouden van een datalekregister
Er zijn signalen die kunnen wijzen op een datalek. Denk aan:
U kunt verschillende dingen doen om een datalek te voorkomen.
Verzamel alleen informatie die u nodig heeft en bekijk of u deze informatie echt moet opslaan. Verwijder gegevens die u niet meer nodig heeft. Verwerkt een ander bedrijf persoonsgegevens of gevoelige informatie voor uw bedrijf? Maak dan een verwerkersovereenkomst.
Check hoe u zich aan de AVG houdt
Sla gevoelige informatie bijvoorbeeld op zo min mogelijk plekken op en check goed de systemen waarmee u gegevens opslaat. Ook kunt u Data Loss Prevention (DLP) software gebruiken om informatie extra te beschermen. Met DLP-software kunt u gevoelige informatie sorteren en beheren.
Tips voor het voorkomen van een datalek
Het is belangrijk dat uw werknemers:
Houd ook bij welke medewerkers toegang hebben tot vertrouwelijke informatie en zorg dat medewerkers alleen toegang hebben tot gegevens die nodig zijn voor hun werk.
Oefen samen met uw medewerkers wat u moet doen bij een cyberincident. Er zijn verschillende oefeningen die u kunt doen. In het stappenplan Cyberoefenen, waar begin ik? van Nationaal Cyber Security Centrum (NCSC) leest u hoe u dit aanpakt.
U kunt verschillende maatregelen nemen om te voorkomen dat er een datalek ontstaat. Bijvoorbeeld wanneer apparatuur gestolen of kwijt raakt. Bekijk de adviezen van het Nationaal Cyber Security Centrum.
Hoe specialistischer, innovatiever en unieker de kennis of het product van uw bedrijf, hoe interessanter u bent voor anderen, in binnen- en buitenland. Naast het lekken van data zijn er ook andere risico’s voor uw bedrijf. Bekijk met de Weerbaarwijzer wat u kunt doen om veilig en weerbaar te ondernemen.
Mogelijk gemaakt door
