Op 1 januari 2016 gaat de meldplicht datalekken in. Deze meldplicht houdt in dat organisaties (zowel bedrijven als overheden) onverwijld een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een ernstig datalek hebben. En in een aantal gevallen moeten zij het datalek ook melden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt).
Organisaties die een datalek willen melden bij de Autoriteit Persoonsgegevens kunnen dat doen via het meldloket datalekken. De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de Wet bescherming persoonsgegevens (Wbp). De autoriteit onderzoekt het gebruik van persoonsgegevens binnen bedrijven en overheidsorganisaties. Zij legt boetes op bij overtredingen van de Wbp.
Beschrijving datalek
Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens (van cliënt of medewerker) bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens.
Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon moeten als persoonsgegevens worden beschouwd. Persoonsgegevens omvatten niet alleen de informatie over een bepaalde persoon in geschreven tekst, maar ook in beeld en geluid. Het verwerken is een ruim begrip en bevat in ieder geval de volgende handelingen: het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van persoonsgegevens.
We spreken van een datalek als er een inbreuk is op de beveiliging van persoonsgegevens (zoals bedoeld in artikel 13 van de Wet bescherming persoonsgegevens). Bij een datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking - dus aan datgene waartegen de beveiligingsmaatregelen bescherming moeten bieden.
In het geval van een datalek (ook als dat niet op de juiste manier gemeld wordt maar op een andere manier bij Autoriteit Persoonsgegevens bekend wordt) kan een boete opgelegd worden. Het is van het grootste belang om een lek onmiddellijk na constatering te melden!
Voorbeelden datalekken
Voorbeelden van datalekken zijn: een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand door een hacker, een klant ziet in een klantportaal de gegevens van iemand anders, een poststuk met persoonsgegevens komt niet aan bij de ontvanger of komt geopend terug, een e-mail met persoonsgegevens komt bij de verkeerde ontvanger terecht.
Wat betekent de meldplicht datalekken voor Natuurpraktijk Jacqueline Spoelstra?
Treedt er een informatiebeveiligingsincident op waarbij er kans is op verlies of onrechtmatige verwerking van persoonsgegevens dan kan Natuurpraktijk Jacqueline Spoelstra verplicht zijn een melding te doen bij de Autoriteit Persoonsgegevens. Dit hangt af van de ernst van het datalek. In bepaalde gevallen moeten ook de betrokkenen (personen van wie u gegevens worden verwerkt) worden geïnformeerd. Ook hierbij hangt het van de ernst van het datalek af of Natuurpraktijk Jacqueline Spoelstra dit wel of niet moet doen. Natuurpraktijk Jacqueline Spoelstra hoeft de betrokkenen (de personen van wie Natuurpraktijk Jacqueline Spoelstra gegevens verwerkt) alleen te informeren als een datalek waarschijnlijk ongunstige gevolgen heeft voor hun persoonlijke levenssfeer.
Wanneer is het melden van een datalek niet nodig?
Natuurpraktijk Jacqueline Spoelstra mag de melding aan de betrokkenen eventueel achterwege laten als Natuurpraktijk Jacqueline Spoelstra passende technische beschermingsmaatregelen heeft getroffen, waardoor de gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk (bijvoorbeeld d.m.v. encryptie) zijn voor onbevoegden.
Werkwijze Natuurpraktijk Jacqueline Spoelstra bij constatering van een informatiebeveiligingsincident / datalek
Indien Natuurpraktijk Jacqueline Spoelstra het vermoeden heeft dat zich een datalek heeft voorgedaan, neemt Natuurpraktijk Jacqueline Spoelstra passende maatregelen om dit te stoppen. Daarna verzamelt Natuurpraktijk Jacqueline Spoelstra zoveel mogelijk relevante informatie over het “mogelijke” datalek en noteert hierbij alle genomen maatregelen. Hierbij wordt er een dossier opgesteld die een bewaarplicht van minimaal 1 jaar heeft.
Wanneer Natuurpraktijk Jacqueline Spoelstra een signaal over een datalek van een externe partij ontvangt zal er een onderzoek gestart worden.
Aan de hand van dit schema stelt Natuurpraktijk Jacqueline Spoelstra vast of er sprake is van een datalek en welke maatregelen genomen moeten worden. Zie voor meer informatie www.autoriteitpersoonsgegevens.nl.