Hoe meldt u een datalek bij de Autoriteit Persoonsgegevens

Voordat u het formulier begint

Verzamel eerst de feiten. Het formulier is geen conceptinstrument, en de Autoriteit Persoonsgegevens ziet tijdstempels op inzendingen. U heeft nodig: een samenvatting van wat er is gebeurd, wanneer de ontdekking plaatsvond, welke categorieën persoonsgegevens zijn getroffen (namen, e-mailadressen, financiële gegevens, gezondheidsgegevens enzovoort), een schatting van het aantal betrokkenen, de tot nu toe genomen maatregelen ter beperking, en een contactpersoon die vervolgvragen kan beantwoorden.

Wijs één persoon aan die de melding eigenaar is, ook al dragen meerdere collega's informatie aan. Toezichthouders hebben een voorkeur voor één aanspreekpunt.

Het online formulier invullen

Het meldingsformulier is opgedeeld in onderdelen: identificatie van de meldende organisatie, omschrijving van het lek, categorieën persoonsgegevens en betrokkenen, waarschijnlijke gevolgen, genomen maatregelen, en of de betrokkenen zijn geïnformeerd. Elk onderdeel accepteert vrije tekst. Wees feitelijk en concreet. 'Personeelsdossiers met BSN, salaris en bankgegevens van circa 180 medewerkers' is beter dan 'HR-gegevens'.

Als het lek bijzondere categorieën gegevens betreft (gezondheid, etnische afkomst, religie, seksuele geaardheid, strafrechtelijke gegevens), vermeld dat expliciet, want de Autoriteit Persoonsgegevens geeft deze meldingen voorrang en de drempel om betrokkenen te informeren ligt lager.

Wat gebeurt er na de melding

De Autoriteit Persoonsgegevens stuurt een ontvangstbevestiging met een referentienummer. Bewaar dit nummer bij de incidentdocumentatie. In de meeste gevallen beoordeelt de toezichthouder de melding zonder een onderzoek te openen, zeker wanneer de omvang beperkt is en de response aantoonbaar vakkundig is.

Bij grotere lekken of bijzondere categorieën gegevens kunt u binnen twee tot vier weken vervolgvragen verwachten. De toezichthouder kan kopieën opvragen van het incident response-plan, het interne incidentregister, bewijs van melding aan betrokkenen, en technisch forensisch onderzoek. Antwoord feitelijk en snel. Informatie tegenhouden is het duidelijkste signaal dat een regulatoire beoordeling doet opschalen naar een formeel onderzoek.

Betrokkenen informeren

Als het lek een hoog risico oplevert voor de betrokkenen, informeer hen dan rechtstreeks in helder Nederlands (of hun taal). Het bericht behandelt: de aard van het lek, het contactpunt voor vragen, de waarschijnlijke gevolgen, en de genomen maatregelen. Vermijd juridisch jargon. De Autoriteit Persoonsgegevens heeft organisaties beboet waarvan de berichten zo ingedekt waren dat mensen niet begrepen wat er met hun gegevens was gebeurd.

E-mail, brief of in-productberichten zijn acceptabele kanalen. Bij zeer grote lekken volstaat een openbare mededeling op de bedrijfswebsite, met een persbericht, wanneer individuele berichtgeving onevenredig is.

Wanneer u externe ondersteuning nodig hebt

Als het lek complex is, als het forensische beeld onduidelijk is, of als de organisatie geen aangewezen FG en incident response-capaciteit heeft, versnelt externe ondersteuning de tijdlijn. SecDesk levert [Incident response](/nl/phishing-aanval) met senior responders die de technische beperking, het forensisch onderzoek, en de melding parallel regelen. Het 72-uursvenster is krap maar haalbaar met de juiste ondersteuning, en de kwaliteit van de melding zelf is een belangrijke factor voor de vraag of de Autoriteit Persoonsgegevens een dieper onderzoek opent.