mijn zakelijke mailbox is gehackt moet ik dat melden

Een gehackte mailbox is meestal een datalek, melden hangt van de gevolgen af

Een gehackte zakelijke mailbox is in de meeste gevallen een inbreuk in de zin van de AVG: er is sprake van onbevoegde toegang tot persoonsgegevens, en die toegang ontstaat vrijwel altijd zodra iemand van buiten inlogt op een account met klant- of contactgegevens erin. Daarmee staat vast dát er iets is gebeurd wat onder de definitie van wat is een datalek precies? valt. Dat is echter niet automatisch hetzelfde als een meldplicht bij de toezichthouder.

Of melding aan de toezichthouder aan de orde is, hangt af van het risico dat de inbreuk meebrengt voor de mensen wier gegevens in die mailbox stonden — denk aan facturen met adresgegevens, offertes met BSN's, of correspondentie met gevoelige inhoud. Een mailbox met alleen zakelijke contactgegevens van collega-bedrijven brengt een ander risico met zich dan een mailbox vol klantdossiers of medische correspondentie. Die afweging, en de stappen die daarbij horen, staan uitgewerkt op de pagina over wanneer moet ik een datalek melden bij de Autoriteit Persoonsgegevens?. Los van de melding aan de toezichthouder speelt ook de vraag of de betrokkenen zelf iets moeten horen, wat een apart afwegingskader heeft.

Grond in de AVG: de definitie van inbreuk en de meldplicht

De basis ligt in artikel 4 van de AVG, dat een inbreuk op de beveiliging van persoonsgegevens definieert als toegang tot, of verlies, wijziging of vernietiging van gegevens die niet had mogen gebeuren — een omschrijving waar een gehackte mailbox doorgaans onder valt. Artikel 33 van de AVG koppelt daaraan de voorwaarde voor melding aan de toezichthouder: die meldplicht geldt wanneer de inbreuk een risico oplevert voor de rechten en vrijheden van de betrokkenen, met een uitzondering als dat risico aannemelijk afwezig is. De richtsnoeren van de EDPB werken dit risicobegrip verder uit, en de Autoriteit Persoonsgegevens biedt op haar pagina over datalekken een praktische leidraad voor die afweging. Wat overal in de EU gelijk is: de definitie en de risicotoets uit de verordening. Wat per land verschilt, is de toezichthouder waar de melding terechtkomt — in Nederland de Autoriteit Persoonsgegevens, in andere lidstaten de toezichthouder van dat land.