mijn laptop met klantgegevens is gestolen wat moet ik nu doen

Een gestolen laptop met klantgegevens is meestal een datalek

Een gestolen zakelijke laptop met klantgegevens telt in de meeste gevallen als een inbreuk op de beveiliging van persoonsgegevens, zoals artikel 4 van de AVG die definieert. Er gaan gegevens buiten de macht van de organisatie, en dat is precies waar die definitie op ziet — het maakt daarbij niet uit of de laptop is gestolen uit een auto, een tas of een kantoor. Wat er precies op die laptop stond, en of die informatie versleuteld of anderszins beschermd was, bepaalt mee hoe zwaar dit weegt, maar de diefstal zelf is het startpunt van de beoordeling. Een uitgebreidere uitleg van wat wel en niet onder die definitie valt staat in de kennisbank-pagina over wat een datalek precies is.

Vanaf het moment van ontdekken lopen er twee dingen tegelijk: het uitzoeken van de feiten (welke gegevens, van wie, hoeveel personen, en of er encryptie op stond) en de vraag of dit gemeld moet worden — aan de toezichthouder en mogelijk aan de betrokkenen zelf. Beide vragen hangen af van het risico dat de gestolen gegevens voor mensen opleveren, en dat risico is precies waarom een lege of goed versleutelde laptop anders wordt beoordeeld dan een laptop vol onversleutelde klantbestanden. Hoe die afweging voor de melding aan de toezichthouder werkt, staat uitgewerkt op de pagina over wanneer een datalek gemeld moet worden bij de Autoriteit Persoonsgegevens, en de vraag of de betrokkenen zelf ook een bericht moeten krijgen op de pagina over betrokkenen informeren bij een datalek.

Waar dit op is gebaseerd: artikel 4, artikel 32 en artikel 33 AVG

De definitie van een inbreuk staat in artikel 4 van de AVG, de verplichting om gegevens passend te beveiligen — waaronder het risico van verlies van apparatuur — in artikel 32, en de meldplicht aan de toezichthouder in artikel 33. Die drie artikelen gelden rechtstreeks in de hele EU, dus de beoordeling of een gestolen laptop een meldenswaardig datalek is, verloopt overal volgens dezelfde regels. Wat wel per land verschilt, is de toezichthouder waar een melding terechtkomt: in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten de nationale toezichthouder van dat land. De EDPB-richtsnoeren geven aanvullende uitleg over hoe deze artikelen in de praktijk worden toegepast, en de Autoriteit Persoonsgegevens biedt op haar eigen pagina over datalekken een Nederlandse toelichting op dezelfde regels.