ik ben een usb stick met klantgegevens kwijt is dat een datalek

Een kwijtgeraakte USB-stick is meestal een datalek

Een USB-stick met klantgegevens die kwijt is, is in de meeste gevallen een datalek in de zin van de AVG. De definitie in artikel 4 AVG spreekt van een inbreuk op de beveiliging die leidt tot verlies van persoonsgegevens, en dat is precies wat er gebeurt als een stick met namen, adressen of andere klantgegevens niet meer terug te vinden is: de gegevens zijn niet vernietigd, maar wel buiten de macht van de onderneming geraakt. Of ze ook in verkeerde handen vallen, is daarbij niet de kern van de vraag — verlies van controle is al genoeg om onder de definitie te vallen.

Wat er daarna gebeurt, hangt af van wat er op de stick stond en hoe die was beveiligd. Een versleutelde stick met een beperkte set gegevens levert een ander beeld op dan een onbeveiligde stick met veel klantgegevens of gevoelige informatie. Dat onderscheid is relevant voor de vraag wanneer moet ik een datalek melden bij de Autoriteit Persoonsgegevens, en ook voor de vraag of de klanten zelf iets moeten horen — die vraag staat beschreven op de pagina over moet ik de betrokkenen zelf informeren bij een datalek. Voor het onderscheid tussen een incident en een datalek in bredere zin is de pagina wat is een datalek precies een logisch startpunt.

Waar dit op is gebaseerd

De definitie van een inbreuk staat in artikel 4 AVG, en artikel 33 AVG regelt de melding aan de toezichthouder zodra aan de voorwaarden daarvoor wordt voldaan. De Autoriteit Persoonsgegevens werkt dit verder uit op haar pagina over datalekken melden, en de EDPB heeft richtsnoeren gepubliceerd met voorbeelden van typen datalekken, waaronder verlies van gegevensdragers. De verplichting om te melden geldt overal in de EU op grond van de verordening, maar de plek waar gemeld wordt verschilt per land: in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten de toezichthouder die daar is aangewezen.