Wat is een datalek precies?

Een datalek is een beveiligingsincident met persoonsgegevens

Een datalek is elke gebeurtenis waarbij persoonsgegevens verloren gaan, ongeoorloofd toegankelijk worden, of per ongeluk worden gewijzigd of vernietigd. Dat is breder dan de term in de volksmond suggereert: niet alleen een hack of een gestolen laptop valt hieronder, maar ook een e-mail met bijlage die naar de verkeerde ontvanger gaat, een tas met papieren dossiers die in de trein blijft liggen, of een systeem dat na een storing niet meer bij de juiste gegevens kan. De Autoriteit Persoonsgegevens onderscheidt daarbij drie soorten inbreuken: op de vertrouwelijkheid (onbevoegden zien of krijgen de gegevens), op de beschikbaarheid (de gegevens zijn tijdelijk of blijvend niet meer te raadplegen) en op de integriteit (de gegevens zijn ongewenst gewijzigd of aangetast).

Bepalend is steeds of er persoonsgegevens in het spel zijn — gegevens die herleidbaar zijn tot een identificeerbare persoon, zoals namen, e-mailadressen, klantnummers of medische gegevens. Een storing waarbij alleen bedrijfsinformatie zonder persoonsgegevens verloren gaat, valt buiten deze definitie. Ook is niet vereist dat er kwade opzet in het spel is: een technische fout, een menselijke vergissing of een verkeerd ingestelde toegangsinstelling kan evengoed een datalek opleveren als een gerichte aanval.

Waar dat in de AVG staat: artikel 4, onder 12

De definitie van een datalek — in de wettekst "inbreuk op de beveiliging van persoonsgegevens" genoemd — staat in artikel 4, onder 12, van de AVG. Daar wordt het omschreven als een inbreuk die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging, of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. De toelichting van de Autoriteit Persoonsgegevens op deze definitie, met de indeling in vertrouwelijkheid, beschikbaarheid en integriteit, is te vinden op de pagina over datalekken melden van de Autoriteit Persoonsgegevens.