De fout: wachten tot alles duidelijk is
De meestgemaakte fout bij het melden van een datalek is niet het lek zelf, maar het moment waarop een organisatie besluit te melden. Veel bedrijven willen eerst precies weten wat er is gebeurd, welke gegevens het betreft en hoeveel mensen er geraakt zijn, voordat ze de Autoriteit Persoonsgegevens inlichten. Dat voelt zorgvuldig, maar de AVG vraagt iets anders: de meldtermijn van 72 uur gaat lopen zodra u zich bewust bent geworden van het datalek, niet zodra u alle feiten op een rij heeft.
Het gevolg is dat de klok al voor een groot deel is verstreken tegen de tijd dat intern iedereen het eens is over wat er precies is voorgevallen. Dat is meestal geen kwestie van onwil, maar van onbekendheid met hoe die termijn werkt: de AVG staat toe dat een melding in fasen wordt aangevuld, juist omdat volledige zekerheid vaak niet binnen drie dagen te krijgen is.
Waarom deze fout zo vaak voorkomt
De verwarring ontstaat doordat mensen een datalek en een meldingsplichtig datalek door elkaar halen. Niet elk incident met persoonsgegevens moet gemeld worden aan de toezichthouder; de AVG onderscheidt daarbij of er een risico is voor de rechten en vrijheden van de betrokkenen. Bedrijven die dat onderscheid niet scherp hebben, gaan vaak in twee richtingen te ver: ze melden bijna niets uit angst voor gedoe, of ze proberen eerst het hele plaatje compleet te krijgen voordat ze een melding durven te doen. Beide reacties komen voort uit onzekerheid over wat de wet precies vraagt, en die onzekerheid is met een paar vaste vragen vaak al voor een groot deel weg te nemen. De beslisboom op in vijf vragen zien waar u staat is daarvoor gemaakt: hij laat op basis van een paar concrete vragen zien of een voorval waarschijnlijk onder de meldplicht valt, zonder dat u daarvoor eerst juridische kennis nodig heeft.
Een tweede fout die er vaak bij hoort
Nauw verwant aan het te laat melden is het vergeten van de eigen administratie. Ook een datalek dat u uiteindelijk niet meldt bij de toezichthouder, hoort intern vastgelegd te worden: wat er is gebeurd, waarom er wel of niet is gemeld, en welke maatregelen zijn genomen. Veel organisaties registreren alleen de incidenten die ze daadwerkelijk hebben gemeld en laten de rest ongedocumenteerd. Daarmee ontbreekt precies het overzicht dat nodig is om te laten zien dat een afweging bewust en op basis van de juiste criteria is gemaakt, mocht daar later naar gevraagd worden.
Hoe u de klok wél voor u laat werken
De termijn van 72 uur is niet bedoeld om organisaties te overvallen, maar om betrokkenen snel te kunnen waarschuwen als dat nodig is. Dat lukt beter als er vooraf duidelijk is wie binnen de organisatie een vermoeden van een lek meldt, aan wie, en welke basisvragen daarbij standaard gesteld worden. Zonder die afspraken gaat kostbare tijd verloren aan het uitzoeken wie er eigenlijk over gaat, terwijl de klok al loopt.
Het helpt ook om vooraf te weten welke systemen en leveranciers persoonsgegevens verwerken, zodat u bij een melding van een leverancier meteen kunt inschatten om welke gegevens en welke betrokkenen het gaat. Een actueel overzicht van de gebruikte SaaS-tools en de afspraken daarover, zoals dat in het verwerkingsregister van de kennisbank met uitleg per onderwerp terugkomt, scheelt in de praktijk veel uitzoekwerk op het moment dat het erop aankomt.
Wat u vooraf kunt vastleggen
De kern is dat een melding niet compleet hoeft te zijn om op tijd te zijn. Een eerste melding met de bekende feiten, gevolgd door een aanvulling zodra er meer duidelijk is, past binnen wat de AVG toestaat. Organisaties die dat vooraf weten en er een vaste, korte procedure voor hebben, lopen minder snel tegen de fout aan dat ze te lang wachten. Wat daarbij ook helpt, is helderheid over waar gevoelige gegevens staan en hoe die beveiligd zijn, zodat een vermoeden van een lek sneller kan worden beoordeeld op ernst; de pagina over hoe gegevens binnen het systeem beschermd worden geeft daar een beeld van.
Of een specifiek voorval bij uw organisatie meldingsplichtig is en hoe u dat het beste vastlegt, is uiteindelijk een afweging die u zelf maakt, eventueel met een jurist of in overleg met de Autoriteit Persoonsgegevens. gdpria.eu geeft daarbij duiding en een gestructureerde eerste inschatting, geen juridisch advies.
Wilt u alvast weten waar bij u de aandachtspunten zitten? De gratis quick-scan en de antwoorden op vragen die vaker terugkomen geven binnen een paar minuten een eerste beeld, zonder dat daarvoor een account nodig is.