Bij een datalek heeft u in de kern drie soorten documenten nodig: een interne registratie van wat er is gebeurd, een beoordeling of melding aan de Autoriteit Persoonsgegevens verplicht is, en — als dat zo is — de melding zelf met de onderbouwing daarvan. Komt de melding aan betrokkenen erbij, dan telt die communicatie ook mee als vast te leggen stuk.
Het detail dat bij dit onderwerp het meest over het hoofd wordt gezien, is de interne registratie. Ook als u na beoordeling besluit dat een datalek niet gemeld hoeft te worden bij de Autoriteit Persoonsgegevens, blijft de AVG vragen om het incident zelf vast te leggen: wat er is gebeurd, welke gegevens het raakte, wat de gevolgen konden zijn en waarom u tot uw conclusie kwam. Veel ondernemers denken dat er pas iets op papier hoeft te staan zodra er gemeld wordt. Dat is niet wat de verordening beschrijft.
De interne registratie van het incident
Dit is het stuk dat bij ieder datalek hoort te bestaan, ongeacht de uitkomst van uw beoordeling. Het beschrijft wanneer u het incident ontdekte, wat er precies is voorgevallen, welke categorieën gegevens en welke betrokkenen het raakte, en welke maatregelen u nam om de gevolgen te beperken. Toezichthouders kijken bij een controle niet alleen naar de meldingen die zijn gedaan, maar ook naar of een organisatie kan laten zien hoe eerdere incidenten zijn beoordeeld. Zonder dit stuk is die onderbouwing er niet.
De beoordeling of melding nodig is
Naast de feitelijke registratie is er een tweede document nodig: de afweging zelf. Welke risico's zag u voor de betrokkenen, en op basis waarvan concludeerde u dat melding wel of niet nodig was? De AVG onderscheidt daarbij het risico voor de rechten en vrijheden van de betrokkenen als toetssteen. Die afweging vastleggen is niet alleen prettig voor uzelf achteraf, het is ook het stuk waarmee u kunt laten zien dat er een bewuste keuze is gemaakt, en geen toeval. Wie twijfelt of een concreet incident meldingsplichtig is, vindt bij de beslisboom die in een paar vragen een eerste indicatie geeft een startpunt, zonder dat dit de eigen beoordeling vervangt.
De melding bij de Autoriteit Persoonsgegevens
Valt de conclusie uit dat melding wel nodig is, dan komt de melding zelf erbij als document: wat u heeft gemeld, wanneer, en met welke gegevens. De AVG noemt hiervoor een termijn van 72 uur nadat u kennis kreeg van het datalek. Bewaar niet alleen de bevestiging van de melding, maar ook de versie van de feiten zoals die op het moment van melden bekend waren — die kan later nog worden aangevuld als er meer duidelijk wordt over de omvang.
De communicatie richting betrokkenen
In een deel van de gevallen hoort er ook een bericht aan de betrokkenen zelf bij, bijvoorbeeld wanneer het risico voor hen aanzienlijk wordt geacht. Ook dat bericht — wat er precies is gecommuniceerd en aan wie — is onderdeel van het dossier. Het is geen vast sjabloon dat voor elk datalek hetzelfde is; de inhoud hangt af van wat er is gebeurd en welke gegevens het betreft.
Afspraken met leveranciers en verwerkers
Gebeurt het datalek bij een partij die voor u gegevens verwerkt, zoals een boekhoudpakket of een hostingpartij, dan hoort de afspraak die daarover is vastgelegd in de verwerkersovereenkomst er ook bij: meldt die partij incidenten aan u, en binnen welke termijn? Wie dit nog niet scherp heeft, vindt in de kennisbank waar dit per situatie is uitgewerkt een aanknopingspunt om verwerkersovereenkomsten op dit punt na te lopen.
Waarom dit dossier los staat van uw beveiliging
De documentatie rond een datalek is iets anders dan de maatregelen die u vooraf trof om een datalek te voorkomen, maar de twee raken elkaar wel: een toezichthouder kan vragen hoe uw beveiliging eruitzag op het moment van het incident. Hoe gegevensbeveiliging in de praktijk wordt vastgelegd, kunt u nalezen via de toelichting op passende beveiligingsmaatregelen.
Dit nu al op orde hebben
De kennisbank en de beslisboom zijn gratis te raadplegen, zonder account. Wilt u de registratie van incidenten, de termijnen en de sjablonen daarvoor structureel op één plek hebben in plaats van per keer opnieuw uit te zoeken, dan is dat waar het abonnement bij gdpria.eu voor is ingericht. Een zakelijk account maakt u aan op naam van uw KvK- en btw-nummer, gekoppeld aan de organisatie en niet aan één e-mailadres.
Heeft u op dit moment een mogelijk datalek te beoordelen, doorloop dan eerst de gratis quick-scan of lees de onderwerpen in de kennisbank door. Voor de uitleg wat er precies bij uw situatie hoort, blijft een jurist of de Autoriteit Persoonsgegevens het aangewezen aanspreekpunt.