Datalek: wat het is en wat er van je organisatie wordt verwacht

Een datalek is een van die onderwerpen waar veel organisaties pas serieus over nadenken op het moment dat het misgaat. Dat is begrijpelijk, maar onverstandig. De eerste 72 uur na ontdekking zijn namelijk cruciaal. Wie dan pas over de vervolgacties gaat nadenken, staat al op achterstand. Deze blogpost zet beide vragen op een rij: wat is een datalek, en welke stappen worden er van jouw organisatie verwacht zodra er één plaatsvindt?

Wat is een datalek?

De AVG spreekt niet van een datalek maar van een inbreuk in verband met persoonsgegevens. Artikel 4 lid 12 AVG omschrijft dit als een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens.

In de praktijk vallen daar drie categorieën onder die elkaar kunnen overlappen. Bij vertrouwelijkheidsincidenten komen persoonsgegevens terecht bij iemand die ze niet had mogen ontvangen, zoals een e-mail naar het verkeerde adres of een klantgegevens die worden ingezien door een onbevoegde. Bij integriteitsincidenten worden gegevens ongeoorloofd gewijzigd, bijvoorbeeld doordat een aanvaller dossiers manipuleert. Bij beschikbaarheidsincidenten raken gegevens kwijt of zijn ze tijdelijk niet toegankelijk, zoals bij een ransomware-aanval of een gewiste back-up zonder kopie.

Wat veel organisaties zich niet realiseren: ook interne incidenten tellen. Een medewerker die uit nieuwsgierigheid in een dossier kijkt waar hij niets te zoeken heeft, veroorzaakt een datalek. De AVG maakt geen onderscheid tussen digitale en fysieke gegevens, en evenmin tussen externe aanvallen en interne fouten.

Belangrijk is ook het onderscheid met een beveiligingsincident. Niet ieder beveiligingsincident is een datalek. Maar elk datalek begint wél met een beveiligingsincident. Als wordt vastgesteld dat hier persoonsgegevens bij betrokken zijn, moet de datalekprocedure gestart worden. 

Wat moet je doen bij een datalek?

Zodra een (mogelijk) datalek wordt ontdekt, doorloopt een organisatie idealiter een vast stappenplan. De onderstaande acht stappen vormen de kern van een werkbaar datalekprotocol.

Stap 1: Constatering en interne melding door medewerker.

Het stappenplan begint bij de medewerker die het incident opmerkt. Het is essentieel dat duidelijk is bij wie intern gemeld moet worden (vaak de FG of een aangewezen incidentcoördinator) en dat melden laagdrempelig is. Cultuur is hier doorslaggevend: medewerkers moeten incidenten durven melden zonder vrees voor sancties, anders verdwijnen datalekken onder de radar.

Stap 2: Onderzoeken aard en omvang van het (mogelijke) datalek.

Vervolgens wordt feitelijk vastgesteld wat er is gebeurd: welke gegevens zijn betrokken, om hoeveel personen gaat het, wat is de oorzaak, en welke systemen of dossiers zijn geraakt? Dit onderzoek is de basis voor alle volgende stappen en moet zorgvuldig worden gedocumenteerd, ook bij twijfel of er werkelijk sprake is van een datalek.

Stap 3: Maatregelen voor het oplossen en minimaliseren van de impact.

Parallel aan het onderzoek worden directe maatregelen genomen om de schade te beperken: het lek dichten, toegang intrekken, gegevens terughalen of laten vernietigen, systemen herstellen en bewijs veiligstellen. Snelheid is hier belangrijker dan volledigheid; de uitgebreidere analyse volgt later.

Stap 4: Vaststellen meldplicht AP en betrokkenen. 

Op basis van het onderzoek volgt de juridische beoordeling. Onder 4A wordt bepaald of het datalek aan de AP gemeld moet worden. Uitgangspunt is artikel 33 AVG: melden is verplicht, tenzij het niet waarschijnlijk is dat het lek een risico inhoudt voor de rechten en vrijheden van betrokkenen. Onder 4B wordt beoordeeld of de betrokkenen zelf geïnformeerd moeten worden. Dat is verplicht bij een hoog risico (art. 34 AVG). De EDPB-richtsnoeren bieden voor beide afwegingen een gestructureerd toetsingskader. Voor de semi-publieke sector ligt de drempel doorgaans lager dan intuïtief wordt aangenomen, gezien de gevoeligheid van de gegevens en de kwetsbaarheid van veel doelgroepen.

Stap 5: Melden bij de Autoriteit Persoonsgegevens.

Als de meldplicht is vastgesteld, moet binnen 72 uur na ontdekking gemeld worden via het meldportaal van de AP. De termijn begint te lopen op het moment dat de organisatie redelijkerwijs zekerheid heeft dat zich een datalek heeft voorgedaan, niet pas wanneer alle details bekend zijn. Bij onvolledige informatie kan een voorlopige melding worden gedaan, die later wordt aangevuld. Wachten tot het volledige beeld rond is, is geen geldige reden voor termijnoverschrijding.

Stap 6: Melden bij de betrokkene(n).

Wanneer onder 4B is vastgesteld dat sprake is van een hoog risico, worden de betrokkenen zelf geïnformeerd. De communicatie moet in heldere taal beschrijven wat er is gebeurd, wat de waarschijnlijke gevolgen zijn, welke maatregelen zijn genomen en bij wie betrokkenen terechtkunnen voor vragen. Een standaardbrief met juridisch jargon voldoet niet aan de transparantie-eis van artikel 34 lid 2 AVG.

Stap 7: Interne evaluatie en communicatie. 

Na afhandeling volgt de reflectie: wat heeft het incident blootgelegd over de onderliggende beveiliging, processen of bewustwording? Een serieuze evaluatie leidt tot aanpassingen in beleid, techniek of training, en die aanpassingen horen vastgelegd te worden. Dit is ook het moment om intern terug te koppelen aan de betrokken medewerkers, zodat het geleerde breder landt.

Stap 8: Intern overzicht datalekken bijwerken.

Tot slot wordt het datalekregister geactualiseerd. Artikel 33 lid 5 AVG verplicht organisaties om elk datalek intern te documenteren, ook de incidenten die niet gemeld hoefden te worden. Dit register is het eerste dat de AP opvraagt bij een onderzoek, en het ontbreken ervan is op zichzelf al een tekortkoming. 

Tot slot

De praktijk laat zien dat datalekken zelden falen op het technische vlak alleen. Vaker zit het probleem in een proces dat niet was ingericht, een register dat niet werd bijgehouden, of een verantwoordelijke die niet wist dat hij verantwoordelijk was. Wie de meldplicht serieus neemt, begint dus niet bij het incident, maar bij de inrichting daarvóór: een werkend meldproces, een actueel register, geoefende rolverdeling en duidelijke afspraken met verwerkers. Op het moment dat er werkelijk iets misgaat, blijkt dat verschil tussen een beheersbaar incident en een handhavingstraject.