Wat doe je bij een datalek?
Leg vast wat bekend is, beperk de toegang en schakel de privacyverantwoordelijke en IT-beheerder in. Wacht niet met schadebeperking tot het onderzoek helemaal klaar is.
Een datalek kan gaan om ongewenste toegang, verlies, wijziging of verstrekking van persoonsgegevens. Niet ieder incident is automatisch meldplichtig; beoordeel de omstandigheden zorgvuldig.
Eerste acties
- Leg tijdstip, systemen, soorten gegevens en bekende betrokkenen vast.
- Beperk verdere toegang of verspreiding zonder bewijsmateriaal onnodig te vernietigen.
- Schakel IT, privacyfunctionaris en verantwoordelijke leiding in.
- Bewaar logbestanden en documenteer besluiten.
Beoordeel meldplicht en betrokkenen
De verwerkingsverantwoordelijke moet beoordelen of een melding bij de Autoriteit Persoonsgegevens verplicht is en of betrokkenen moeten worden geïnformeerd. Bij een meldplichtig datalek geldt doorgaans een termijn van 72 uur nadat de organisatie kennis heeft genomen van het datalek. De precieze beoordeling hangt af van de omstandigheden en de AVG.
Voorkom herhaling
- Herstel de oorzaak en controleer of de maatregel effectief is.
- Wijzig betrokken inloggegevens en trek onnodige sessies of tokens in.
- Evalueer toegangsrechten, back-ups, monitoring en incidentprocedure.
- Informeer betrokkenen wanneer dat nodig is en geef concrete beschermingsstappen.
Praktische checklist
Gebruik deze checklist op je eigen apparaat. Er worden geen antwoorden verstuurd of opgeslagen.
Veelgestelde vragen
Moet ieder datalek binnen 72 uur worden gemeld?
Niet ieder incident hoeft aan de AP gemeld te worden. De organisatie moet het risico beoordelen en documenteren. Als een melding verplicht is, geldt doorgaans een termijn van 72 uur na kennisname.
Betrouwbare bronnen
Was dit nuttig?
Geef feedback of meld een fout. Je e-mailprogramma opent met de paginatitel en URL; er wordt niets automatisch naar de website verzonden.