Aanpak van datalekken

De vraag

Je systemen zijn gehackt, een e-mail is naar de verkeerde ontvangers gegaan, of een leverancier meldt dat hij jouw gegevens kwijt is. Wat moet je doen, en tegen wanneer?

Er lopen twee klokken. Volgens artikel 33 AVG meld je een inbreuk op persoonsgegevens zonder onredelijke vertraging en, als het kan, uiterlijk 72 uur nadat je ervan wist, aan de toezichthoudende autoriteit. Dat hoeft alleen niet als het onwaarschijnlijk is dat de inbreuk een risico voor personen inhoudt. Is het risico hoog, dan moet je op grond van artikel 34 ook de betrokkenen zonder onredelijke vertraging inlichten. Valt je organisatie onder NIS2? Dan kan voor hetzelfde incident ook een kortere meldplicht gelden bij de nationale cyberbeveiligingsautoriteit. Elke lidstaat zet NIS2 om in eigen recht; in België gaat de melding bijvoorbeeld naar het Centrum voor Cybersecurity België (CCB). De 72-urenregel en NIS2 leggen we uit in onze Knowledge Base.

Naast de melding kan er ook een geschil zijn: iemand heeft de gegevens gestolen of gepubliceerd, een leverancier is tekortgeschoten in zijn beveiliging, of een ex-werknemer nam een klantenbestand mee.

Onze aanpak

In de eerste uren doen we vier dingen tegelijk. We zoeken uit wat er gebeurd is en om welke gegevens het gaat. We helpen je het incident in te perken. We beoordelen of je moet melden, met de kans op en de ernst van de schade voor de betrokkenen als maatstaf, en we leggen onze redenering vast. En we starten de klok in onze workflow voor het afhandelen van datalekken: elke inbreuk krijgt een referentie, je ziet de 72 uur aflopen en de feiten, beslissingen en taken staan in één dossier.

De melding aan de toezichthouder mag in fasen: artikel 33, lid 4 laat toe om informatie stap voor stap door te geven als je nog niet alles weet. Welke autoriteit dat is, hangt af van waar je gevestigd bent en waar de verwerking plaatsvindt; in België is het bijvoorbeeld de Gegevensbeschermingsautoriteit (GBA). We schrijven de melding met de inhoud die artikel 33, lid 3 vraagt, en een jurist beslist erover en keurt ze goed voordat ze de deur uit gaat. Hetzelfde geldt voor het bericht aan de betrokkenen, dat in duidelijke taal moet uitleggen wat zij kunnen doen om zich te beschermen. Zijn er meerdere organisaties betrokken, dan zoeken we uit wie verwerkingsverantwoordelijke is en wie verwerker, want een verwerker moet de verantwoordelijke zonder onredelijke vertraging inlichten.

Elke inbreuk moet je documenteren, ook als je ze niet meldt (artikel 33, lid 5). In de workflow kan een inbreuk met hoog risico pas dicht als de betrokkenen zijn ingelicht of de reden om dat niet te doen is vastgelegd. Er zijn uitzonderingen, bijvoorbeeld als de gegevens versleuteld waren en dus onleesbaar zijn voor wie ze in handen krijgt, maar die moeten schriftelijk onderbouwd zijn.

Betrokkenen reageren op een lek vaak met verzoeken om inzage of wissing. Onze functie voor verzoeken van betrokkenen registreert ze en houdt de termijn van één maand in beeld terwijl het incident nog loopt.

Daarnaast, maar alleen als je dat wilt, kijken we naar de andere kant: bewijs veiligstellen, de leverancier in gebreke stellen, ingebrekestellingen of takedownverzoeken sturen naar hosts en platformen waar gestolen gegevens opduiken, en adviseren over vorderingen en over de opvolging door de toezichthouder.

Klanten bellen ons als er een laptop gestolen is, een phishingmail een aanvaller in een mailbox heeft gebracht, een klantenlijst naar de verkeerde groep is gestuurd, een leverancier meldt dat hij gehackt is, of als ze hun gegevens terugvinden op een website of marktplaats en niet weten of ze als slachtoffer, verantwoordelijke of allebei moeten optreden.

Wat je mag verwachten

• Een gedocumenteerde beoordeling van de meldingsplicht en, waar nodig, de melding aan de toezichthouder en het bericht aan de betrokkenen.
• Een volledig lekdossier dat standhoudt als de toezichthouder vragen stelt.
• Advies over een eventuele NIS2-melding en over contractuele kennisgevingen aan leveranciers.
• Als je dat wilt, stappen tegen de bron van het lek.
• Na het incident een korte evaluatie en een update van je responsplan en van het register.

Een producent ontdekt op donderdag dat een voormalige verkoper het klantenbestand, met contactgegevens van ongeveer 2.000 zakelijke contacten, naar een privé-cloudaccount heeft gekopieerd. We openen een lekdossier, leggen vast wanneer het bedrijf het ontdekte en schatten het risico in: zakelijke contactgegevens, geen gevoelige categorieën, kleine kans op schade voor de personen. De jurist besluit dat melding aan de toezichthouder niet nodig is, en die redenering wordt vastgelegd. Tegelijk heeft het bedrijf een ander probleem, misbruik van vertrouwelijke informatie en klantgegevens. We sturen een ingebrekestelling naar de ex-werknemer en een verzoek aan de cloudaanbieder om de gegevens te bewaren en te verwijderen, en we adviseren over de arbeidsrechtelijke en bedrijfsgeheimaspecten.

Volgende stap

Het beste moment om je voor te bereiden is vóór er iets misgaat. We zetten je responsplan, rolverdeling en meldteksten op en testen ze samen met jou. Zit je nu midden in een datalek? Wacht dan niet, de klok loopt al.

Neem meteen contact op of plan een gesprek.