Direct antwoord · AVG
Datalek melden
Melden bij de Autoriteit Persoonsgegevens: zonder onredelijke vertraging en zo mogelijk binnen 72 uur na ontdekking, tenzij het niet waarschijnlijk is dat het lek een risico inhoudt voor de rechten en vrijheden van mensen (artikel 33 lid 1). Elk lek wordt intern vastgelegd, ook als het niet gemeld hoeft te worden (artikel 33 lid 5). De betrokkenen zelf worden alleen ingelicht als het lek waarschijnlijk een hoog risico voor hen inhoudt (artikel 34 lid 1). Ook dan vervalt die plicht als de gegevens bijvoorbeeld versleuteld waren, als het hoge risico door latere maatregelen is weggenomen, of als individueel informeren onevenredig veel moeite kost; in dat laatste geval volgt een openbare mededeling (artikel 34 lid 3).
Dit stelt u zelf vast
- Welke gegevens zijn gelekt, van hoeveel mensen, en waren ze versleuteld?
Wetsartikelen
- art. 33 lid 1 AVG Melding binnen 72 uur, tenzij geen risico waarschijnlijk is.
- art. 33 lid 5 AVG Elk lek intern documenteren.
- art. 34 lid 1 AVG Betrokkenen inlichten bij een waarschijnlijk hoog risico.
- art. 34 lid 3 onder a tot en met c AVG Uitzonderingen: versleuteling, latere maatregelen, onevenredige inspanning.
Richtsnoeren en besluiten
- Richtsnoeren 9/2022 over de melding van inbreuken in verband met persoonsgegevens onder de AVG (EDPB, v2.0, 2023-03-28)Richtsnoeren over het melden van datalekken.
- Richtsnoeren 01/2021 met voorbeelden over de melding van inbreuken in verband met persoonsgegevens (EDPB, v2.0, 2021-12-14)Voorbeelden van datalekken en hoe ermee om te gaan.
