Datalek: de 72-urenregel

Het juridisch kader

Een inbreuk op persoonsgegevens is een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens (artikel 4, punt 12 AVG). Daaronder vallen inbreuken op de vertrouwelijkheid (gegevens naar de verkeerde persoon, een gehackt account), op de integriteit (gewijzigde gegevens) en op de beschikbaarheid (ransomware, gewiste gegevens zonder bruikbare back-up).

Melding aan de toezichthouder

Volgens artikel 33, lid 1 moet de verwerkingsverantwoordelijke de toezichthoudende autoriteit verwittigen zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij kennis ervan heeft gekregen. Dat hoeft niet als het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen. Welke autoriteit dat is, hangt van het land af: bij verwerking in één lidstaat is het de gegevensbeschermingsautoriteit van die lidstaat (in België bijvoorbeeld de GBA), en bij grensoverschrijdende verwerking normaal de leidende toezichthoudende autoriteit. Meld je na 72 uur, dan moet je de redenen voor de vertraging meedelen.

De 72 uur lopen vanaf de kennisname, niet vanaf de inbreuk. De Europese Raad voor gegevensbescherming (EDPB) vindt dat een verantwoordelijke op de hoogte is zodra hij redelijk zeker is dat een beveiligingsincident ertoe heeft geleid dat persoonsgegevens in het gedrang zijn gekomen. Weekends en feestdagen tellen mee.

De melding moet beschrijven (artikel 33, lid 3): de aard van de inbreuk, met de categorieën en het geschatte aantal betrokkenen en gegevensrecords; het contactpunt; de waarschijnlijke gevolgen; en de genomen of voorgestelde maatregelen. Heb je nog niet alle informatie, dan kun je die gefaseerd doorgeven, zonder verdere onredelijke vertraging (artikel 33, lid 4).

Verwerkers

Een verwerker moet de verwerkingsverantwoordelijke zonder onredelijke vertraging informeren nadat hij van een inbreuk heeft gehoord (artikel 33, lid 2). De 72 uur van de verantwoordelijke lopen vanaf zijn eigen kennisname, en de EDPB raadt aan om in de verwerkersovereenkomst een korte en concrete termijn vast te leggen voor de melding door de verwerker. Zet die plicht van de verwerker dus in je verwerkersovereenkomst.

Mededeling aan betrokkenen

Is het waarschijnlijk dat de inbreuk een hoog risico inhoudt, dan moet de verantwoordelijke ook de betrokkenen zonder onredelijke vertraging inlichten, in duidelijke en eenvoudige taal (artikel 34). Dat hoeft niet als:

• passende beschermingsmaatregelen op de gegevens zijn toegepast, zoals versleuteling die ze onbegrijpelijk maakt voor wie er geen toegang toe mag hebben;
• latere maatregelen ervoor zorgen dat het hoge risico zich waarschijnlijk niet meer zal voordoen;
• het onevenredige inspanningen zou vragen. Dan gebruik je een openbare mededeling of een vergelijkbare maatregel.

De autoriteit kan je verplichten de betrokkenen in te lichten als ze jouw beoordeling niet deelt.

Documentatie

Elke inbreuk moet worden gedocumenteerd, ook als je ze niet meldt: de feiten, de gevolgen en de genomen corrigerende maatregelen (artikel 33, lid 5). De autoriteit kan aan de hand van dit register nagaan of je de regels naleeft.

Gevolgen

Wie niet meldt of niet documenteert, riskeert een boete op grond van artikel 83, lid 4, a) van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Betrokkenen kunnen op grond van artikel 82 schadevergoeding vorderen. In sommige sectoren brengen inbreuken ook aparte plichten mee, bijvoorbeeld onder NIS2.

In de praktijk

Een klein boekhoudkantoor ontdekt op een vrijdagnamiddag dat een medewerker het jaarlijkse loonbestand van een klant, met nationale identificatienummers en lonen van 85 personen, naar een verkeerd extern adres heeft gestuurd. De medewerker verwittigt de manager om 16.00 uur. Dat is het moment van kennisname. De 72 uur zijn maandag om 16.00 uur om.

Het kantoor vraagt de ontvanger het bestand te verwijderen en dat schriftelijk te bevestigen. Het beoordeelt het risico: loongegevens en identificatienummers van werknemers kunnen identiteitsfraude mogelijk maken, en de ontvanger is een niet-verbonden bedrijf waarvan het gedrag onbekend is, dus een risico is waarschijnlijk. Maar de ontvanger bevestigde binnen enkele uren de verwijdering en is gebonden door vertrouwelijkheid van het contact, dus oordeelt het kantoor dat het risico niet hoog is. Het meldt aan de toezichthouder maar licht niet elke werknemer in. Het kantoor legt zijn redenering vast. Was de ontvanger onbereikbaar geweest, dan was de beslissing over een hoog risico en over het informeren van de betrokkenen anders uitgevallen.

De verantwoordelijke voor de loongegevens is de klant, niet het kantoor. Als verwerker informeert het kantoor de klant meteen, en die doet dan zelf de beoordeling en de melding.

Voorbereiding

72 uur is haalbaar als je voorbereid bent: een duidelijke interne meldlijn, een aangewezen beslisser, een kant-en-klare meldtekst, een logboek en een contactpersoon bij je advocaat. Onze workflow voor datalekken telt de uren af, structureert de beoordeling en houdt het dossier bij.

Veelgestelde vragen

Tellen weekends mee?

Ja. De 72 uur zijn kalenderuren.

Wat als we na 72 uur nog niet alle feiten kennen?

Meld met wat je hebt en zeg dat er meer informatie volgt (artikel 33, lid 4). Wachten op volledige informatie is een veelgemaakte fout.

Moeten we een inbreuk melden waarbij maar een paar e-mails betrokken waren?

Is het onwaarschijnlijk dat de inbreuk een risico inhoudt, dan hoef je niet te melden, maar je moet ze wel intern documenteren. Of er een risico is, hangt af van de gegevens en de personen.

Moeten we ook de getroffen personen inlichten?

Alleen bij een hoog risico, tenzij een uitzondering geldt. Mensen die achteraf vragen welke gegevens betrokken waren, gebruiken hun recht op inzage. Dat behandel je als verzoek van een betrokkene.

Hoe dit samenhangt

Onze dienstverlening bij datalekken omvat beoordeling, melding en eventueel optreden tegen de bron. De cyberbeveiligingsplichten die daarnaast lopen, komen aan bod in De NIS2-richtlijn.