--- title: "Aanpak van datalekken | Pitch" description: "Hulp vanaf de eerste uren van een datalek: inschatten wat er speelt, melden aan de toezichthouder en aan betrokkenen, alles vastleggen en optreden tegen de…" url: https://www.pitch.law/nl/solutions/data-breach-response-enforcement --- [pitch](https://www.pitch.law/nl) [Oplossingen](https://www.pitch.law/nl/solutions) [Privacy & gegevensbescherming](https://www.pitch.law/nl/solution-categories/privacy) # Aanpak van datalekken Hulp vanaf de eerste uren van een datalek: inschatten wat er speelt, melden aan de toezichthouder en aan betrokkenen, alles vastleggen en optreden tegen de bron. - 360°-fase: Enforce ## De vraag Je systemen zijn gehackt, een e-mail is naar de verkeerde ontvangers gegaan, of een leverancier meldt dat hij jouw gegevens kwijt is. Wat moet je doen, en tegen wanneer? Er lopen twee klokken. Volgens artikel 33 AVG meld je een inbreuk op persoonsgegevens zonder onredelijke vertraging en, als het kan, uiterlijk 72 uur nadat je ervan wist, aan de toezichthoudende autoriteit. Dat hoeft alleen niet als het onwaarschijnlijk is dat de inbreuk een risico voor personen inhoudt. Is het risico hoog, dan moet je op grond van artikel 34 ook de betrokkenen zonder onredelijke vertraging inlichten. Valt je organisatie onder NIS2? Dan kan voor hetzelfde incident ook een kortere meldplicht gelden bij de nationale cyberbeveiligingsautoriteit. Elke lidstaat zet NIS2 om in eigen recht; in België gaat de melding bijvoorbeeld naar het Centrum voor Cybersecurity België (CCB). De [72-urenregel](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) en [NIS2](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) leggen we uit in onze Knowledge Base. Naast de melding kan er ook een geschil zijn: iemand heeft de gegevens gestolen of gepubliceerd, een leverancier is tekortgeschoten in zijn beveiliging, of een ex-werknemer nam een klantenbestand mee. ## Onze aanpak In de eerste uren doen we vier dingen tegelijk. We zoeken uit wat er gebeurd is en om welke gegevens het gaat. We helpen je het incident in te perken. We beoordelen of je moet melden, met de kans op en de ernst van de schade voor de betrokkenen als maatstaf, en we leggen onze redenering vast. En we starten de klok in [onze workflow voor het afhandelen van datalekken](https://www.pitch.law/nl/technologies/breach-response-workflow): elke inbreuk krijgt een referentie, je ziet de 72 uur aflopen en de feiten, beslissingen en taken staan in één dossier. De melding aan de toezichthouder mag in fasen: artikel 33, lid 4 laat toe om informatie stap voor stap door te geven als je nog niet alles weet. Welke autoriteit dat is, hangt af van waar je gevestigd bent en waar de verwerking plaatsvindt; in België is het bijvoorbeeld de Gegevensbeschermingsautoriteit (GBA). We schrijven de melding met de inhoud die artikel 33, lid 3 vraagt, en een jurist beslist erover en keurt ze goed voordat ze de deur uit gaat. Hetzelfde geldt voor het bericht aan de betrokkenen, dat in duidelijke taal moet uitleggen wat zij kunnen doen om zich te beschermen. Zijn er meerdere organisaties betrokken, dan zoeken we uit wie verwerkingsverantwoordelijke is en wie verwerker, want een verwerker moet de verantwoordelijke zonder onredelijke vertraging inlichten. Elke inbreuk moet je documenteren, ook als je ze niet meldt (artikel 33, lid 5). In de workflow kan een inbreuk met hoog risico pas dicht als de betrokkenen zijn ingelicht of de reden om dat niet te doen is vastgelegd. Er zijn uitzonderingen, bijvoorbeeld als de gegevens versleuteld waren en dus onleesbaar zijn voor wie ze in handen krijgt, maar die moeten schriftelijk onderbouwd zijn. Betrokkenen reageren op een lek vaak met verzoeken om inzage of wissing. [Onze functie voor verzoeken van betrokkenen](https://www.pitch.law/nl/technologies/dsar-handling) registreert ze en houdt de termijn van één maand in beeld terwijl het incident nog loopt. Daarnaast, maar alleen als je dat wilt, kijken we naar de andere kant: bewijs veiligstellen, de leverancier in gebreke stellen, ingebrekestellingen of takedownverzoeken sturen naar hosts en platformen waar gestolen gegevens opduiken, en adviseren over vorderingen en over de opvolging door de toezichthouder. Klanten bellen ons als er een laptop gestolen is, een phishingmail een aanvaller in een mailbox heeft gebracht, een klantenlijst naar de verkeerde groep is gestuurd, een leverancier meldt dat hij gehackt is, of als ze hun gegevens terugvinden op een website of marktplaats en niet weten of ze als slachtoffer, verantwoordelijke of allebei moeten optreden. ## Wat je mag verwachten - Een gedocumenteerde beoordeling van de meldingsplicht en, waar nodig, de melding aan de toezichthouder en het bericht aan de betrokkenen. - Een volledig lekdossier dat standhoudt als de toezichthouder vragen stelt. - Advies over een eventuele NIS2-melding en over contractuele kennisgevingen aan leveranciers. - Als je dat wilt, stappen tegen de bron van het lek. - Na het incident een korte evaluatie en een update van je responsplan en van het register. Een producent ontdekt op donderdag dat een voormalige verkoper het klantenbestand, met contactgegevens van ongeveer 2.000 zakelijke contacten, naar een privé-cloudaccount heeft gekopieerd. We openen een lekdossier, leggen vast wanneer het bedrijf het ontdekte en schatten het risico in: zakelijke contactgegevens, geen gevoelige categorieën, kleine kans op schade voor de personen. De jurist besluit dat melding aan de toezichthouder niet nodig is, en die redenering wordt vastgelegd. Tegelijk heeft het bedrijf een ander probleem, misbruik van vertrouwelijke informatie en klantgegevens. We sturen een ingebrekestelling naar de ex-werknemer en een verzoek aan de cloudaanbieder om de gegevens te bewaren en te verwijderen, en we adviseren over de arbeidsrechtelijke en bedrijfsgeheimaspecten. ## Volgende stap Het beste moment om je voor te bereiden is vóór er iets misgaat. We zetten je responsplan, rolverdeling en meldteksten op en testen ze samen met jou. Zit je nu midden in een datalek? Wacht dan niet, de klok loopt al. [Neem meteen contact op](https://www.pitch.law/nl/contact-us) of [plan een gesprek](https://www.pitch.law/nl/schedule). ## In het kort - Meldingsplicht beoordeeld en vastgelegd - Melding aan de toezichthouder opgesteld en nagekeken door een jurist - Betrokkenen ingelicht als het risico hoog is - Optreden tegen wie het lek veroorzaakte of uitbuitte - Responsplan klaar vóór er iets gebeurt ## Tech die we gebruiken - [Technologie](https://www.pitch.law/nl/technologies/breach-response-workflow) ### [Datalekken afhandelen](https://www.pitch.law/nl/technologies/breach-response-workflow) [Een workflow voor artikelen 33 en 34 AVG met een afteller van 72 uur, een referentie per inbreuk en een gestructureerde melding aan de toezichthouder, goedgekeurd door een jurist.](https://www.pitch.law/nl/technologies/breach-response-workflow) - [Technologie](https://www.pitch.law/nl/technologies/dsar-handling) ### [Verzoeken van betrokkenen](https://www.pitch.law/nl/technologies/dsar-handling) [Verzoeken van betrokkenen komen in het klantenportaal, we bewaken de termijn en handelen ze af met een gegevensexport en, bij wissing, een opruiming over al je gekoppelde dossiers.](https://www.pitch.law/nl/technologies/dsar-handling) ## Lees ook - [Academy](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) ### [Datalek: de 72-urenregel](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) [Wanneer je een inbreuk op persoonsgegevens moet melden aan de toezichthouder en aan betrokkenen, hoe de 72 uur worden geteld en wat je moet documenteren.](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - [Academy](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) ### [De NIS2-richtlijn](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) [Wie onder NIS2 valt, wat de richtlijn vraagt, hoe de meldingen binnen 24 uur, 72 uur en één maand werken en hoe dat zich verhoudt tot de melding van datalekken onder de AVG.](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) ## Meer over Privacy & gegevensbescherming - ### [Verwerkersovereenkomsten](https://www.pitch.law/nl/solutions/data-processing-agreements) [Verwerkersovereenkomsten volgens artikel 28 AVG, opgesteld, nagekeken en onderhandeld voor verwerkingsverantwoordelijken en verwerkers, inclusief subverwerkers en doorgiften.](https://www.pitch.law/nl/solutions/data-processing-agreements) - ### [Externe DPO](https://www.pitch.law/nl/solutions/dpo-as-a-service) [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://www.pitch.law/nl/solutions/dpo-as-a-service) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)