Datalekken afhandelen

Wat het doet

Lekken er persoonsgegevens, dan moet je snel handelen en in de juiste volgorde, vaak terwijl de feiten nog niet duidelijk zijn. Onze workflow begeleidt je van de eerste melding tot de afsluiting. Ze volgt artikelen 33 en 34 AVG: meld het aan de toezichthouder binnen 72 uur nadat je het te weten kwam, als de inbreuk waarschijnlijk een risico voor mensen inhoudt, en breng de betrokkenen op de hoogte als dat risico hoog is. Wat de 72-urenregel inhoudt, leggen we uit in onze Knowledge Base.

De workflow houdt het werk georganiseerd en het dossier compleet. De beslissingen over melden neemt een jurist.

Functies

Registratie en referentie

Registreer een inbreuk zodra je ervan weet, in het klantenportaal of via ons. Ze krijgt een referentie en een notitie van het moment waarop de organisatie het te weten kwam. Dan begint de termijn van 72 uur te lopen.

Afteller van 72 uur

Een afteller toont hoeveel tijd er nog is om de toezichthouder te verwittigen, zichtbaar voor iedereen die aan de inbreuk werkt. Hij ondersteunt de berekening van de jurist; een persoon bevestigt de datum altijd.

Beoordeling van de inbreuk

Gestructureerde vragen leggen vast wat er gebeurd is (vertrouwelijkheid, integriteit, beschikbaarheid), om welke categorieën en ongeveer hoeveel mensen en gegevens het gaat, wat de waarschijnlijke gevolgen zijn en wat er al gedaan is. Het risico voor personen, en of het hoog is, noteren we met de redenering. Valt het incident ook onder NIS2, dan ondersteunen dezelfde feiten de aparte melding aan de nationale cyberbeveiligingsautoriteit; die beslissing neemt de jurist.

Melding aan de toezichthouder

We zetten de feiten uit het dossier in de vorm die artikel 33, lid 3 vraagt: aard van de inbreuk, contactpunt, waarschijnlijke gevolgen en maatregelen. Heb je nog niet alles, dan kan de melding in fasen. Een jurist keurt elke versie goed voor ze wordt ingediend.

Informeren van betrokkenen

Bij een hoog risico bereiden we het bericht aan de betrokken personen voor, in gewone taal en met de info uit artikel 34, lid 2. Een inbreuk met hoog risico kun je pas afsluiten als de betrokkenen zijn ingelicht of de reden om dat niet te doen is vastgelegd. Bijvoorbeeld omdat de gegevens door versleuteling onleesbaar waren, of omdat latere maatregelen het risico onwaarschijnlijk maken.

Lekregister en opvolging

Elke inbreuk, gemeld of niet, blijft in het register staan, zoals artikel 33, lid 5 vraagt. We volgen taken, verantwoordelijken en termijnen op, en wat je geleerd hebt kun je koppelen aan je verwerkingsregister.

Wat je mag verwachten

• Een lekdossier met referentie, tijdlijn, beoordeling, beslissingen en de redenering erachter.
• Een melding aan de toezichthouder en, waar nodig, een bericht aan de betrokkenen, allebei goedgekeurd door een jurist.
• Een takenlijst met verantwoordelijken voor indamming en herstel.
• Een lekregister dat je kunt exporteren en aan de toezichthouder kunt tonen.

Voorbeeld van begin tot eind

Stel: de receptioniste van een tandartspraktijk meldt dinsdagochtend dat er een laptop uit een auto is gestolen. De praktijk registreert het in het portaal, dat een referentie aanmaakt en de afteller start vanaf het moment waarop de praktijk de diefstal vernam. Gestructureerde vragen leggen vast dat de laptop patiëntendossiers bevatte, de schijf versleuteld was en de laatste back-up actueel was. De jurist beoordeelt het: er zijn gezondheidsgegevens, maar door de versleuteling is toegang onwaarschijnlijk, dus het risico voor de patiënten is laag. Geen melding aan de toezichthouder of de patiënten, en de redenering staat in het lekregister. Was de schijf niet versleuteld geweest, dan had de workflow de melding en de berichten aan patiënten klaargezet voor goedkeuring door de jurist, en had je het dossier niet kunnen afsluiten voor de patiënten waren ingelicht of de reden was vastgelegd.

Datzelfde dossier blijft nuttig: het beantwoordt de toezichthouder als die vraagt hoe de beslissing tot stand kwam, het voedt de herziening van je beveiliging en het toont je bestuur dat het incident ordelijk is aangepakt.

Waar we het inzetten

De workflow is de kern van onze dienst bij datalekken en een vast onderdeel van DPO as a Service. Sturen getroffen personen inzage- of wissingsverzoeken, dan kun je die afhandelen via verzoeken van betrokkenen. Ons platform wordt in de EU gehost. Vertrouwelijke inhoud wordt op onze eigen hardware afgeschermd voordat een cloud-AI het ziet; kan die check niet draaien, dan gaat er niets weg.