GRATIS  Protocol meldplicht datalekken opstellen

• vrijwel elke organistatie verwerkt persoonsgegevens waardoor het hebben van een protocol melding datalek verplicht is
• de Algemene verordening gegevensbescherming (AVG) verplicht je om bij een ernstig datalek binnen 72 uur actie te ondernemen
• doe je dat niet, dan riskeer je een hoge boete
• zorg er daarom voor dat iedere medewerker binnen je organisatie weet welke procedure hij moet volgen bij een datalek
• gebruik hiervoor dit AVG-proof protocol melding datalekken
• ben je op zoek naar een protocol datalekken voorbeeld of voorbeeld draaiboek datalekken, dan vind je die ook hier

Gebruik dit protocol meldplicht datalekken:

• om de juiste procedure vast te leggen hoe datalekken binnen je organisatie moeten worden afgehandeld

In dit protocol meldplicht datalekken staat onder meer:

• waar een datalek moet worden gemeld

• wat er onderzocht moet worden in geval van een datalek

• de plicht van een medewerker om mee te werken aan bovengenoemd onderzoek

• binnen welke termijn je moet beoordelen of je een datalek moet melden

• dat je een registratie moet bijhouden van alle datalekken binnen je organisatie (datalekregister)

Een protocol meldplicht datalekken is een AVG-compliant document waarin de procedure staat beschreven die je organisatie moet volgen wanneer er persoonsgegevens zijn gelekt, kwijtgeraakt, gestolen of op andere wijze in verkeerde handen zijn gekomen.

Een datalek houdt in dat persoonsgegevens in handen komen of kunnen komen van derden. Voorbeelden van datalekken zijn:

• een kwijtgeraakte USB-stick

• een gestolen laptop

• een mail met persoonsgegevens die naar de verkeerde persoon is gestuurd

• een hack in een datasysteem

• een werknemer die ongeoorloofd gevoelige gegevens heeft ingezien

Zodra medewerkers binnen je organisatie persoonsgegevens verwerken, heb je een protocol meldplicht datalekken nodig. Volgens de AVG ben je verplicht organisatorische en technische maatregelen te treffen ter bescherming van persoonsgegevens. Een belangrijke organisatorische maatregel hierbij is dit protocol meldplicht datalekken. Voorheen was de Wet Meldplicht Datalekken van toepassing.

Niet ieder datalek hoef je melden. Datalekken waarvan het niet waarschijnlijk is dat ze een risico inhouden voor de rechten en vrijheden van de betrokken personen, hoef je niet te melden.

Onder persoonsgegevens die een hoog risico voor de rechten en vrijheden met zich meebrengen vallen gevoelige persoonsgegevens, zoals medische gegevens of gegevens over ras, geloof of seksuele voorkeur. De naam- en adresgegevens houden in het algemeen geen hoog risico in.

Moet je een datalek melden, dan doe je dat bij de Autoriteit Persoonsgegevens (AP). Dit moet binnen 72 uur na ontdekking van het datalek. Als het datalek een hoog risico inhoudt voor de rechten en vrijheden van de betrokken personen, moet je het datalek ook aan hen melden.

Het is belangrijk dat iedereen binnen je organisatie die persoonsgegevens verwerkt of toegang daartoe heeft, weet wat een datalek is en wat hij moet doen als er een datalek heeft plaatsgevonden. Zorg er daarom voor dat alle medewerkers de procedure datalekken kennen en die gemakkelijk kunnen vinden. Daarnaast moet je 1 of meer medewerkers verantwoordelijk maken voor het afhandelen van een datalek. Zorg ervoor dat deze persoon weet wat van hem verwacht wordt en over de (technische) kennis en hulpmiddelen beschikt om goed te kunnen beoordelen:

• hoe het datalek heeft kunnen plaatsvinden
• of je organisatie het datalek moet melden bij de AP en/of bij de betrokkenen zelf
• wat je organisatie kan doen om de gevolgen van het datalek te beperken
• wat je organisatie kan doen om een dergelijk datalek in de toekomst te voorkomen

Iedere organisatie die persoonsgegevens verwerkt, moet volgens de privacywet ook een datalekregister hebben. Hierin houd je bij welke inbreuken er in je organisatie zijn geweest. Het doel van het datalekregister is dat je als organisatie leert van eerdere datalekken om zo maatregelen te nemen om de kans op nieuwe te verminderen. Je mag zelf bepalen welke vorm je datalekregister heeft.

Vraag een Advocaat om hulp als:

• een medewerker opzettelijk persoonsgegevens heeft gelekt

• de AP een onderzoek instelt naar aanleiding van het datalek of een boete oplegt

Op dit protocol melding datalekken en het voorbeeld protocol meldplicht datalekken zijn de Europese privacywetgeving (GDPR) en Nederlands recht (AVG) van toepassing.