Stel je voor: een medewerker stuurt per ongeluk een klantenlijst naar de verkeerde persoon. Of je ontdekt dat een hacker toegang heeft gehad tot je klantsysteem. Vervelend, maar het overkomt meer bedrijven dan je denkt. Dit heet een datalek en het kan grote gevolgen hebben als je niet snel en goed handelt. In dit blog lees je wat een datalek precies is en wat je als ondernemer moet doen.

Wanneer heb je een datalek?

Een datalek is elke situatie waarbij persoonsgegevens in verkeerde handen vallen, verloren gaan of toegankelijk zijn voor iemand die daar geen recht op heeft. Denk aan namen, e-mailadressen, telefoonnummers of betaalgegevens van je klanten of medewerkers.

Het gaat niet alleen om hackers. Ook een gestolen laptop, een verkeerd verstuurde e-mail of een per ongeluk ge-upload bestand, kan een datalek zijn. Het hoeft dus niet spectaculair te zijn. Juist de kleine, alledaagse fouten komen het vaakst voor.

Wat moet je doen?

Zodra je een datalek ontdekt, begint de klok te tikken. Je hebt in principe 72 uur om het datalek te melden bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen enkel risico oplevert voor de betrokken personen. Die melding moet informatie bevatten over wat er is gebeurd, hoeveel personen geraakt zijn en welke maatregelen je neemt.

Is het risico voor de betrokken personen hoog? Denk bijvoorbeeld aan een lek met financiële gegevens of BSN-nummers. Dan moet je die personen ook rechtstreeks informeren. Je legt dan in begrijpelijke taal uit wat er is misgegaan en wat je eraan doet.

Doe je dit niet of te laat? Dan riskeer je een forse boete die kan oplopen tot 10 miljoen euro of 2% van je wereldwijde jaaromzet.

Stappenplan bij een datalek

Ontdek je een datalek? Doorloop dan deze stappen:

1. Breng het lek in kaart: wat is er gebeurd, welke gegevens zijn geraakt en hoeveel personen betreft het?
2. Beperk de schade: blokkeer toegang, wijzig wachtwoorden, isoleer getroffen systemen.
3. Beoordeel het risico: is er een risico voor de betrokken personen? Zo ja, meld het bij de Autoriteit Persoonsgegevens binnen 72 uur.
4. Informeer betrokkenen: levert het lek een hoog risico op? Informeer dan ook de gedupeerden persoonlijk.
5. Documenteer alles: leg vast wat er is gebeurd, wat de gevolgen zijn en welke maatregelen je hebt genomen.
6. Schakel juridisch advies in: twijfel je of je moet melden, of hoe je betrokkenen informeert? Laat je adviseren.

Dit overzicht is niet uitputtend, maar geeft je de belangrijkste stappen die je direct kunt zetten.

Hulp nodig?

Een datalek brengt stress en onzekerheid. Bij Jurato Bedrijfsjuristen helpen we je met helder advies over wat je wél en niet moet doen. We staan je bij tijdens het hele proces: van de beoordeling of je moet melden, tot het opstellen van communicatie richting gedupeerden. Natuurlijk is voorkomen altijd beter dan genezen. Heb je bijvoorbeeld al eens gedacht aan anonimiseren of ‘pseudonimiseren’ van gegevens? En delete je onnodige gegevens op tijd?

Neem vandaag nog contact met ons op zodat je goed bent voorbereid.