Een document dat onvoldoende is geanonimiseerd. Een bestand dat per ongeluk openbaar wordt gemaakt. Of persoonsgegevens die naar de verkeerde ontvanger worden gestuurd. Een datalek kan klein beginnen, maar grote gevolgen hebben.
Uit onderzoek van de NOS en Nieuwsuur blijkt dat gemeenten nog altijd persoonsgegevens van inwoners op internet publiceren. De onderzoekers vonden honderden documenten met onder meer e-mailadressen, privételefoonnummers, adresgegevens en nummers van identiteitsbewijzen. In 255 documenten stonden zelfs burgerservicenummers. In één document waren de namen, adressen en BSN’s van 43 inwoners zichtbaar. Lees het nieuwsbericht van de NOS.
Dat dit bij gemeenten gebeurt, maakt het nieuws opvallend. Maar het risico beperkt zich zeker niet tot de overheid.
Iedere organisatie verwerkt persoonsgegevens
Vrijwel iedere organisatie werkt dagelijks met persoonsgegevens. Denk aan:
- namen, adressen en contactgegevens van klanten;
- gegevens van medewerkers en sollicitanten;
- facturen en bankrekeningnummers;
- gegevens van leveranciers en contactpersonen;
- camerabeelden, websitegegevens en e-mailcorrespondentie;
- informatie die via online formulieren, apps of AI-toepassingen wordt verwerkt.
Zodra een organisatie persoonsgegevens verwerkt, moet zij voldoen aan de AVG. Dat geldt voor grote ondernemingen, maar net zo goed voor het mkb, zzp’ers, verenigingen en stichtingen.
De AVG is daarbij veel meer dan een privacyverklaring op de website. Een organisatie moet kunnen uitleggen welke gegevens zij verzamelt, waarom dat gebeurt, hoe lang deze worden bewaard, met wie ze worden gedeeld en hoe ze worden beveiligd.
Een datalek is niet altijd het gevolg van een hack
Bij een datalek denken veel ondernemers direct aan cybercriminelen of een aanval op de bedrijfsserver. In de praktijk ontstaan datalekken vaak door alledaagse fouten, zoals:
- een e-mail met persoonsgegevens naar de verkeerde persoon sturen;
- gevoelige informatie onvoldoende zwartlakken;
- een bestand per ongeluk openbaar delen;
- medewerkers toegang geven tot meer gegevens dan noodzakelijk;
- persoonsgegevens te lang bewaren;
- een laptop, telefoon of USB-stick verliezen;
- gegevens delen met een leverancier zonder goede afspraken;
- vertrouwelijke informatie invoeren in een onbeveiligde AI-toepassing.
Een datalek betreft niet alleen het zichtbaar worden van gegevens. Ook verlies, ongeoorloofde wijziging of tijdelijke onbeschikbaarheid van persoonsgegevens kan een datalek zijn. De European Data Protection Board benadrukt daarom dat iedere organisatie voorbereid moet zijn op verschillende soorten privacy-incidenten.
Wat kunnen de gevolgen zijn voor betrokkenen?
Wanneer persoonsgegevens in verkeerde handen terechtkomen, kunnen mensen daar nog lange tijd last van houden. Vooral de combinatie van een naam, adres, geboortedatum, BSN of kopie van een identiteitsbewijs kan worden misbruikt.
Mogelijke gevolgen zijn:
- identiteitsfraude;
- gerichte phishing en telefonische oplichting;
- het openen van accounts of afsluiten van overeenkomsten op naam van iemand anders;
- financiële schade;
- ongewenste benadering, intimidatie of bedreiging;
- verlies van controle over persoonlijke en soms gevoelige informatie.
Een wachtwoord kan worden gewijzigd, maar een BSN, geboortedatum of woonadres verander je niet zomaar. Daarom moeten organisaties extra zorgvuldig omgaan met dit soort gegevens.
Wat betekent een datalek voor de ondernemer?
Wanneer een organisatie haar AVG-verplichtingen niet op orde heeft, kan een datalek grote zakelijke gevolgen hebben.
1. Directe kosten en verstoring van de bedrijfsvoering
De oorzaak moet worden onderzocht, het lek moet worden gedicht en systemen of werkprocessen moeten mogelijk worden aangepast. Daarvoor zijn vaak IT-specialisten, juristen en communicatieadviseurs nodig. Ondertussen kost het incident veel tijd en aandacht van medewerkers en management.
2. Meldplicht en communicatie met betrokkenen
Een organisatie moet ieder datalek intern registreren. Als het lek waarschijnlijk een risico oplevert voor betrokkenen, moet het in beginsel binnen 72 uur bij de Autoriteit Persoonsgegevens worden gemeld. Bij een waarschijnlijk hoog risico moeten ook de getroffen personen worden geïnformeerd.
Zonder datalekprocedure, duidelijke verantwoordelijkheden en een goed bijgehouden register is het moeilijk om binnen deze korte termijn zorgvuldig te handelen.
3. Onderzoek en maatregelen door de toezichthouder
De Autoriteit Persoonsgegevens kan vragen stellen, onderzoek doen en maatregelen of een boete opleggen. Een organisatie moet dan kunnen aantonen welke beveiligingsmaatregelen zijn genomen en hoe zij structureel aan de AVG voldoet.
4. Schadeclaims
Personen die door een datalek financiële of immateriële schade lijden, kunnen de organisatie aansprakelijk stellen en een schadevergoeding eisen.
5. Verlies van vertrouwen
Klanten, medewerkers en samenwerkingspartners vertrouwen erop dat hun gegevens veilig zijn. Een datalek kan dat vertrouwen in korte tijd ernstig beschadigen. Zeker wanneer achteraf blijkt dat noodzakelijke maatregelen, documenten of procedures ontbraken.
6. Gemiste opdrachten en samenwerkingen
Steeds meer opdrachtgevers en verzekeraars vragen organisaties om aan te tonen dat zij privacy en informatiebeveiliging goed hebben geregeld. Wie dat niet kan, loopt het risico opdrachten, aanbestedingen of samenwerkingen mis te lopen.
AVG vraagt om structurele aandacht
Volledig voorkomen dat er ooit iets misgaat, is niet realistisch. Wel kan iedere organisatie de kans op een datalek aanzienlijk verkleinen en ervoor zorgen dat er snel en zorgvuldig wordt gehandeld wanneer het toch gebeurt.
Daarvoor moeten onder meer de volgende zaken zijn geregeld:
- een actueel overzicht van alle verwerkingen van persoonsgegevens;
- duidelijke bewaartermijnen;
- passende privacy- en beveiligingsmaatregelen;
- goede afspraken met leveranciers en andere verwerkers;
- beperkte en periodiek gecontroleerde toegangsrechten;
- training en bewustwording van medewerkers;
- een datalekprocedure en datalekregister;
- controle van websites, cookies, formulieren en AI-toepassingen;
- een extra controle voordat documenten met persoonsgegevens worden gepubliceerd.
Privacy is daarmee geen eenmalige administratieve actie. Het is een vast onderdeel van professioneel en betrouwbaar ondernemen.
Weet jij of jouw organisatie AVG-proof is?
Het nieuws over de gemeenten laat opnieuw zien hoe snel persoonsgegevens onbedoeld openbaar kunnen worden. Wacht daarom niet tot een klant, medewerker, toezichthouder of cybercrimineel een zwakke plek ontdekt.
Met de gratis AVG, beveiligings- en AI-check van Privacy Zeker ontdek je in ongeveer tien minuten waar jouw organisatie staat en welke punten nog aandacht nodig hebben. De check is gratis en geheel vrijblijvend.