Bij jou om de hoek
75 jaar ervaring
Spreekt jouw taal

21 juli 2021

Voorkom een boete door te laat melden datalek 

Bij een beveiligingsincident moet er voortvarend worden gehandeld. Vaak is er nader onderzoek nodig om te kunnen vaststellen of er sprake is van een datalek. Het binnen 72 uur doen van een pro-formamelding bij een mogelijk datalek, kan je een boete besparen.

Onlangs kreeg een groot bedrijf een boete van € 475.000 opgelegd door de Autoriteit Persoonsgegevens (AP) vanwege het te laat melden van een grootschalig datalek. Welke lessen kunnen hieruit getrokken worden?

Wanneer melding datalek?

Op grond van artikel 33 van de AVG moet een inbreuk op de persoonsgegevens, ook wel datalek genoemd, zonder onredelijke vertraging en indien mogelijk binnen 72 uur nadat de verwerkingsverantwoordelijke hiervan kennis heeft genomen, worden gemeld bij de AP. Dat is in ieder geval nodig als er een redelijke mate van zekerheid bestaat dat zich een veiligheidsincident heeft voorgedaan dat tot de compromittering van persoonsgegevens heeft geleid. Het maken van een melding is niet nodig als het niet waarschijnlijk is dat die inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

Tijd voor onderzoek

In veel gevallen zal er onderzoek nodig zijn of er daadwerkelijk sprake is van een datalek. Dat onderzoek kan enige tijd in beslag nemen. Toch is het noodzakelijk om ieder incident onmiddellijk te onderzoeken om te bepalen of er sprake is van een inbreuk op persoonsgegevens. Als er van een inbreuk sprake is, moeten er ook direct maatregelen worden genomen om dit te corrigeren en moet het datalek worden gemeld. Op basis van de AVG zou een termijn van 72 uur hiervoor in principe voldoende moeten zijn.

Te laat...

Het grote bedrijf dat eerder een boete kreeg, vond dat de overschrijding van deze 72 uurs-termijn gerechtvaardigd was, omdat het bedrijf eerst onderzoek moest doen voordat het het incident kon melden. Daarnaast vond de onderneming dat zij vanuit efficiency-oogpunt incidenten had mogen bundelen, ook al werd hierdoor de 72 uurs-termijn overschreden.

De rechter oordeelde echter dat het bedrijf de nodige steken had laten vallen en, ook na de eerste melding, onvoldoende voortvarend had gehandeld. Daarbij was van belang dat de onderneming niet had gehandeld conform haar eigen protocollen, waarin was opgenomen dat ieder vermoeden van een incident direct moest worden doorgezet naar het Security Team.

Pro-formamelding

De eerste les die uit deze uitspraak kan worden getrokken is dat het verstandig is om bij een mogelijk datalek binnen 72 uur in ieder geval een pro-formamelding bij de AP te doen. Daarmee kun je een boete vanwege een te late melding voorkomen.

Tip!

Vermeld in de pro-formamelding welke actie er al ondernomen is en dat het onderzoek nog loopt. Daarnaast is het van belang dat de eigen protocollen strikt worden nageleefd, zoals het opvolgen van de daarin genoemde escalatielijn. Als er van de eigen protocollen wordt afgeweken, kan dit ertoe leiden dat er niet adequaat is opgetreden en kan er een boete worden opgelegd.

Gerelateerde artikelen

Diensten

Diensten

Ben je ondernemer of wil je als particulier geholpen worden bij jouw financiële administratie?  Bij Kantoor Kersten helpen wij je graag. Van financiële administratie, fiscaal advies tot salarisadministratie. Op ons kun je rekenen! 
Contact

Contact

Heb jij vragen over jouw administratie of ben je nieuwsgierig wat wij voor jou kunnen betekenen? Neem dan contact met ons op. 
Andere optieregeling voor startups vanaf 2023

Andere optieregeling voor startups vanaf 2023

08-08-2022

Er komt waarschijnlijk toch een andere aandelenoptieregeling voor startups. Een eerder voorgestelde ingangsdatum van deze nieuwe regeling per 2022 was uitgesteld, maar de Tweede Kamer heeft een hiertoe strekkend wetsontwerp nu toch goedgekeurd.
Correctie bijtelling bij andere vakantieauto dan jouw zakelijke?

Correctie bijtelling bij andere vakantieauto dan jouw zakelijke?

18-07-2022

De vakantie komt eraan en talloze werknemers gebruiken daarvoor de auto van de zaak. Soms gebruiken ze voor de vakantie juist een andere auto. Wat zijn dan de gevolgen voor de bijtelling?
Nieuws

Nieuws

Op deze pagina houden wij je op de hoogte van het laatste financiële nieuws. Heb je vragen? Neem dan gerust contact met ons op. 
Ondernemer kan bedrijfsadres bij KvK afschermen bij dreiging

Ondernemer kan bedrijfsadres bij KvK afschermen bij dreiging

22-07-2022

Het kabinet wil bedrijven de mogelijkheid bieden het bezoekadres van het bedrijf af te schermen in het Handelsregister van de Kamer van Koophandel. Ook het privéadres van mensen die door hun beroep aan waarschijnlijke dreiging blootstaan, zou afgeschermd moeten kunnen worden. Om dit te bereiken, wordt de wet aangepast.