Melding datalek aan betrokkene

Deze Melding datalek aan betrokkene kan gebruikt worden door een verwerkingsverantwoordelijke, om een betrokken persoon op de hoogte te brengen van een datalek. De verwerkingsverantwoordelijke is een natuurlijk persoon, rechtspersoon, overheidsinstantie, of een ander orgaan dat persoonsgegevens voor een bepaald doel verwerkt. Een betrokken persoon is een persoon van wie de persoonsgegevens gelekt zijn.

Verwerking van persoonsgegevens is iedere soort handeling (bv. verzamelen, opslaan, analyseren) met gegevens die een bepaald persoon kunnen identificeren. Een persoon kan direct geïdentificeerd worden indien bijvoorbeeld de naam wordt verwerkt, maar een persoon kan ook indirect geïdentificeerd worden, door bijvoorbeeld een telefoonnummer te verwerken.

Datalek

Er is sprake van een datalek wanneer door een beveiligingsincident persoonsgegevens ongewenst gewist, verloren, gewijzigd, aan anderen verstrekt of doorgezonden worden of dat personen toegang hebben tot de persoonsgegevens, terwijl zij dit niet behoren te hebben. Dit wordt ook wel een inbreuk in verband met persoonsgegevens genoemd.

Een datalek kan bijvoorbeeld plaatsvinden door een cyberaanval op het systeem waar persoonsgegevens verwerkt worden, of door een gestolen USB-stick die niet versleuteld is en waarop persoonsgegevens opgeslagen staan.

Melding aan de Autoriteit Persoonsgegevens

In sommige gevallen moet een datalek door de verwerkingsverantwoordelijke gemeld worden aan de Autoriteit Persoonsgegevens. Of een datalek gemeld moet worden, hangt af van het risico op schade. Dit moet door de verwerkingsverantwoordelijke ingeschat worden. Voor een lijst met voorbeelden van gevallen waarin een datalek gemeld moet worden aan de Autoriteit Persoonsgegevens kan de website van de Autoriteit Persoonsgegevens geraadpleegd worden.

Het melden van een datalek kan via het meldformulier voor datalekken.

Melding aan de betrokkene(n)

In het geval dat de rechten en vrijheden van een betrokken persoon, van wie de persoonsgegevens gelekt zijn, een hoog risico lopen door het datalek, dient de verwerkingsverantwoordelijke ook melding te doen van het datalek aan de betrokkene. Van een hoog risico is sprake indien het datalek kan leiden tot lichamelijke, materiële of immateriële schade voor de betrokken personen. Voorbeelden hiervan zijn te vinden op de website van de Autoriteit Persoonsgegevens.

Indien er geen hoog risico is voor de betrokken personen, hoeven deze niet ingelicht te worden over het datalek. De Autoriteit Persoonsgegevens kan in dat geval alsnog ingelicht moeten worden.

Hoe dit document te gebruiken

Indien een betrokkene wordt ingelicht over een datalek dient de melding, in eenvoudige taal, het volgende te bevatten:

• de aard van de inbreuk (wat voor soort datalek heeft plaatsgevonden);
• de naam en contactgegevens van een contactpersoon, bij wie meer informatie verkregen kan worden met betrekking tot het datalek;
• de waarschijnlijke gevolgen van het datalek voor de betrokkene;
• de maatregelen die de betrokkene kan nemen om de nadelige gevolgen van het datalek te beperken.

De brief dient te worden ondertekend en verstuurd aan de betrokkene, waarbij een verzendwijze met ontvangstbewijs is aan te raden om zeker te zijn dat de betrokkene de melding heeft ontvangen.

Toepasselijk recht

• Verordening (EU) 2016/679 van het Europees Parlement en de Raad (algemene verordening gegevensbescherming)
• Uitvoeringswet Algemene verordening gegevensbescherming

Het model bewerken

U vult een formulier in. Het document wordt naargelang uw antwoorden per sectie opgemaakt.

Aan het einde ontvangt u het in de formaten Word en PDF. U kunt het bewerken en het opnieuw gebruiken.