Envelop adviseur kwijt, is dat datalek?

Eerst, wat is een datalek? Bij een datalek gaat het om toegang tot, vernietiging, wijziging of het vrijkomen van persoonsgegevens van uw bedrijf, zonder dat u dat heeft bedoeld. Een datalek moet in sommige gevallen gemeld worden aan de Autoriteit Persoonsgegevens (AP) en eventueel aan de betrokken persoon of personen.

De AVG en datalek. De AVG is van toepassing op geautomatiseerde of handmatige verwerkingen die bedoeld zijn om op te slaan in een bestand. Strikt genomen is de AVG dus niet van toepassing op een geprinte lijst met klantgegevens, maar daar denkt niet iedereen hetzelfde over. Let op. Verliest u dezelfde lijst digitaal? Dan is dat wél een datalek. Denk aan een gestolen laptop, verloren usb-stick of mobiel en een hack.

Wat te doen? Een datalek moet u beoordelen naar de aard van het lek (bijzondere/reguliere gegevens), omvang en de (mogelijke) gevolgen ervan. Er geldt geen meldplicht aan de AP of betrokkene(n) als het datalek waarschijnlijk geen hoog risico kent. Het kan echter wel zijn dat u een datalek wel moet melden aan de AP en niet aan de betrokkene(n).

1. Bepaal of er sprake is van een datalek. Tip. Gebruik de toelichting op de site van de AP ( https://bit.ly/2siSBAM ).
2. Bepaal of u het datalek moet melden aan de AP en aan de betrokkene(n). Melden doet u bij het meldloket datalekken ( https://bit.ly/1IQJGvm ) en eventueel rechtstreeks aan de betrokkene(n).
3. Leg het (mogelijke) datalek vast in een register (feiten, gevolgen en maatregelen).

Moet u alles melden? Het onterecht niet melden van een datalek kan leiden tot fikse boetes. Het is echter niet nodig om ieder voorval te melden. Vooral bij de kleinere ondernemingen waar de omvang van het lek niet groot is. Tip. Het is daarom verstandig om ieder (mogelijk) datalek vast te leggen in een register en daarbij, aan de hand van de richtsnoeren van de AP, schriftelijk vast te leggen waarom er besloten is om al dan niet te melden. Overleg dit register bij een evt. controle van de AP.