Welke stappen doorloop je in de eerste 72 uur nadat je een datalek ontdekt?

Een laptop verdwijnt uit een auto, een mailing gaat naar de verkeerde lijst, een medewerker klikt op een link die er echt uitzag. Vanaf het moment dat je het ontdekt, loopt er een klok: melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking. Dit stappenplan brengt je van de eerste melding naar een afgerond dossier.

Wanneer de klok begint te lopen

De termijn van 72 uur start op het moment van ontdekking, niet op het moment dat het lek is ontstaan en ook niet op het moment dat je onderzoek af is. Ontdekking betekent: iemand binnen jouw organisatie weet met redelijke zekerheid dat er persoonsgegevens verloren zijn gegaan of bij iemand terecht zijn gekomen die er niet bij hoort.

Die klok telt door in het weekend en in de vakantie. Een lek dat vrijdagmiddag om vier uur wordt ontdekt, moet uiterlijk maandagmiddag om vier uur zijn gemeld. Dat is precies waarom je de eerste stappen wilt vastleggen voordat er iets gebeurt, en niet terwijl het gebeurt.

Melden hoeft niet als het onwaarschijnlijk is dat het lek een risico voor betrokkenen oplevert. Registreren moet altijd. Elk datalek gaat in je interne datalekregister, ook de kleine, ook de gemelde en de niet gemelde.

Uur 0 tot 4: vaststellen en beperken

De eerste uren gaan niet over juridische beoordeling maar over schadebeperking. Wie meteen begint met de vraag of het gemeld moet worden, verliest tijd die je nodig hebt om het lek te dichten.

1. Noteer datum en tijdstip van de ontdekking en de naam van degene die het meldde. Dat tijdstip is het beginpunt van je hele dossier.
2. Stop de blootstelling: trek de toegang in, blokkeer het account, haal het bestand offline of neem contact op met de ontvanger van de verkeerde e-mail.
3. Bewaar het bewijs: schermafdrukken, logregels, de verzonden mailing. Verwijder niets voordat het is vastgelegd.
4. Wijs een verantwoordelijke aan die de rest van de 72 uur bewaakt, met een plaatsvervanger.

Zeg intern hoe je gemeld wilt worden

Datalekken worden vaak te laat ontdekt omdat medewerkers niet weten waar ze het moeten melden of bang zijn dat het gedoe geeft. Zorg voor een adres of een knop en een expliciete afspraak: een vermoeden melden is altijd goed, ook als het achteraf niets blijkt te zijn. De teller loopt vanaf het moment dat de organisatie het weet, niet vanaf het moment dat de directie het weet.

Uur 4 tot 24: vaststellen wat er precies weg is

Nu komt de vraag die je alleen snel kunt beantwoorden als je administratie op orde is: welke gegevens zaten erin, van hoeveel mensen, en welke categorieen betrof het? Precies daarvoor bestaat je verwerkingsregister. Wie het systeem terugvindt in zijn register, ziet meteen om welke betrokkenen het gaat en welke bewaartermijn erop zit.

Beantwoord in deze fase vier vragen en schrijf de antwoorden op:

• Aard van het lek: verlies, onbevoegde inzage, wijziging of vernietiging van gegevens.
• Categorieen gegevens: namen en adressen, financiele gegevens, inloggegevens, of bijzondere persoonsgegevens zoals gezondheidsgegevens uit artikel 9 AVG.
• Omvang: hoeveel betrokkenen en hoeveel records, bij benadering en met vermelding dat het een schatting is.
• Mogelijke gevolgen: identiteitsfraude, financiele schade, reputatieschade of blootstelling van gevoelige informatie.

Ligt je register niet klaar, dan kost deze stap de meeste tijd van de hele week. De gids over het opstellen van een verwerkingsregister in vijf stappen laat zien hoe je die basis in een dagdeel legt.

Uur 24 tot 48: beoordelen of je moet melden

De beoordeling draait om risico voor de rechten en vrijheden van betrokkenen. Dat is geen exacte wetenschap, dus leg vooral vast hoe je tot je oordeel komt. Een goed onderbouwd besluit om niet te melden is verdedigbaar; een besluit zonder motivering niet.

Aanwijzingen die de weging in de ene of de andere richting duwen

Wijst op laag risico	Wijst op verhoogd risico
Gegevens waren versleuteld en de sleutel is veilig	Gegevens stonden onversleuteld en leesbaar
Alleen zakelijke contactgegevens	Bijzondere persoonsgegevens of inloggegevens
Ontvanger is bekend en heeft bevestigd te hebben gewist	Ontvanger is onbekend of de gegevens staan online
Klein aantal betrokkenen, geen gevoelige inhoud	Grote groep of kwetsbare betrokkenen

Kom je uit op verhoogd risico, dan meld je bij de Autoriteit Persoonsgegevens. Twijfel je, dan meld je ook. Een melding kun je later aanvullen of intrekken; een gemiste termijn kun je niet terugdraaien.

Wat er in de melding staat

Een melding beschrijft de aard van het lek, de categorieen en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen en de maatregelen die je hebt genomen of voorstelt. Weet je nog niet alles, meld dan met wat je hebt en geef aan dat je in fasen aanvult. Wachten tot het beeld compleet is, is bijna altijd de verkeerde keuze.

Uur 48 tot 72: melden en betrokkenen informeren

Doe de melding en bewaar de bevestiging in hetzelfde dossier als de rest. Levert het lek waarschijnlijk een hoog risico op voor de betrokkenen, dan informeer je die mensen ook zelf, in gewone taal en zonder juridische mist.

Schrijf zo'n bericht alsof je het aan een familielid stuurt. Wat is er gebeurd, welke gegevens van hen zitten erin, wat hebben zij daar mogelijk van te vrezen, wat doe jij eraan en wat kunnen zij zelf doen. Zet er een contactpunt bij, want de vragen komen toch.

Reken erop dat een melding aan betrokkenen verzoeken oproept. Inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar zijn rechten die je binnen een maand moet beantwoorden, met een verlenging van maximaal twee maanden. Houd die verzoeken bij in hetzelfde dossier zodat je de termijnen niet uit het oog verliest.

Na 72 uur: registreren, herstellen en leren

De klok stopt, het dossier niet. Elk datalek moet intern worden geregistreerd, inclusief de feiten, de gevolgen en de genomen maatregelen. Dat register is jouw bewijs dat je incidenten serieus neemt, en het is het eerste dat een toezichthouder opvraagt als er een tweede lek volgt.

• Rond de technische herstelmaatregelen af en leg vast wanneer dat is gebeurd.
• Werk de betrokken registerregel bij als het lek een structureel gebrek blootlegde.
• Controleer of een verwerker betrokken was en of de afspraken uit de verwerkersovereenkomst volgens artikel 28 AVG zijn nagekomen.
• Evalueer binnen twee weken met de betrokken collega's wat sneller had gekund.

Veel incidenten leggen dezelfde zwakke plek bloot: een register dat niet actueel is, waardoor niemand weet welke gegevens waar staan. Het overzicht van de fouten die een ingevuld register waardeloos maken helpt om die plek voor te zijn.

Oefen het een keer voordat het echt gebeurt

Een half uur is genoeg. Kies een scenario, bijvoorbeeld een verzonden mailing met zichtbare adressen, en loop de stappen door met de mensen die het zouden moeten doen. Je ontdekt binnen tien minuten waar de knelpunten zitten: wie belt de leverancier, wie beslist over melden, wie schrijft de tekst aan betrokkenen. Voor praktijken met gevoelige dossiers is die oefening extra nuttig; hoe zo'n omgeving haar registratie inricht, laat het voorbeeld over gezondheidsgegevens in het register van een fysiotherapiepraktijk zien.

Waarom een tijdlijn het verschil maakt

Bij een datalek word je achteraf beoordeeld op twee dingen: wat je wist en wanneer je het wist. Losse e-mails en een groepsapp maken dat achteraf niet reconstrueerbaar. Een dossier met een tijdlijn vanaf het moment van ontdekking wel.

In het datalekregister van AVG Register Pro krijgt elk incident zo'n tijdlijn, gekoppeld aan de registerregels waar de gegevens in staan, met de genomen maatregelen en het meldbesluit erbij. Waarom die koppeling tussen register en incident het uitgangspunt van deze software is, licht de auteur van deze site toe op zijn eigen pagina.

Conclusie: bereid de eerste dag voor, dan valt de rest mee

De eerste 72 uur na een datalek zijn geen juridische puzzel maar een logistieke: vaststellen, beperken, uitzoeken wat er weg is, beoordelen, melden en registreren. Wie die volgorde op papier heeft en een actueel verwerkingsregister heeft liggen, doorloopt hem in een paar uur in plaats van in een paar dagen.

AVG Register Pro combineert het verwerkingsregister en het datalekregister in een omgeving, zodat je bij een incident meteen ziet welke gegevens erin zaten en welke leverancier erbij hoort. Wil je zien hoe dat werkt voor jouw organisatie, vraag dan een demo aan via het contactformulier en beschrijf kort hoe je incidenten nu vastlegt.