Datalek niet tijdig melden is dubbele fout
Het kan iedereen gebeuren, al is het natuurlijk niet fraai: data lekken. Maar áls het gebeurt, is het belangrijk om het datalek binnen 72 uur te melden bij Autoriteit Persoonsgegevens (AP). Als een organisatie verzuimt dat te doen, is dat fout op fout. Het kwam een afdeling van een politieke partij op een forse boete te staan.
Iedere keer als een geval van datalekken in de media komt, valt op hoe klungelig de gebeurtenis op zich is. Meestal gaat het om een vergeten datadrager, zoals een usb-stick, een laptop die iemand ergens heeft laten liggen of complete dossiers die per abuis bij het grofvuil worden gezet in plaats van opgehaald door een gespecialiseerd archiefvernietigingsbedrijf. Ook in dit geval is de aanleiding onoplettendheid. Een medewerker van de Overijsselse afdeling van de PVV stuurde een uitnodiging voor een evenement naar 101 geadresseerden, en vermeldde daarbij alle genodigden in de aanhef. Het gevolg: de e-mailadressen waren zichtbaar voor álle ontvangers.
Privacygevoelige informatie gedeeld
Omdat ontvangers van de e-mail kunnen zien wie de andere geadresseerden zijn, wordt daardoor privacygevoelige informatie (tools) gedeeld. Volgens de AP is direct te zien, of eenvoudig te herleiden, wat de identiteit van de andere ontvangers is. Bovendien heeft de afzender hiermee de politieke opvattingen van alle genodigden gedeeld; de mail was namelijk gericht aan ‘vrienden van de PVV’. De politieke opvatting van een persoon is in de Algemene verordening gegevensbescherming (AVG) (tools) een bijzonder persoonsgegeven en is extra beschermd. Iemands politieke kleur kan namelijk gevoelig liggen, negatieve gevolgen hebben voor iemands carrière en zelfs aanleiding zijn voor discriminatie.
Meldplicht voor ernstige datalekken
Als er sprake is van een ernstig datalek geldt een meldplicht. Dit betekent dat organisaties zo snel mogelijk, maar uiterlijk binnen 72 uur melding moeten maken van het lek bij de AP. Hoe eerder dit gebeurt, hoe beter. Als criminelen bijvoorbeeld de hand weten te leggen op gevoelige persoonsgegevens, kunnen veel mensen daardoor gedupeerd raken. Ook de veroorzaker van het lek kan schade oplopen, bijvoorbeeld imagoschade (tool) doordat een getroffenen naar de media stapt, of omdat de organisatie kwetsbaarder is voor chantage. In bovenstaand geval kwam het lek aan het licht doordat een van de ontvangers van de e-mail een klacht indiende bij de AP wegens schending van zijn privacy.