AVG lek melden: zo doe je het stap voor stap

Een datalek melden onder de AVG doe je binnen 72 uur nadat je het lek hebt ontdekt, via het meldloket van de Autoriteit Persoonsgegevens (AP). Die termijn is hard: te laat melden kan leiden tot een boete. Hieronder lees je precies hoe de melding werkt, wat je moet vermelden en wanneer je ook betrokkenen moet informeren.

Wanneer ben je verplicht een AVG-lek te melden?

Niet elk beveiligingsincident is een meldplichtig datalek. Van een datalek is sprake als er persoonsgegevens verloren zijn gegaan, onbedoeld zijn gewijzigd, of zijn ingezien door iemand die daar geen toestemming voor had. Denk aan een gestolen laptop met klantgegevens, een verkeerd verzonden e-mail met persoonlijke informatie of een gehackte database.

Je bent verplicht het lek te melden aan de AP als het lek een risico oplevert voor de rechten en vrijheden van de betrokkenen. Is er geen enkel risico? Dan hoef je het niet te melden, maar je moet het incident wel intern registreren. Twijfel je? Meld dan toch. De AP beoordeelt zelf of de melding terecht was.

De 72-uurtermijn: hoe telt die?

De klok begint te lopen op het moment dat je als organisatie “kennisneemt” van het lek. Dat betekent: zodra iemand binnen je organisatie weet dat er een lek is, of redelijkerwijs had moeten weten. Je hoeft niet eerst volledig onderzoek te doen. Melden mag ook als je nog niet alle details kent. Je kunt de melding daarna aanvullen.

72 uur is dus drie volle dagen, inclusief weekends en feestdagen. Ontdek je een lek op vrijdagavond, dan moet de melding uiterlijk maandagavond binnen zijn. Houd daar rekening mee bij je crisisplan.

Zo meld je een AVG-lek bij de AP

Je meldt het datalek via het online meldloket op de website van de Autoriteit Persoonsgegevens. Je hebt daarvoor een account nodig. Heb je die nog niet, maak die dan alvast aan, want dat kost tijd.

In de melding geef je in elk geval de volgende informatie op:

• De aard van het datalek: wat is er precies gebeurd?
• Welke categorieën persoonsgegevens zijn getroffen (bijv. namen, BSN-nummers, medische gegevens)?
• Hoeveel personen zijn er (bij benadering) bij betrokken?
• Wat zijn de vermoedelijke gevolgen van het lek?
• Welke maatregelen heb je al genomen of ga je nemen?
• De contactgegevens van je Functionaris voor Gegevensbescherming (FG), als je die hebt.

Weet je nog niet alles? Geef dan aan wat je wel weet en vul de melding later aan. De AP accepteert gefaseerde meldingen, zolang je maar binnen de termijn begint.

Moet je ook de betrokkenen informeren?

Soms ben je verplicht om ook de mensen te informeren van wie de gegevens zijn gelekt. Dat geldt als het lek waarschijnlijk een hoog risico oplevert voor die personen. Denk aan lekken waarbij wachtwoorden, financiële gegevens of bijzondere persoonsgegevens (zoals medische informatie) op straat liggen.

Die melding aan betrokkenen doe je zo snel mogelijk, in duidelijke en begrijpelijke taal. Je vertelt wat er is gebeurd, welke gegevens het betreft en wat zij zelf kunnen doen om schade te beperken. Denk aan het wijzigen van een wachtwoord of het monitoren van hun bankrekening.

Je hoeft betrokkenen niet te informeren als je technische maatregelen had getroffen waardoor de gegevens onleesbaar zijn voor onbevoegden, bijvoorbeeld door sterke versleuteling. Of als de kans op schade verwaarloosbaar is.

Intern registreren: ook als je niet meldt

Zelfs als een datalek niet meldingsplichtig is, moet je het intern documenteren. In je datalekregister leg je vast wat er is gebeurd, waarom je besloten hebt het niet te melden en welke maatregelen je hebt genomen. De AP kan dit register opvragen bij een controle. Een goed bijgehouden register laat zien dat je als organisatie in control bent.

Zorg dat je modelformulier of registratiesysteem klaarstaat voordat er een incident is. Improviseren onder tijdsdruk vergroot de kans op fouten in de melding.

Een AVG-lek melden klinkt ingewikkeld, maar het proces is overzichtelijk als je weet waar je op moet letten. De grootste valkuil is wachten tot je alles weet: begin de melding op tijd en vul aan waar nodig. De 72 uur gaan sneller dan je denkt.