Na ontdekking van een datalek kan voor een Nederlands bedrijf een termijn van 72 uur gaan lopen. Dat geldt als het lek waarschijnlijk risico oplevert voor rechten en vrijheden van mensen. Bij een waarschijnlijk hoog risico moeten betrokkenen mogelijk bericht krijgen. Elk lek moet intern worden vastgelegd, ook zonder externe melding.
Waarom dit belangrijk is
De eerste uren kosten werktijd en kunnen facturen vertragen. Het management heeft toegangslogs, leverancierscontacten, contracten en een incidentdossier nodig. Een volledig onderzoek past soms niet binnen de meldtermijn. Ontbrekende informatie mag later volgen als de vertraging wordt toegelicht. Een IT-leverancier kan accounts blokkeren of logs ophalen. De juridische afweging en communicatie met klanten blijven bij het bedrijf.
Voorbeeld
Een salarisbestand gaat naar de verkeerde klant. Het bevat namen, adressen en bankgegevens. Het bedrijf stelt vast wie het bestand ontving en vraagt om veilige verwijdering. Ook bewaart het de e-mailgegevens en controleert het of het bestand is geopend of gedeeld. Het management legt de mogelijke schade, genomen maatregelen en het meldbesluit vast. Bij verwerking voor een klant volgt het bedrijf zonder onnodige vertraging de escalatieafspraken uit het contract.
XTROVERSO tips
- Wijs een incidentverantwoordelijke aan. Geef één persoon bevoegdheid voor feiten, leveranciers, klantcontact en het incidentdossier. Regel vervanging bij afwezigheid.
- Bewaar het bewijs. Bewaar e-mails, toegangslogs, accountgegevens en berichten van leveranciers. Stel dit veilig voordat accounts worden hersteld of bestanden verwijderd.
- Breng gegevens en rollen in kaart. Leg vast om wiens gegevens het gaat, waar ze staan en waarom ze worden verwerkt. Bepaal of je verwerkingsverantwoordelijke of verwerker bent.
- Controleer contracten en contactgegevens. Bekijk afspraken met klanten, salarisverwerkers, cloudleveranciers en IT-partijen. Noteer kortere meldtermijnen en houd contactgegevens actueel.
- Houd de besluiten apart. Beoordeel de melding aan de toezichthouder en het informeren van betrokkenen apart. Leg bij beide besluiten de feiten en afweging vast.
- Stel grenzen aan dagelijks AI-gebruik. Maak duidelijke afspraken over persoonsgegevens in AI-software. Controleer de voorwaarden van de leverancier en instellingen van zakelijke accounts.
Laten we een incidentproces maken dat medewerkers direct kunnen gebruiken
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel in dit artikel te vormen. AI is alleen gebruikt als hulpmiddel bij het opstellen. De definitieve Nederlandse tekst is persoonlijk nagekeken, geredigeerd en goedgekeurd door Paolo Maria Pavan voor publicatie.
