De website is gehackt, of een export van het contactformulier is naar het verkeerde adres gemaild, of een oud-medewerker blijkt nog maandenlang toegang te hebben gehad tot de bestellingen. De eerste zorg is de site weer op orde krijgen. De tweede zorg, die vaak pas later komt: moet ik dit ergens melden? En bij wie?

Voor veel ondernemers is een datalek melden na een incident op de website een grijs gebied. De regels zijn strenger dan de meesten denken, maar ook overzichtelijker. In dit artikel leggen wij uit wat volgens de AVG een datalek is, wanneer u het bij de Autoriteit Persoonsgegevens meldt, wanneer u ook uw klanten informeert, en wat u praktisch doet in de eerste 24 uur. Dit is algemene uitleg, geen juridisch advies; bij twijfel overlegt u met een jurist of de AP zelf.

Wat telt als een datalek

De AVG spreekt van een “inbreuk in verband met persoonsgegevens”. Dat is breder dan een hack. Het gaat om elke situatie waarin persoonsgegevens verloren gaan, worden gewijzigd of in handen komen van iemand die er niet bij mag. Persoonsgegevens zijn alle gegevens die naar een persoon te herleiden zijn: naam, e-mailadres, telefoonnummer, IP-adres, bestelgeschiedenis, een ingevuld contactformulier.

Bij een website komen wij in de praktijk deze situaties tegen:

  • Een hack waarbij de aanvaller toegang had tot de database met klantgegevens, formulierinzendingen of gebruikersaccounts.
  • Een verkeerd ingesteld formulier of plugin waardoor inzendingen openbaar te bekijken waren.
  • Een export van bestellingen of nieuwsbriefabonnees die naar het verkeerde adres is gestuurd of op een openbare plek is opgeslagen.
  • Een back-up die per ongeluk in een openbare map op de server staat.
  • Een oud-medewerker of ex-bureau dat nog kon inloggen en dat ook heeft gedaan.
  • Gijzelsoftware of een storing waardoor gegevens verloren zijn gegaan zonder back-up.

Belangrijk: een hack waarbij alleen de homepage is beklad en de aanvaller aantoonbaar niet bij persoonsgegevens kon, is niet automatisch een meldplichtig datalek. Maar dat moet u wel kunnen onderbouwen.

Wanneer u een datalek moet melden

De hoofdregel: u meldt een datalek bij de Autoriteit Persoonsgegevens binnen 72 uur nadat u het heeft ontdekt, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Die uitzondering is smaller dan hij klinkt. Een gelekte lijst met alleen voornamen levert weinig risico op. Een gelekte lijst met namen, e-mailadressen en bestelgegevens wel, want die is bruikbaar voor phishing.

De 72 uur beginnen bij ontdekking, niet bij het incident zelf. Ontdekt u op maandag dat een hack drie weken geleden plaatsvond, dan loopt de termijn vanaf maandag. Weet u binnen die tijd nog niet alles, dan meldt u wat u weet en vult u later aan. Dat mag uitdrukkelijk.

Levert het lek waarschijnlijk een hoog risico op voor de betrokkenen, dan moet u ook hen informeren. Denk aan gelekte wachtwoorden, financiële gegevens, medische gegevens of gegevens waarmee identiteitsfraude mogelijk is. Voor een zorgpraktijk, advocatenkantoor of webshop met betaalgegevens is die drempel snel bereikt.

En ongeacht of u meldt: elk datalek, ook een klein, hoort in uw eigen datalekregister. Dat is een simpel document met datum, wat er is gebeurd, welke gegevens, wat u heeft gedaan en waarom u wel of niet heeft gemeld.

Stappenplan voor de eerste 24 uur

  1. Stop het lek. Zet de site in onderhoudsmodus, wijzig alle wachtwoorden, trek de toegang van verdachte accounts in. Het herstellen van de website zelf heeft een eigen volgorde; die beschrijven wij in het artikel Website gehackt? Doe dit in de eerste 60 minuten.
  2. Bewaar bewijs. Maak een kopie van logbestanden en van de besmette site voordat u gaat schoonmaken. U heeft die nodig om vast te stellen wat er precies is gebeurd.
  3. Stel vast welke gegevens geraakt zijn. Welke tabellen, welke formulieren, welke periode, hoeveel mensen. Uw bureau of hostingpartij kan helpen met de logboeken. Wees eerlijk over wat u niet weet.
  4. Beoordeel het risico. Wat kan iemand met deze gegevens? Phishing, fraude, reputatieschade, discriminatie? Hoe gevoeliger de gegevens en hoe groter de groep, hoe eerder u meldt.
  5. Meld bij de AP als dat nodig is. Dat gaat via het meldloket op de website van de Autoriteit Persoonsgegevens, met een formulier dat u stap voor stap door de vragen leidt. Noteer het meldnummer.
  6. Informeer betrokkenen bij hoog risico. Kort, duidelijk, zonder jargon: wat er is gebeurd, welke gegevens, wat u heeft gedaan en wat zij zelf kunnen doen, zoals een wachtwoord wijzigen.
  7. Leg alles vast in het register en bewaar de correspondentie.

Wat uw webbureau hierin doet en niet doet

U bent als eigenaar van de website de verwerkingsverantwoordelijke. Uw webbureau of onderhoudspartij is meestal een verwerker. Een verwerker moet een datalek dat hij ontdekt onverwijld aan u melden, maar de melding bij de AP doet u zelf. Wat “onverwijld” precies inhoudt, hoort in de verwerkersovereenkomst te staan; in ons artikel over de verwerkersovereenkomst met uw webbureau leest u wat daarin geregeld moet zijn.

Verwacht van uw bureau dat het u kan vertellen wat er technisch is gebeurd, welke bestanden en tabellen geraakt zijn en welke logboeken beschikbaar zijn. Verwacht niet dat het bureau de juridische afweging voor u maakt. Bij WebMaintor leveren wij na een hackherstel een rapport met precies die technische feiten, zodat u of uw jurist de melding kan onderbouwen; dat is standaard onderdeel van hackherstel en beveiliging.

Een voorbeeld: het administratiekantoor uit Eindhoven

Een administratiekantoor in Eindhoven ontdekte dat het uploadformulier op hun website, bedoeld voor klanten om documenten aan te leveren, de bestanden opsloeg in een map die zonder inloggen bereikbaar was. Het ging om jaaropgaven en kopieën van identiteitsbewijzen, zes maanden lang. Niemand wist of iemand de map had gevonden, maar dat kon ook niet worden uitgesloten.

Het kantoor sloot de map af, meldde binnen twee dagen bij de AP en informeerde de 34 betrokken klanten per brief, met het advies alert te zijn op fraude met hun gegevens. Dat was geen prettig gesprek, maar het was wel het juiste. De les: het risico zat niet in een hack, maar in een instelling van een formulierplugin die niemand ooit had gecontroleerd.

Conclusie

Twijfelt u of iets een datalek is, ga er dan van uit dat het er een is en werk vanaf daar. Stel vast wat er is gelekt, beoordeel het risico eerlijk, meld binnen 72 uur als het risico niet verwaarloosbaar is, en leg alles vast. Het is beter om een melding te doen die achteraf niet nodig bleek, dan een lek te verzwijgen dat later toch bovenkomt.