Moet er in een datalekmededeling expliciet worden vermeld dat de toezichthouder is ingelicht?
Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Juridische vraag: Laatst heeft een bedrijf mijn gegevens gelekt en mij hierover geïnformeerd. Er werd echter niet vermeld of er ook melding bij de Autoriteit Persoonsgegevens was gedaan. Moet een bedrijf dit ook aan de gedupeerden van een datalek laten weten?
Antwoord: De AVG kent twee aparte regels voor het melden van datalekken. Allereerst is er de meldplicht bij de toezichthouder, in Nederland dus de Autoriteit Persoonsgegevens. Hier moet een datalek worden gemeld "tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt" (artikel 33 lid 1 AVG).
Wanneer een datalek "waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden", moet je ook de betrokkenen informeren (artikel 34 lid 1 AVG). Formeel heet dit overigens een "mededelingsplicht", melden doe je immers bij autoriteiten en particulieren deel je iets mede.
In de mededeling moet je in duidelijke en eenvoudige taal (dat is taalniveau B2, zeg maar de folder bij de apotheek) aangeven wat er is gebeurd, welke gegevens zijn gelekt, welke gevolgen dit kan hebben en welke maatregelen zijn genomen om die gevolgen te beperken. De mededeling hoeft dan weer niet als je direct na het lek de boel hebt gedicht én kunt aantonen dat er nul consequenties zullen zijn. Denk aan alle gelekte wachtwoorden resetten én in je logs nagaan dat er geen inlogpogingen zijn geweest tussen het lek en de reset.
De AVG zegt niet expliciet dat je in de mededeling moet melden dat er een melding aan de AP is gedaan. Juridisch gezien is het echter ondenkbaar dat je wél de betrokkenen zou informeren maar geen melding aan de AP zou doen. Het criterium van "waarschijnlijk hoog risico" is immers strenger dan "tenzij risico niet waarschijnlijk". Uit het feit dat je een mededeling hebt gehad, mag je dus concluderen dat er een melding is gedaan.
Het lijkt mij een triviale toevoeging en ik zou het dus ook altijd in de brief zetten, al is het maar als deel van die maatregelen die je hebt genomen en/of geruststellende uitleg dat het goed gaat komen.
Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Er kan immers van alles aan de hand zijn. Een zorro-day lek. Wat iedereen had kunnen overkomen. Een derde partij, zoals een klauwt-hoster. Of een balpentester. Die slordig zijn geweest. Maar een indiener van een claim zou ook verweten kunnen worden dat die zelf willens en wetens veel te veel onnodige privedata bij je neer heeft geplempt
Het blijft natuurlijk raadzaam om je aan de wet te houden. Maar de wet is geen binair systeem. Er zit altijd speling in en interpretatie. Het is daarom handig om niet te snel meer te doen dan de wet verlangt. Want uiteindelijk, als dat toch niet helemaal goed hebt gedaan, kan het misschien een piepkleine boete van de AP zijn, maar wel een grote schadeclaim. Waarbij je zelf al vrolijk schriftelijk hebt bevestigd dat je volledig aansprakelijk bent. En de indiener van de claim dat lucratieve buitenkansje niet wil laten lopen. Terwijl het misschien dezelfde is die op verjaardagen roept "ze weten toch alles al van me maar ik heb niks te verbergen". Maar dan tegen jou natuurlijk even niet!
Ik snap niet hoe je wel aansprakelijkheid aanvaard door te vermelden dat je een melding hebt gedaan bij de AP (en niet als je dit niet doet). Het feit dat je de brief stuurt dat er gegevens in jouw beheer zijn gelekt, betekent al dat er sprake is van aansprakelijkheid (als dataverantwoordelijk).
Ik snap niet hoe je wel aansprakelijkheid aanvaard door te vermelden dat je een melding hebt gedaan bij de AP (en niet als je dit niet doet). Het feit dat je de brief stuurt dat er gegevens in jouw beheer zijn gelekt, betekent al dat er sprake is van aansprakelijkheid (als dataverantwoordelijk).
Q.E.D.
Mocht je het datalek moeten melden aan de betrokkene(n) geef ze dan ook gerust het meldingsnummer van het AP.
Wees gewoon transparant.
Ik Het feit dat je de brief stuurt dat er gegevens in jouw beheer zijn gelekt, betekent al dat er sprake is van aansprakelijkheid (als dataverantwoordelijk).
Ik Het feit dat je de brief stuurt dat er gegevens in jouw beheer zijn gelekt, betekent al dat er sprake is van aansprakelijkheid (als dataverantwoordelijk).
Ik Het feit dat je de brief stuurt dat er gegevens in jouw beheer zijn gelekt, betekent al dat er sprake is van aansprakelijkheid (als dataverantwoordelijk).
Wanneer een hacker persoonsgegevens van klanten van een bank buitmaakt en deze op straat gooit, is dat de bank of de hacker aansprakelijk? Oftewel, kan een betrokkene dan wel de bank aansprakelijk stellen? Het is ten slotte de hacker die inbreuk doet en schade veroorzaakt.
Ik Het feit dat je de brief stuurt dat er gegevens in jouw beheer zijn gelekt, betekent al dat er sprake is van aansprakelijkheid (als dataverantwoordelijk).
Wanneer een hacker persoonsgegevens van klanten van een bank buitmaakt en deze op straat gooit, is dat de bank of de hacker aansprakelijk? Oftewel, kan een betrokkene dan wel de bank aansprakelijk stellen? Het is ten slotte de hacker die inbreuk doet en schade veroorzaakt.
In het geval van aansprakelijkheid zal eerst een causaal verband tussen de hack en de schade bewezen moeten worden. Door de gene die de claim legt. Er zal daarbij ook bewezen moeten worden dat de gehackte data niet anders dan van die bank afkomstig zijn geweest.
Daarna is het van belang dat aangetoond wordt dat de bank zijn gegevens "adequaat" heeft beschermd of bewezen nalatig is geweest. Dit alles is natuurlijk voor interpretatie vatbaar. Maar heeft enkel de rechtbank daar het laatste woord in.
In geval de bank jegens zijn klant aansprakelijkheid erkent, of door de rechter aansprakelijk wordt gesteld, dan moet de bank schade vergoeden. De bank kan dan later trachten de schade op de hacker te verhalen. De klant van de bank heeft in die zin niets met de hacker te maken. Mocht de hacker de data verkocht hebben, en computervredebreuk gepleegd hebben, dan kan het OM een strafrechtelijke vervolging instellen tegen de hacker (steler) en de koper (heler).
In het geval van gestolen prive data van mobieltjes wordt zowel door de mobieltjesboeren (steler) als door de grote firma's en overheden die die data massaal kopen (helers) getracht om dat met overeenkomsten, c.q. user conditions, af te dekken. Formeel is het echter onmogelijk om strafbare feiten per overeenkomst niet strafbaar te maken. Die blijven net zo strafbaar, al heb je honderd keer op OK geklikt.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.