Waarom is er in de AVG geen termijn voor het informeren van slachtoffers van een datalek opgenomen?
Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Juridische vraag: De laatste tijd zijn er verschillende datalekken in het nieuws gekomen waarbij gedupeerden pas weken later werden gewaarschuwd. Ik weet dat in de AVG een meldplicht binnen 72 uur bij de AP geldt voor organisaties, maar waarom is er niet ook zo'n harde deadline voor getroffen personen?
Antwoord: De AVG eist (artikel 33) dat datalekken "zonder onredelijke vertraging" worden gemeld bij de toezichthouder. Om te voorkomen dat mensen te lang dralen, staat er ook een harde deadline van uiterlijk 72 uur na ontdekking bij. Maar wie dan nog niet alles weet, mag een gedeeltelijke melding maken.
De rationele achter deze harde deadline is dat de toezichthouder zo vanaf het begin mee kan kijken en waar nodig aanwijzingen kan geven. Door dat vroeg in het proces te doen, is er nog ruimte voor sturing, kan bewijs nog worden gevorderd enzovoorts.
Naast deze meldplicht bestaat er ook een mededelingsplicht aan getroffen betrokkenen (artikel 34). Deze mededeling moet 'onverwijld' gebeuren, maar hier staat geen hard getal bij. De reden om ook dit zo snel mogelijk te laten gebeuren is natuurlijk dat je dan maatregelen kunt nemen zoals je wachtwoorden wijzigen.
Bij deze mededelingsplicht is geen harde termijn genoemd. De AVG geeft daar geen expliciete reden voor. Vermoedelijk is de gedachte geweest dat betrokkenen weinig hebben aan halve informatie, en dat je in die eerste 72 uur vaak nog bezig bent met dingen oplossen. Het is dan denkbaar dat even wachten beter is.
Het is echter niet zo dat je, omdat er geen hard getal staat, je mag wachten tot je een keer zin hebt om te melden. 'Onverwijld' is hoe dan ook zo snel mogelijk, en als het weken duurt dan kan de toezichthouder je daar echt voor op de vingers tikken. Lid 4 biedt zelfs expliciet de optie om je te sommeren per direct iedereen te informeren.
Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.
Als je de beheerder van een gelekte dataset bent, dan kun je natuurlijk op één vinger al natellen dat het feit dat er gelekt is, dus ook wel zal lekken. Normale reflex is dan "fuk, al mijn klanten lopen weg".
Dus dan kun je beter heel die AP eerst links laten liggen en zo snel mogelijk de gelekten informeren. Zodat je zelf de primeur houdt op je slechte nieuws en niet de krant. Dan hou je toch nog aardig wat klanten aan boord die het in elk geval correct vonden dat je ze gelijk in kennis hebt gesteld. Daarna zou ik me pas foscussen op de stempeldoos van Aleid, en kijken of er boetes te voorkomen zijn. Dat je eerst aan de slachtoffers denkt zou wat mij betreft dan al een strafverminderende werking moeten hebben.
Wat al die boetes betreft heb ik ook nog een vraag. Wat gebeurt er eigenlijk met die poen? Naar de algemene middelen om algemene politici te beschermen?
Ja je eerstelijns zal drukker zijn met mensen die niet het hele bericht lezen en je zult vast ook reeks opzeggingen binnen krijgen maar gros zal gewoon geduldig wachten. Nu helaas komt het vaker voor dat enig lek vernomen moet worden vanuit de krant voor de mail gelezen is.
Als je de beheerder van een gelekte dataset bent, dan kun je natuurlijk op één vinger al natellen dat het feit dat er gelekt is, dus ook wel zal lekken. Normale reflex is dan "fuk, al mijn klanten lopen weg".
Dus dan kun je beter heel die AP eerst links laten liggen en zo snel mogelijk de gelekten informeren. Zodat je zelf de primeur houdt op je slechte nieuws en niet de krant. Dan hou je toch nog aardig wat klanten aan boord die het in elk geval correct vonden dat je ze gelijk in kennis hebt gesteld. Daarna zou ik me pas foscussen op de stempeldoos van Aleid, en kijken of er boetes te voorkomen zijn. Dat je eerst aan de slachtoffers denkt zou wat mij betreft dan al een strafverminderende werking moeten hebben.
Wat al die boetes betreft heb ik ook nog een vraag. Wat gebeurt er eigenlijk met die poen? Naar de algemene middellen om algemene politici te beschermen?
De AP is toezichthouder op de AVG. Zeker niet de wetgever. Als je niet begrijpt hoe het werk lees je dan eerst in ;-)
Je zal eerst goed moeten inventariseren, wat er gelekt is en van wie exact.
1: dat er een eerste lijn is.
2: dat de gros zal wachten.
3: je geen idee hebt, wie je exact moet informeren.
4: je de klacht krijgt, waarom weten jullie nog niets. Wat net zo erg is.
Je gaat er nog vanuit dat iedereen ook de mailadressen heeft van deze personen, dat is dus ook weer een aanname. En even 20.000 brieven versturen die je ook niet snel. PostNL bezorgd bijvoorbeeld ook steeds minder vaak, en de bruna ziet je al aankomen met 20.000 brieven.
Blijft mooi om te zien, dat vele hier alleen vanuit de techniek denken, maar niet vanuit enige gebruikers ervaring of impact hiervan.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?