ISOR:Meldplicht Datalekken: verschil tussen versies

Versie van 19 jun 2020 06:37

Privacyprincipe
ID:	PRIV_C.03
Versie:	3.3
Status:	Actueel
Publicatiedatum:	16-10-2017
Redactionele wijzigingsdatum:	26-7-2021
Indeling
Beveiligingsaspect:	Control
Invalshoek:	Onbekend

Verwante principes

→ Privacy Control: het control- of beheerdomein

→ de Privacy Baseline

→ Alle Normenkaders

→ Alle Privacyprincipes

→ Alle Normen

→ Beveiligingsaspecten

→ Invalshoeken

→ ISOR

Het bieden van inzicht in een datalek en de mogelijke gevolgen ervan, kan mogelijk (negatieve) consequenties voor de betrokkenen beperken. Een datalek is een "inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens^{AVG Art. 4}.

NB: De Engelse tekst spreekt hier van "personal data breach".

De meldplicht datalekken wordt behandeld in AVG Art. 33 en 34. Zie ook AVG overweging 85. In de UAVG is niets over de meldplicht opgenomen, anders dan het uitsluiten van financiële ondernemingen als bedoeld in de Wet op het financieel toezicht (UAVG Art. 42).

Criterium

De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de Autoriteit Persoonsgegevens, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.

Doelstelling

Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen.

Risico

Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen.

Indeling binnen ISOR

Dit privacyprincipe:

is gericht op Beveiligingsaspect Control
valt binnen de IFGS-indeling IFGS Onbekend

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is AVG (Algemene Verordening Gegevensbescherming) Art. 33; 34UAVG (Uitvoeringswet AVG) Art. 41; 42

Onderliggende normen

@@ Regel 1: / Regel 1: @@
 {{#Element:
+|Elementtype=Privacyprincipe
 |ID=PRIV_C.03
 |Titel=Meldplicht Datalekken
-|Elementtype=Privacyprincipe
+|Kent element met zelfde titel=Nee
-|Versieaanduiding=3.1
+|Versieaanduiding=3.3
 |Gebruik in Nederlandse publieke sector=In gebruik
 |Status actualiteit=Actueel
 |Practice=CIP
-|Redactionele wijzigingsdatum=2017/10/16
-|Publicatiedatum=16-10-2017
+|Redactionele wijzigingsdatum=2020/06/19
-|Beschrijving=Het bieden van inzicht in een datalek en de mogelijke gevolgen ervan, kan mogelijk (negatieve) consequenties voor de betrokkenen beperken. Een datalek is een "inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.
+|Publicatiedatum=2017/10/16
-|Heeft bron=de Privacy Baseline
+|Beveiligingsaspect=Control
-|Criterium=De verwerkingsverantwoordelijke ''meldt een datalek'' binnen de daaraan ''gestelde termijn'' aan de ''AP'', ''documenteert de inbreuk'', en informeert de betrokkene, tenzij hiervoor een ''uitzondering'' geldt.
+|Invalshoek=Onbekend
+|Conformiteitsindicator=meldt een datalek, gestelde termijn, documenteert de inbreuk, uitzondering
+|Beschrijving=Het bieden van inzicht in een datalek en de mogelijke gevolgen ervan, kan mogelijk (negatieve) consequenties voor de betrokkenen beperken. Een datalek is een "inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens{{Noot|AVG|Art. 4}}.
+<br><br>''NB: De Engelse tekst spreekt hier van "personal data breach".<br><br>De meldplicht datalekken wordt behandeld in AVG Art. 33 en 34. Zie ook AVG overweging 85. In de UAVG is niets over de meldplicht opgenomen, anders dan het uitsluiten van financiële ondernemingen als bedoeld in de Wet op het financieel toezicht (UAVG Art. 42).''
+|Criterium=De verwerkingsverantwoordelijke ''meldt een datalek'' binnen de daaraan ''gestelde termijn'' aan de Autoriteit Persoonsgegevens, ''documenteert de inbreuk'', en informeert de betrokkene, tenzij hiervoor een ''uitzondering'' geldt.
 |Doelstelling=Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen.
-|Risico=Negatieve consequenties die persoonlijke levenssfeer van de betrokkene treffen.
+|Risico=Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen.
-|Beveiligingsaspect=Control
-|Is uitwerking van=Algemene verordening gegevensbescherming (AVG), Uitvoeringswet AVG
+|Is uitwerking van=AVG Art. 33 en 34 en UAVG Art. 41 en 42
-|Is uitwerking van (specificatie)=Avg Art. 33; 34,
+|Is uitwerking van (specificatie)=
-Uitvoeringswet Avg
-|Conformiteitsindicator=meldt een datalek,
+|Voetnoten=Nee
-gestelde termijn,
-documenteert de inbreuk,
-uitzondering
-|Heeft ouder=ISOR:Privacy Control
 |Valt in normenkader=de Privacy Baseline
+|Heeft bron=de Privacy Baseline
 }}
-&nbsp;