Meldplicht Datalekken
ISOR:Meldplicht Datalekken
Naar navigatie springen
Naar zoeken springen
Verwante principes | ||||||||||||||||||
Het bieden van inzicht in een datalek en de mogelijke gevolgen ervan, kan mogelijk (negatieve) consequenties voor de betrokkenen beperken. Een datalek is een "inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevensAVG Art. 4.
NB: De Engelse tekst spreekt hier van "personal data breach".
De meldplicht datalekken wordt behandeld in AVG Art. 33 en 34. Zie ook AVG overweging 85. In de UAVG is niets over de meldplicht opgenomen, anders dan het uitsluiten van financiële ondernemingen als bedoeld in de Wet op het financieel toezicht (UAVG Art. 42).
Criterium
De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de Autoriteit Persoonsgegevens, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.
Doelstelling
Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen.
Risico
Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen.
Indeling binnen ISOR
Dit privacyprincipe:
- is gericht op Beveiligingsaspect Control
- valt binnen de IFGS-indeling IFGS Onbekend
ℹ️(Klik om uitleg open/dicht te klappen)
De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.
Grondslag
De grondslag voor dit principe is AVG (Algemene Verordening Gegevensbescherming) Art. 33; 34UAVG (Uitvoeringswet AVG) Art. 41; 42
Onderliggende normen
| ID | Conformiteitsindicator | Stelling | |
|---|---|---|---|
| PRIV_C.03.01.01 | meldt een datalek | Een datalek is op basis van de AVG gemeld bij de AP, tenzij een uitzondering van toepassing is. | ISOR:Meldt een datalek- aan AP |
| PRIV_C.03.01.02 | meldt een datalek | De melding aan de AP bevat ten minste<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 33a lid 3</sup>:
| ISOR:Meldt een datalek- eisen aan de melding aan AP |
| PRIV_C.03.01.03 | meldt een datalek | Een datalek is gemeld aan betrokkene, tenzij een uitzondering van toepassing is (zie /04.02). | ISOR:Meldt een datalek- melding aan betrokkene |
| PRIV_C.03.01.04 | meldt een datalek | In de melding aan de betrokkene wordt van de aard van de inbreuk in verband met persoonsgegevens ten minste het volgende omschreven of meegedeeld<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 33, lid 3b, 3c en 3d</sup>:
| ISOR:Meldt een datalek- eisen aan de melding aan betrokkene |
| PRIV_C.03.01.05 | meldt een datalek | De melding aan de betrokkene is in duidelijke en eenvoudige taal. | ISOR:Meldt een datalek- in duidelijke en eenvoudige taal |
| PRIV_C.03.02.01 | gestelde termijn | Een verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging, zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens. | ISOR:Termijn melden aan verwerkingsverantwoordelijke |
| PRIV_C.03.02.02 | gestelde termijn | De melding aan de AP heeft plaatsgevonden zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat de verwerkingsverantwoordelijke er kennis van heeft genomen. | ISOR:Termijn melden aan AP |
| PRIV_C.03.02.03 | gestelde termijn | Als de melding aan de AP niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging. | ISOR:Termijn- motivering bij vertraagd melden |
| PRIV_C.03.02.04 | gestelde termijn | De melding aan de betrokkene gebeurt onverwijld. | ISOR:Termijn aan betrokkene |
| PRIV_C.03.03.01 | documenteert de inbreuk | De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. | ISOR:Documenteert de inbreuk- eisen aan de registratie |
| PRIV_C.03.03.02 | documenteert de inbreuk | De documentatie stelt de AP in staat de naleving te controleren. | ISOR:Documenteert de inbreuk- mogelijkheid tot controle |
| PRIV_C.03.03.03 | documenteert de inbreuk | De documentatie bevat de noodzakelijke gegevens plus de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. | ISOR:Documenteert de inbreuk- noodzakelijke gegevens |
| PRIV_C.03.03.04 | documenteert de inbreuk | Het feit dat de kennisgeving is gedaan zonder onredelijke vertraging moet worden vastgesteld, met name rekening houdend met de aard en de ernst van de inbreuk in verband met persoonsgegevens en de gevolgen en negatieve effecten voor de betrokkene<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] overweging 87</sup>. | ISOR:Documenteert de inbreuk- m.b.t. kennisgeving |
| PRIV_C.03.04.01 | uitzondering | De verantwoordelijke hoeft het datalek niet te melden '''aan de AP''' als:
| ISOR:Uitzondering op melden van datalek aan AP |