Calamiteitenplan datalekken

• Weet direct wat je moet doen bij een mogelijk datalek
• Leg verantwoordelijkheden, melding en registratie duidelijk vast
• Stel eenvoudig een calamiteitenplan op voor jouw organisatie

Let op: met deze pagina stel je een Nederlandstalig Calamiteitenplan Datalekken op. Heb je een Engelstalig document nodig, bijvoorbeeld voor Engelstalige medewerkers? Bekijk dan het Engelse Calamiteitenplan Datalekken. De Engelse variant is eveneens beschikbaar in de DAS Documentenshop.

Wees voorbereid op een datalek

Een verkeerd verstuurde e-mail met persoonsgegevens, een verloren laptop of een cyberaanval kan leiden tot een datalek. Met een calamiteitenplan datalekken leg je vooraf vast wat medewerkers moeten doen als persoonsgegevens verloren gaan, ongewenst worden gewijzigd, vernietigd of bij onbevoegden terechtkomen. Daarmee voorkom je onduidelijkheid op het moment dat snel en zorgvuldig handelen belangrijk is.

Met het calamiteitenplan van DAS Documentenshop maak je duidelijke afspraken over het herkennen, intern melden, beoordelen en registreren van een datalek en over de vraag of verdere melding nodig is. Je vult een vragenlijst in en ontvangt vervolgens een calamiteitenplan dat is afgestemd op jouw antwoorden.

Wat is een calamiteitenplan datalekken?

Een calamiteitenplan datalekken, ook wel een datalekprotocol genoemd, is een intern protocol waarin staat wat medewerkers en verantwoordelijken moeten doen bij een mogelijk datalek.

Het plan beschrijft onder andere wie binnen de organisatie verantwoordelijk is, hoe een incident intern wordt gemeld, hoe je beoordeelt wat er is gebeurd en welke vervolgstappen nodig zijn.

Bij een datalek gaat het niet alleen om persoonsgegevens die bij een onbevoegde terechtkomen. Er kan ook sprake zijn van een datalek wanneer persoonsgegevens door een beveiligingsinbreuk ongewenst worden vernietigd, verloren, gewijzigd of verstrekt. De Autoriteit Persoonsgegevens onderscheidt daarbij inbreuken op de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens.

Wanneer heb je een calamiteitenplan datalekken nodig?

Een calamiteitenplan is relevant voor organisaties die persoonsgegevens verwerken en vooraf duidelijke afspraken willen maken over de aanpak van mogelijke datalekken.

Denk bijvoorbeeld aan:

• een e-mail met persoonsgegevens die naar de verkeerde ontvanger wordt gestuurd;
• verlies of diefstal van een laptop, telefoon of ander apparaat met persoonsgegevens;
• een cyberaanval waarbij persoonsgegevens worden buitgemaakt;
• ransomware waardoor persoonsgegevens niet meer beschikbaar zijn;
• een medewerker die onbevoegd toegang krijgt tot persoonsgegevens.

Een calamiteitenplan kan bijvoorbeeld relevant zijn voor werkgevers die persoonsgegevens van medewerkers verwerken, webshops met klantgegevens en organisaties die gegevens van leden, cliënten of patiënten verwerken.

Wat staat er in het calamiteitenplan?

Met het calamiteitenplan leg je vast hoe jouw organisatie met een mogelijk datalek omgaat. Zo weten medewerkers en verantwoordelijken welke stappen zij moeten zetten als zich een incident voordoet.

In het plan komen onder andere de volgende onderwerpen aan bod:

• wie verantwoordelijk is voor de afhandeling van een datalek;
• hoe medewerkers een mogelijk datalek intern melden;
• hoe je het incident beoordeelt;
• wanneer een datalek bij de Autoriteit Persoonsgegevens moet worden gemeld;
• wanneer betrokken personen moeten worden geïnformeerd;
• hoe datalekken intern worden geregistreerd;
• welke stappen nodig zijn voor de verdere afhandeling.

Zo creëer je één duidelijke procedure waarop medewerkers kunnen terugvallen wanneer snel en zorgvuldig handelen nodig is.

Moet je ieder datalek melden?

Nee. Niet ieder datalek hoeft te worden gemeld bij de Autoriteit Persoonsgegevens.

Je moet een datalek melden bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen. Daarom moet je per incident beoordelen wat de mogelijke gevolgen en risico's zijn.

Moet het datalek worden gemeld? Dan moet de melding binnen 72 uur nadat je organisatie kennis heeft genomen van het datalek worden gedaan.

Een melding bij de Autoriteit Persoonsgegevens betekent niet automatisch dat je ook de betrokken personen moet informeren. Zij moeten worden geïnformeerd als het datalek waarschijnlijk een hoog risico voor hen oplevert.

Voor wie is dit calamiteitenplan geschikt?

Dit calamiteitenplan is bedoeld voor organisaties die persoonsgegevens verwerken en intern duidelijke afspraken willen vastleggen over het omgaan met mogelijke datalekken.

Het document is bijvoorbeeld geschikt als je:

• persoonsgegevens van klanten verwerkt;
• medewerkers in dienst hebt;
• gegevens van leden, cliënten of patiënten verwerkt;
• medewerkers toegang geeft tot persoonsgegevens;
• rollen en verantwoordelijkheden rond datalekken wilt vastleggen;
• één duidelijke interne procedure voor privacy-incidenten wilt creëren.

Wanneer is dit calamiteitenplan datalekken niet geschikt?

Het calamiteitenplan is bedoeld voor het intern vastleggen van de procedure bij mogelijke datalekken. Voor andere privacyvraagstukken heb je mogelijk een ander document nodig.

Wil je bijvoorbeeld aan klanten, medewerkers of andere betrokkenen uitleggen hoe jouw organisatie persoonsgegevens verwerkt? Dan heb je een privacyverklaring nodig.

Laat je een externe partij namens jouw organisatie persoonsgegevens verwerken? Dan kan een verwerkersovereenkomst nodig zijn.

Een calamiteitenplan vervangt ook geen individueel juridisch advies over een actueel en complex datalek. Twijfel je bij een concreet incident over de risico's, de meldplicht of het informeren van betrokkenen? Dan kan aanvullende juridische beoordeling nodig zijn.

Hoe stel je een calamiteitenplan datalekken op?

Je stelt het calamiteitenplan in een paar stappen op:

1. Start de online vragenlijst.
2. Beantwoord de vragen over jouw organisatie en werkwijze.
3. Stel op basis van je antwoorden het calamiteitenplan op.
4. Ontvang je document in Word en PDF.
5. Deel het calamiteitenplan met de medewerkers voor wie het relevant is.

Zo leg je vooraf vast wat er binnen jouw organisatie moet gebeuren wanneer een mogelijk datalek wordt ontdekt.

Veelgestelde vragen over het calamiteitenplan datalekken

Is een datalek hetzelfde als gehackte persoonsgegevens?

Nee. Bij een datalek hoeft geen sprake te zijn van een hack. Ook wanneer persoonsgegevens bijvoorbeeld per ongeluk bij de verkeerde persoon terechtkomen, verloren gaan, ongewenst worden gewijzigd of door een beveiligingsincident niet meer beschikbaar zijn, kan er sprake zijn van een datalek.

Moet ik ieder datalek melden bij de Autoriteit Persoonsgegevens?

Nee. Een datalek moet worden gemeld bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het een risico oplevert voor de rechten en vrijheden van betrokkenen. Om dit vast te stellen moet je het risico van het datalek beoordelen.

Binnen hoeveel tijd moet ik een datalek melden?

Als een datalek gemeld moet worden bij de Autoriteit Persoonsgegevens, moet dit binnen 72 uur nadat je organisatie kennis heeft genomen van het datalek gebeuren.

Moet ik betrokken personen altijd informeren over een datalek?

Nee. Betrokkenen moeten worden geïnformeerd als het datalek waarschijnlijk een hoog risico voor hen oplevert. Of daarvan sprake is, hangt onder andere af van de aard van het incident, de betrokken persoonsgegevens en de mogelijke gevolgen.

Wat is het verschil tussen een calamiteitenplan datalekken en een privacyverklaring?

Een calamiteitenplan datalekken beschrijft intern welke stappen je organisatie neemt bij een mogelijk datalek. Een privacyverklaring is bedoeld om betrokkenen, zoals klanten of medewerkers, te informeren over de manier waarop jouw organisatie hun persoonsgegevens verwerkt. De documenten hebben dus een verschillend doel.

Kan ik het calamiteitenplan later aanpassen?

Je ontvangt het calamiteitenplan in Word en PDF. Gebruik de Word-versie wanneer je het document binnen je organisatie verder wilt verwerken of aanpassen.

Is er ook een Engels calamiteitenplan datalekken?

Ja. Deze productpagina is bedoeld voor het opstellen van een Nederlandstalig Calamiteitenplan Datalekken. Heb je een Engelstalige versie nodig, bijvoorbeeld voor medewerkers die geen Nederlands spreken? Kies dan het Engelse Calamiteitenplan Datalekken.