NormenAVGWpg
De meldplicht zelf is helder: binnen 72 uur bij de Autoriteit Persoonsgegevens, en bij hoog risico ook bij de betrokkene. Waar het in de praktijk misgaat, is de weg ernaartoe. Wie meldt bij wie, wie beoordeelt, wie besluit, en hoe weet je achteraf of de maatregelen zijn uitgevoerd? Deze procedure legt dat vast voor een privacyteam dat gemeenten bedient, met één meldpunt in het servicedesksysteem.
| Stuk | Waarvoor |
|---|---|
| Procedure datalekken | Negen stappen met RACI, communicatie bij een datalek, datalekken bij een verwerker, en twee bijlagen: het afwegingskader en de vragen voor het meldformulier |
| Brief informeren betrokkene | Sjabloon voor de teammanager, in te vullen samen met de privacy officer |
| Kwartaalevaluatie datalekken | Aantallen, oorzaken, trends, opvolging van maatregelen en een vak voor de FG |
De medewerker die een lek ontdekt of veroorzaakt meldt het, altijd via het formulier in het servicedesksysteem, ook als het eerst per mail of telefoon binnenkomt. Een privacy officer beoordeelt of het een datalek is, stelt de impact vast met het afwegingskader en doet de eventuele melding bij de AP. De teammanager is eindverantwoordelijk voor de maatregelen en voor het informeren van betrokkenen. De FG wordt geïnformeerd bij elke melding aan de AP. Elk lek komt in een register; maatregelen krijgen een datum waarop een herinnering volgt.
Acht vragen, in de volgorde van een stroomschema: is er een uitzondering, is de inbreuk volledig hersteld, welk type gegevens, zijn kwetsbare groepen betrokken, hoeveel gegevens, hoeveel mensen, wat zijn de gevolgen, en is er een uitzondering om de betrokkene niet te informeren. Twee keuzes zijn het noemen waard:
Voor de Wpg staan de afwijkende uitzonderingsgronden er apart bij.
Het stroomschema zelf staat er niet bij; het kader in bijlage 2 bevat dezelfde vragen in tekst. Het meldformulier is een lijst vragen, geen kant-en-klare configuratie voor een specifiek servicedesksysteem. De FG- en KvK-nummers in stap 5 zijn vervangen door nullen: vul daar die van je eigen organisatie in.
EUPL-1.2.