# Procedure datalekken ### Afkortingen | Afkorting | Omschrijving | |---|---| | AVG | Algemene verordening gegevensbescherming | | AP | Autoriteit Persoonsgegevens | | Wpg | Wet Politiegegevens | | FG | Functionaris Gegevensbescherming | | ISO | Information Security Officer | | CISO | Chief Information Security Officer | ### Inleiding Om tijdig te voldoen aan de wettelijke verplichtingen bij het voordoen van een datalek is deze ‘Procedure datalekken’ geschreven. In deze procedure wordt uitgelegd wat een datalek is, worden de stappen beschreven indien zich een datalek voordoet en worden de verantwoordelijkheden beschreven. De verantwoordelijkheden zijn beschreven volgens het RACI-model. RACI-model - R: Responsible (Verantwoordelijke): degene die de taak uitvoert is verantwoordelijke voor de uitvoering hiervan. - A: Accountable (Eindverantwoordelijke): deze persoon draagt de uiteindelijke eindverantwoordelijkheid voor de juiste voltooiing van een taak. - C: Consulted (Geraadpleegd): dit is de persoon aan wie vooraf advies wordt gevraagd. - I: Informed (Geïnformeerd): deze persoon wordt tussentijds geïnformeerd over onder andere de beslissingen, de voortgang en de bereikte resultaten. ### Wat is een datalek? Bij een datalek hebben mensen toegang tot persoonsgegevens zonder dat dit mag of de bedoeling is. Ook in het geval van het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens is er sprake van een datalek. Een persoonsgegeven is alle informatie die iets over een natuurlijke persoon zegt of kan zeggen en een persoon kunnen identificeren. Voorbeelden van een datalek zijn een verkeerd gestuurde brief of mail, het kwijtraken van een document of het verwijderen van een dossier terwijl je die wel nog nodig hebt. De AVG en Wpg schrijven voor dat een datalek binnen 72 uur bij de AP moet worden gemeld, tenzij het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van de betrokkenen. Als een datalek waarschijnlijk een hoog risico voor de betrokkene oplevert, moet de betrokkene ook worden geïnformeerd. De betrokkene is de persoon van wie persoonsgegevens worden verwerkt. ### Vragen? Heb je vragen over deze procedure of twijfel je of iets een datalek is? Neem dan contact op met naam@voorbeeldgemeente.nl. ### Proces afhandeling datalek | # | Stap | Activiteit | Verantwoordelijkheden | | |---|---|---|---|---| | 1 | Ontdekking/ melding datalek | Een medewerker ontdekt of veroorzaakt een mogelijk datalek. De medewerker maakt hiervan een melding via het meldformulier in het servicedesksysteem. Het kan ook voorkomen dat een medewerker een melding maakt van een mogelijk datalek via naam@voorbeeldgemeente.nl. of telefonisch contact opneemt met een Privacy Officer of de FG. In deze gevallen wordt de melder verzocht een melding via het servicedesksysteem in te dienen of wordt de e-mail door de Privacy Officer in het servicedesksysteem geplaatst. | R | Medewerker die het datalek veroorzaakt of ontdekt | | | | | A | Afdelingshoofd/ teammanager | | | | | C | | | | | | I | | | 2 | Beoordelen of sprake is van een datalek | Een van de Privacy Officers beoordeelt in het servicedesksysteem of er sprake is van een datalek. Indien nodig wordt contact opgenomen met de melder van het datalek of andere belangrijke personen om extra informatie te verkrijgen. Daarbij wordt onderzocht of er sprake is van een datalek, welke persoonsgegevens zijn betrokken bij het datalek, welke partijen eventueel betrokken zijn en of er al maatregelen kunnen worden getroffen om de gevolgen van het datalek te beperken of het datalek te beëindigen. Er wordt altijd terugkoppeling gegeven aan de melder. | R | Privacy Officer | | | | | A | Privacy Officer | | | | | C | | | | | | I | Melder Indien beveiligingsincident: ISO Indien nodig: teamleider/ ICT etc… | | 3 | Vaststellen impact datalek | Nadat de Privacy Officer heeft beoordeeld of er sprake is van een datalek, stelt de Privacy Officer vast wat de impact is van het datalek. In bijlage 1 en 2 staat een afwegingskader wat de Privacy Officers hierbij hanteren. | R | Privacy Officer | | | | | A | Privacy Officer | | | | | C | Indien security een rol speelt: (C)ISO | | | | | I | | | 4 | Maatregelen | Nadat is beoordeeld of er sprake is van een datalek en de impact van het datalek is vastgesteld, wordt onderzocht welke maatregelen kunnen worden genomen om de impact van het datalek te mitigeren en/ of het datalek te beëindigen. Het afdelingshoofd of de teammanger is eindverantwoordelijk voor het implementeren van deze maatregelen. De afhandeling kan in de praktijk gaan zonder de teammanager, | R | Privacy Officer | | | | | A | Afdelingshoofd/ teammanager/ Melder | | | | | C | Indien security een rol speelt: (C)ISO | | | | | I | Melder | | 5 | Melding bij de AP | Aan de hand van de vastgestelde impact (stap 3) wordt wel/ geen melding gedaan bij de AP. Het datalek moet binnen 72 uur bij de AP worden gemeld, tenzij het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van de betrokkenen. De Privacy Officer doet de eventuele melding bij de AP. De melding wordt opgeslagen in het servicedesksysteem en de SharePoint lijst. Wanneer een datalek gemeld wordt bij de AP, wordt de FG en de teamleider van het betreffende datalek geïnformeerd hierover. Om een melding te doen bij de AP is het FG-nummer en KVK-nummer nodig: het FG-registratienummer en het KvK-nummer van de eigen gemeente | R | Privacy Officer | | | | | A | Privacy Officer | | | | | C | | | | | | I | FG CIO/ Operationeel Manager ICT | | 6 | Melding bij de betrokkene | Als het datalek waarschijnlijk een hoog risico voor de rechten en vrijheden van de betrokkene oplevert, moet de betrokkene ook worden geïnformeerd over het datalek. Als een datalek niet bij de AP wordt gemeld, hoeft er ook geen melding te worden gedaan bij de betrokkene. In samenspraak kan er besproken worden of de betrokkenen toch geïnformeerd wordt, terwijl er geen verplichting toe is. Verder zijn er nog enkele uitzonderingen waarbij geen melding bij de betrokkene hoeft te worden gedaan: Maatregelen vooraf Er zijn vooraf passende maatregelen genomen die de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling. Maatregelen achteraf Er zijn achteraf maatregelen genomen die ervoor zorgen dat het datalek is beëindigd. En dat het hoge risico voor de slachtoffers zich waarschijnlijk niet (meer) voordoet. Onevenredige inspanning Het individueel informeren van de betrokkenen vraagt een onevenredige inspanning, bijvoorbeeld omdat we niet beschikken over de contactgegevens van de betrokkene. Er moet dan wel worden gekeken of er een alternatief is. Bijvoorbeeld door een bericht te plaatsen op sociale media. Zwaarwegend belang Wanneer het noodzakelijk en evenredig is om een zwaarwegend belang te waarborgen hoeft ook geen melding bij de betrokkene te worden gedaan. Dit is bijvoorbeeld het geval als het gaat om de nationale of openbare veiligheid. Of de bescherming van de privacy van anderen. Gebruik voor het informeren van betrokken onderstaande sjabloon, het sjabloon wordt altijd in samenspraak met een Privacy Officer ingevuld.: Sjabloon informeren betrokkene datalek.docx | R | Privacy Officer | | | | | A | Afdelingshoofd/ teammanager | | | | | C | | | | | | I | FG | | 7 | Registeren datalek | De Privacy Officer registreert het datalek in het register datalekken in SharePoint. Ook wordt het datalek aangevuld in het servicedesksysteem en daar afgemeld. | R | Privacy Officer | | | | | A | Privacy Officer | | | | | C | | | | | | I | | | 8 | Monitoren maatregelen | In stap 4 zijn maatregelen genomen om het datalek te beëindigen, de impact van het datalek te verkleinen of een toekomstig datalek te voorkomen. Periodiek monitort de Privacy Officer of deze maatregelen zijn geïmplementeerd. In SharePoint kan een datum ingevuld worden voor een automatische e-mail herinnering in de gezamenlijke e-mail box | R | Privacy Officer | | | | | A | Afdelingshoofd/ teammanager | | | | | C | | | | | | I | | | 9 | Evalueren | Datalekken worden (periodiek) geëvalueerd om zo verbeteringen door te kunnen voeren in het proces en om maatregelen te nemen om toekomstige datalekken te voorkomen. | R | Privacy Officer | | | | | A | Privacy Officer | | | | | C | | | | | | I | | ### Communicatie bij een datalek Een medewerker informeert altijd de teammanager bij een datalek. Als de Privacy Officers een datalek melden bij de Autoriteit Persoonsgegevens informeren zij altijd de verantwoordelijk manager. De manager bepaalt daarbij of diegene rapporteert aan een directeur en/ of gemeentesecretaris. Als een datalek wordt gemeld bij de betrokkene informeert de afdeling de betrokkene zelf. De Privacy Officers ondersteunen hierbij. In het geval van een crisis sluiten de Privacy Officers aan bij het Procedure Incident Response wat betreft de communicatie. ### Datalek bij verwerker Het kan voorkomen dat er een datalek bij een van onze verwerkers plaatsvindt. Als verwerkingsverantwoordelijke blijven we verantwoordelijk voor de juiste afhandeling van het datalek. Daarom wordt hetzelfde stappenplan gevolgd. Wel zal de verwerker bij de stappen betrokken moeten worden. Verwerkersovereenkomst Om deze datalekken tijdig af te kunnen handelen wordt in de verwerkersovereenkomst afgesproken dat de verwerker datalekken zo snel mogelijk, maar uiterlijk binnen 24 uur, bij ons meldt. Ook moet de verwerker alle redelijke instructies opvolging om het datalek correct en tijdig af te handelen. Is er geen verwerkersovereenkomst? Dan is dit altijd een van de maatregelen naar aanleiding van het datalek. Tot slot is van belang dat we datalekken, die zich voordoen bij een verwerkeren gemeld moeten worden bij de AP, zelf melden bij de AP. Dit komt terug in de ‘Procedure verwerkersovereenkomsten’. ### Bijlage 1: Stroomschema datalekken Dit stroomschema geeft een indicatie of het datalek gemeld moet worden bij de AP en bij de betrokkene. De Privacy Officer maakt deze beoordeling. De nummers bij objecten verwijzen naar onderwerpen in bijlage 2, daar staat meer informatie. Op de volgende pagina staat ook een link. Dit stroomschema is ook te vinden via Stroomschema datalekken.vsdx ### Bijlage 2: Afwegingskader melding maken AP en betrokkenen In deze bijlage is het afwegingskader te vinden dat gebruikt wordt in het stroomschema van bijlage 1. Dit afwegingskader komt overeen met bronnen van de AP, zoals hun datalek meldformulier en de pagina met meer informatie over datalekken. In het stroomschema staan bij een paar objecten nummers, deze nummers corresponderen met de genummerde vragen. Afwegingskader opgesomd 1. Is er een uitzondering om niet te melden bij AP? 2. Is de inbreuk hersteld, zonder gevolgen voor de betrokkenen? 3. Welk type persoonsgegevens is getroffen? 4. Zijn kwetsbare groepen betrokken bij de datalek? 5. Hoeveel gegevens zijn getroffen? 6. Hoeveel mensen zijn betrokken? 7. Wat zijn de mogelijke gevolgen voor de betrokkenen? 8. Zijn er uitzonderingsgronden om niet te melden bij de betrokkenen? Vraag 1 Voordat de rest van het stroomschema wordt gevolgd is er een kans dat er niet gemeld hoeft te worden, dit gebeurt alleen in uitzonderlijke gevallen. Er moet voldaan zijn aan de volgende 3 omstandigheden: 1. De gegevens zijn nog volledig intact én; 2. De gemeente heeft nog steeds de volledige controle over de gegevens én; 3. De gegevens zijn beschermd door bijvoorbeeld hashing en de sleutel hiervan is beschermd. Wanneer een van deze omstandigheden niet behaald is, moet het stroomschema worden gevolgd. Vraag 2 De inbreuk moet 100% hersteld zijn en er moeten compleet geen gevolgen zijn voor de betrokkene voordat hieraan is voldaan. Voldoen de omstandigheden van het datalek niet aan een van de onderstaande opties, dan is er nog steeds kans op gevolgen en moet het stroomschema worden gevolgd. Bij twijfel moet altijd worden gemeld bij de AP 1. Intern gedeeld. 2. Extern gedeeld met beveiligde mail, meteen teruggehaald. 3. Extern gedeeld, betrouwbaar persoon, zoals een bekende ambtenaar van een partnergemeente, of iemand met een beroepsgeheim. Deze heeft belooft de gegevens te verwijderen. 4. Back-up meteen in werking getreden, er waren geen gevolgen. 5. Gegevens kunnen herstellen zonder gevolgen voor betrokkenen. Vraag 3 Er zijn twee categorieën in het stroomschema. - Gewone persoonsgegevens. Denk hierbij aan: Naam/adres/telefoonnummer/leeftijd/geboortedatum/e-mailadres Wanneer gewone persoonsgegevens zijn gedeeld is melden niet altijd verplicht, de volgende vragen in het stroomschema maken duidelijk wanneer wel/niet. De volgende categorieën persoonsgegevens brengen hoog risico mee. Deze melden we altijd bij de AP. Of het ook bij de betrokkene moet worden gemeld volgt uit de rest van het stroomschema. - Bijzondere categorieën persoonsgegevens Ras/etniciteit/politieke opvattingen/religieuze of levensbeschouwelijke overtuigingen/ lidmaatschap vakbond/gezondheid/medische informatie/ seksueel gedrag/seksueel gerichtheid/genetische gegevens/biometrische gegevens/ - Gevoelige persoonsgegevens Elektronische communicatie/locatiegegevens/financiële gegevens/Burgerservicenummer (BSN) - Strafrechtelijke persoonsgegevens Strafbare feiten/verdenkingen/veiligheidsmaatregelen gericht op een persoon Vraag 4 Wanneer een kwetsbare groep betrokken is moet er altijd gemeld worden bij de AP. Er is namelijk een hoog risico dat zij gevolgen ondervinden van het datalek. Of het bij de betrokkene gemeld moet worden is te zien in het stroomschema Er zijn vele kwetsbare groepen, denk onder andere aan: - Minderjarige - Ouderen - Patiënten - Klanten in het sociaal domein - Werknemers - Mensen met een (licht-) verstandelijke beperking - Mensen met meervoudige problematiek - Vluchtelingen - Mensen met een recent gekregen verblijfstatus Vraag 5 Hoe meer gegevens van een persoon gelekt zijn hoe hoger het risico. Een combinatie van gegevens brengt meer kans op gevolgen, zoals de identiteit stelen. Het gaat hier om een afweging die moet worden gemaakt in combinatie met vraag 6 en 7. Vraag 6 Wanneer meerdere mensen betrokken zijn zal het risico ook groter zijn. Het gaat hier om een afweging die moet worden gemaakt in combinatie met vraag 5 en 7. Vraag 7 Er zijn vele risico’s voor de betrokkenen wanneer hun gegevens zijn gelekt. De soorten risico’s lopen erg uit een, en er is geen uitputtende lijst met gevolgen. Het gaat hier om een afweging die moet worden gemaakt in combinatie met vraag 5 en 6. De meest voorkomende risico’s zijn: - Discriminatie of uitsluiting - Identiteitsdiefstal of -fraude - Financieel verlies - Reputatieschade - Verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens - Ongeoorloofde ongedaanmaking van pseudonimisering - Betrokkenen kunnen bijvoorbeeld (de verwerking van) hun persoonsgegevens niet inzien of op verzoek laten verwijderen (Uitoefening van rechten) - Betrokkenen verliezen het overzicht van welke organisaties hun persoonsgegevens verwerken en worden verhinderd controle uit te oefenen Vraag 8 Er zijn uitzonderingen van de AVG en Wpg om geen melding te maken van het datalek bij de betrokkene. Bij een uitzondering kan het wel zijn dat er later gemeld moet worden, let hier op. AVG - Er zijn maatregelen genomen om de persoonsgegevens onbegrijpelijk te maken voor onbevoegden. - Het is een onevenredige inspanning om het individueel te melden, er zijn bijv. geen contactgegevens (De AP is van mening dat er dan een online melding moet worden gemaakt) - Noodzakelijk en evenredig voor een zwaarwegend belang (nationale/openbare veiligheid). Wpg( Art. 33a lid 7 en 27 lid 2 en 1 ) - Melding belemmert gerechtelijk onderzoek of procedure - Melding heeft nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen - Bescherming openbare veiligheid, nationale veiligheid, rechten en vrijheden van derden ### Bijlage 3: Meldformulier in het servicedesksysteem Aanmelder | Naam | | |---|---| | Telefoonnummer | | | E-mail | | | Organisatie | | Vragen - Geef een omschrijving van het (mogelijke) datalek - Wanneer is het (mogelijke) datalek ontstaan? En hoe en wanneer heb je het ontdekt? - Om welke persoonsgegevens gaat het? (vink opties aan) - Naam - Geslacht - Geboortedatum en/ of leeftijd - Burgerservicenummer (BSN) - Adres en/ of woonplaats - E-mailadres - Telefoonnummer - Toegangs- of identificatiegegevens - Bankrekeningnummer/ IBAN - Creditcardgegevens - Gegevens over (problematische) schulden - Gegevens over uitkering en/ of schulden - (Kopieën van) paspoorten of andere legitimatiebewijzen - Locatiegegevens, bijvoorbeeld GPS-gegevens of zendmastgegevens - Strafrechtelijke veroordelingen en strafbare feiten - Ras of etnische afkomst - Politieke opvattingen - Religieuze of levensbeschouwelijke overtuigingen - Lidmaatschap van een vakbond - Seksueel gedrag of seksuele gerichtheid - Gegevens over gezondheid - Genetische gegevens - Biometrische gegevens, bijvoorbeeld vingerafdruk - Anders, namelijk: - Van wie zijn gegevens gelekt? - Om hoeveel mensen gaat het? Indien het om een grote hoeveelheid gaat, geef dan een schatting - Heb je al maatregelen getroffen om het datalek te beëindigen of de schade te beperken? Zo ja, welke? - Zijn er andere organisaties betrokken? Zo ja, welke? Voeg relevante bijlagen toe Bedankt voor het melden van het datalek. Zorg ervoor dat je telefonisch bereikbaar bent na het indienen van deze melding. Indien nodig neemt de Privacy Officer contact met je op om het datalek verder te bespreken. In sommige gevallen moet het datalek namelijk binnen 72 uur door de Privacy Officer worden gemeld bij de toezichthouder. Ben je niet of minder bereikbaar? Laat ons dit via naam@voorbeeldgemeente.nl of ergens in dit formulier weten en geef aan wie wij in jouw afwezigheid voor de verdere afhandeling van dit datalek kunnen bereiken!