Datalekken: houd de meldbeslissing in beweging

Een inbreuk in verband met persoonsgegevens, kortweg een datalek, levert twee parallelle taken op: het incident inperken en beslissen wat er moet worden gecommuniceerd. Geen van beide mag wachten tot de andere klaar is. Engineers kunnen nog bezig zijn met het reconstrueren van toegangslogs terwijl de verwerkingsverantwoordelijke al genoeg informatie heeft om een melding te beoordelen.

De praktische uitdaging is die beslissing in beweging te houden zonder aannames als feiten te presenteren. Een bruikbaar responsproces legt de kennisname vast, levert een betrouwbare minimale set bewijs op, wijst de beslisverantwoordelijkheid toe en werkt de beoordeling bij wanneer bevindingen veranderen. Vanuit het perspectief van een CTO is het essentiële resultaat geen afgerond forensisch onderzoek binnen 72 uur. Het is een tijdige, verdedigbare beslissing die wordt ondersteund door technisch bewijs, met een duidelijk eigenaarschap van de resterende vragen.

Herken het datalek voordat u over een melding discussieert

Een inbreuk in verband met persoonsgegevens is breder dan gestolen gegevens. Artikel 4, punt 12, AVG omvat een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens.

Drie dimensies doen ertoe:

Eén gebeurtenis kan alle drie omvatten. Ransomware kan de toegang onderbreken, registraties beschadigen en informatie blootleggen. Het terugzetten van een back-up pakt slechts een deel van dat incident aan.

Een verkeerd verstuurde e-mail en een ransomware-incident kunnen daarom allebei een gedocumenteerde beoordeling vereisen, ook al zien de onderzoeken er verschillend uit. Omgekeerd is een mislukte aanval waarbij geen persoonsgegevens zijn gecompromitteerd niet automatisch een datalek. Wel kan zo'n aanval een beveiligingsonderzoek en een melding onder een ander regime vereisen.

Stel eerst vast of persoonsgegevens zijn geraakt, niet of iemand heeft geklaagd of er financiële schade is ontstaan. Namen, account-ID's, personeelsdossiers, apparaat-ID's en combinaties van ogenschijnlijk gewone informatie kunnen persoonsgegevens zijn. Gepseudonimiseerde registraties kunnen persoonsgegevens blijven wanneer mensen nog identificeerbaar zijn.

Kijk bij beschikbaarheidsincidenten naar de gevolgen in plaats van een vaste duur van de storing als vuistregel te gebruiken. Geen toegang hebben tot een afspraakregistratie tijdens een spoedbehandeling is iets anders dan een korte onderbreking van de toegang tot een gearchiveerde nieuwsbrieflijst.

Stel de kennisname vast en benoem de eigenaar van de beslissing

Op grond van artikel 33 AVG moet een verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen melden aan de bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

De klok gaat niet automatisch lopen op het moment dat de onderliggende aanval begon. Evenmin wacht zij op een definitief forensisch rapport of op goedkeuring van de directie. In de richtsnoeren van toezichthouders wordt kennisname opgevat als een redelijke mate van zekerheid dat zich een beveiligingsincident heeft voorgedaan waarbij persoonsgegevens zijn gecompromitteerd. Een eerste onderzoek kan die zekerheid opleveren; het mag geen middel worden om verantwoordelijkheid uit te stellen.

Houd drie tijdstempels gescheiden:

• Optreden: wanneer het incident plaatsvond, indien bekend.
• Detectie: wanneer iemand voor het eerst een mogelijk incident heeft waargenomen of gemeld.
• Kennisname: wanneer de organisatie voldoende zekerheid had dat persoonsgegevens waren gecompromitteerd.

Leg het bewijs vast dat de kennisname onderbouwt. Als een tijdstempel wordt betwist, bewaar dan de concurrerende interpretaties en hun grondslag in plaats van de eerdere invoer stilletjes te vervangen. Vertraging in de interne escalatie moet zichtbaar zijn en mag niet worden gebruikt om aan te nemen dat de kennisname pas begon toen de privacyfunctie of de directie het bericht ontving.

72 uur betekent verstreken uren, inclusief weekenden en feestdagen. Het is een uiterste tijdsreferentie waar dat haalbaar is, geen vrijbrief om te wachten als er eerder kan worden gemeld.

Wijs een incidentcoördinator aan die de tijdlijn en de openstaande vragen bijhoudt. Technische leads stellen feiten vast; privacy-expertise beoordeelt de gevolgen en de wettelijke eisen; een bevoegde vertegenwoordiger van de verwerkingsverantwoordelijke is eigenaar van de meldbeslissing. Betrek een aangestelde functionaris voor gegevensbescherming (FG) direct in diens onafhankelijke adviserende en toezichthoudende rol. Maak de FG niet eigenaar van de inperking en ga er niet van uit dat de FG de verantwoordingsplicht van de verwerkingsverantwoordelijke vervangt.

Benoem plaatsvervangers. Een proces dat afhangt van de beschikbaarheid van één bestuurder is geen werkend proces buiten kantoortijd.

Lever in de eerste uren een beslisrijpe set bewijs op

Inperking en het veiligstellen van bewijs moeten samen opgaan. Een gecompromitteerd endpoint loskoppelen kan passend zijn, maar het wissen ervan voordat relevant bewijs is verzameld, kan de basis vernietigen om toegang en omvang te beoordelen. Omgekeerd is het bewaren van elk artefact geen reden om een actieve verstrekking niet in te perken.

Het volgende is een praktische responsvolgorde, geen wettelijk tijdschema.

Stabiliseer het incident

Trek blootgestelde sessies of inloggegevens in, beperk onveilige rechten, isoleer waar passend de getroffen componenten en stop lopende verkeerd geadresseerde overdrachten. Leg elke actie vast, met het tijdstip en het verwachte effect. Bewaar relevante logs, configuratiesnapshots, berichtheaders en ander vluchtig materiaal voordat bewaarlimieten of herstelwerkzaamheden ze verwijderen.

Beperk de toegang tot incidentbewijs. Een onderzoek naar een datalek kan zelf gevoelige verzamelingen opleveren: identiteitsdocumenten, berichten van medewerkers, authenticatiegegevens of lijsten van getroffen klanten. Gebruik een goedgekeurde bewijslocatie in plaats van ruwe registraties door te sturen via een brede incidentchat.

Stel het minimale feitenpakket samen

Geef privacyreviewers een kort, gestructureerd verslag met:

• Wat er is gebeurd en welke waarnemingen dat bevestigen.
• Getroffen systemen, diensten en verantwoordelijke aanbieders.
• Categorieën persoonsgegevens en categorieën getroffen personen.
• Geschatte aantallen personen en registraties, met de telmethode.
• Blootstellingsperiode, bekende ontvangers en mogelijke toegangspaden.
• Relevante beschermingsmaatregelen, waaronder versleuteling en toegang tot sleutels.
• Bekende of aannemelijke gevolgen voor mensen.
• Reeds genomen maatregelen en de vragen die nog openstaan.

Scheid bevestigde feiten, onderbouwde schattingen en hypothesen. ‘In de beschikbare auditlog komt geen exportgebeurtenis voor’ is beperkter dan ‘er zijn geen gegevens ingezien’. Vermeld de dekking van de logs en lacunes in de bewaring, zodat reviewers begrijpen wat het bewijs niet kan aantonen.

Houd een wachtrij met vragen bij

Geef elke openstaande vraag een eigenaar en een volgend reviewmoment. Geef voorrang aan vragen die de beslissing kunnen veranderen: of een blootgesteld object persoonsgegevens bevatte, of een aanvaller toegang had tot versleutelingssleutels, of dat onbeschikbare registraties essentiële diensten raakten.

Andere vragen, zoals de precieze eerste aanvalstechniek, kunnen zeer belangrijk zijn voor het herstel zonder nodig te zijn voor de eerste melding. Door die sporen gescheiden te houden, voorkomt u dat technische nieuwsgierigheid juridische actie vertraagt.

Een actuele inventaris van systemen en gegevens versnelt dit werk. Data discovery voor privacy biedt de context die nodig is om ‘opslagdienst gecompromitteerd’ te vertalen naar identificeerbare gegevenscategorieën, verwerkingsdoeleinden en getroffen populaties.

Beoordeel de schade voor mensen, niet alleen de impact op het bedrijf

De uitzondering in artikel 33 geldt wanneer een risico voor rechten en vrijheden niet waarschijnlijk is. Het is geen regel dat alleen grote datalekken, bijzondere categorieën van persoonsgegevens of bewezen schade moeten worden gemeld.

Beoordeel zowel de waarschijnlijkheid als de ernst van mogelijke gevolgen. Een kleine verstrekking kan ernstig zijn, terwijl bij een groter incident effectieve beschermingsmaatregelen het risico wezenlijk kunnen verminderen. Documenteer waarom de omstandigheden de conclusie ondersteunen.

Weeg deze dimensies samen:

Versleuteling vraagt om technisch kritisch onderzoek. Een schijf die in rust is versleuteld, beschermt niet noodzakelijk informatie die via een gecompromitteerd applicatieaccount is benaderd. Stel vast op welke laag de versleuteling zit, hoe de sleutels zijn gescheiden, welke rechten de aanvaller had en of er bruikbare platte tekst beschikbaar was. Dezelfde redenering geldt voor gehashte inloggegevens: hun bescherming hangt af van de methode en de omstandigheden, niet van het label ‘gehasht’. Zie versleuteling en sleutelbeheer.

Een bevestiging van verwijdering door de ontvanger kan relevant zijn, vooral bij een onbedoelde verstrekking aan een bekende, coöperatieve ontvanger. Het is geen universeel bewijs dat het risico is verdwenen. Ga na of de inhoud is bekeken, gekopieerd, doorgestuurd of via een ander kanaal toegankelijk was.

Maak van een numerieke risicoscore geen automatische juridische conclusie. Een scoringsmatrix kan de redenering consistent maken, maar reviewers moeten nog steeds de werkelijke gevolgen en onzekerheden toelichten. Uitval van het bedrijf, omzetverlies en reputatieschade voor de organisatie horen bij het operationele incidentbeheer; ze vervangen de beoordeling van de gevolgen voor personen niet.

Beoordeel opnieuw wanneer er nieuwe feiten binnenkomen. De ontdekking van gevoelige bijlagen of van toegang van de aanvaller tot sleutels kan een aanvankelijk redelijke beslissing om niet te melden veranderen.

Neem twee afzonderlijke communicatiebeslissingen

Melding aan de autoriteit en mededeling aan getroffen personen hebben verschillende drempels. Leg beide beslissingen expliciet vast, ook wanneer geen van beide vereist is.

Meld met wat bekend is

Artikel 33 vereist dat de melding de aard van de inbreuk beschrijft, waar mogelijk met de categorieën en bij benadering het aantal getroffen personen en registraties. De melding moet ook een FG of ander contactpunt vermelden, de waarschijnlijke gevolgen beschrijven en de genomen of voorgestelde maatregelen beschrijven, waar passend inclusief maatregelen om de nadelige gevolgen te beperken.

Wacht niet op exacte aantallen als er betrouwbare schattingen en duidelijke kanttekeningen beschikbaar zijn. Artikel 33, lid 4, staat toe dat informatie in stappen wordt verstrekt wanneer zij niet tegelijk kan worden verstrekt, zonder onredelijke verdere vertraging. Bewaar een kopie van de indiening, de ontvangstbevestiging, het referentienummer en een lijst van toegezegde updates.

Als de melding later dan 72 uur plaatsvindt, geef dan de redenen voor de vertraging. Het missen van de termijn heft de verplichting niet op. Licht de werkelijke chronologie toe in plaats van een algemene verklaring te geven dat het onderzoek complex was.

Stel vroeg vast wat de bevoegde autoriteit en het meldkanaal zijn, vooral bij grensoverschrijdende verwerking. Ga er niet van uit dat de autoriteit op de locatie van de server de juiste ontvanger is.

Communiceer wanneer een hoog risico waarschijnlijk is

Artikel 34 AVG vereist een duidelijke mededeling in eenvoudige taal aan getroffen personen zonder onredelijke vertraging wanneer een hoog risico waarschijnlijk is. De inhoud omvat de aard van de inbreuk, contactgegevens, waarschijnlijke gevolgen en relevante maatregelen.

Leg uit wat mensen kunnen doen: bijvoorbeeld een getroffen wachtwoord wijzigen, verdachte betaalinstructies weigeren of een geverifieerd supportkanaal gebruiken. Wek niet de indruk dat voorzorgsadvies de verantwoordelijkheid naar hen verschuift.

Artikel 34 bevat uitzonderingen voor effectieve maatregelen die de gegevens onbegrijpelijk maken voor onbevoegden, voor latere maatregelen die ervoor zorgen dat het hoge risico zich waarschijnlijk niet meer zal voordoen en voor onevenredige inspanning. Die laatste vereist een openbare mededeling of een vergelijkbaar effectieve maatregel; het is geen vrijbrief om te zwijgen. De autoriteit kan mededeling eisen of beoordelen of een uitzondering van toepassing is.

Behandel incidenten bij verwerkers zonder de regie over de beoordeling te verliezen

Een verwerker moet de verwerkingsverantwoordelijke zonder onredelijke vertraging informeren nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens. Hij mag niet wachten op zijn eigen conclusie dat een melding aan de toezichthouder nodig is. De beoordeling van de verwerkingsverantwoordelijke mag niet worden vervangen door het label ‘laag risico’ van een leverancier.

Vraag om bewijs dat relevant is voor uw verwerking: getroffen tenant of account, gegevenscategorieën, blootstellingsperiode, bewijs van toegang, beschermingsmaatregelen, inperking en openstaande vragen. Een incidentverklaring van de aanbieder voor al zijn klanten stelt mogelijk niet vast welke van uw registraties zijn geraakt.

Vertraging bij de leverancier gaat niet mechanisch af van de 72 uur van de verwerkingsverantwoordelijke voordat die kennis heeft genomen. Wel kan zij beschermende maatregelen vertragen, de chronologie vertroebelen en vragen oproepen over de naleving van de plichten van de verwerker. Leg vast wanneer de leverancier het incident heeft gedetecteerd, wanneer hij er kennis van nam en wanneer hij u heeft geïnformeerd.

Een praktische contractuele aanbeveling is om operationele contactpersonen, een snelle eerste melding, minimaal te verstrekken informatie, doorlopende updates en ondersteuning bij onderzoek en communicatie vast te leggen. Deze afspraken moeten de eisen van artikel 28 ondersteunen, niet vervangen.

Als uw organisatie zowel verwerker is voor klanten als verwerkingsverantwoordelijke voor personeelsgegevens, neem dan afzonderlijke beslissingen per rol. Een gedeeld technisch incident kan in de ene hoedanigheid meldingen aan klanten vereisen en in de andere een beoordeling voor de toezichthouder.

Houd een beslisspoor bij dat het incident overleeft

Artikel 33, lid 5, vereist dat inbreuken in verband met persoonsgegevens worden gedocumenteerd, met inbegrip van de feiten, de gevolgen en de genomen corrigerende maatregelen, zodat de toezichthoudende autoriteit de naleving kan controleren. Dit geldt ook voor inbreuken die niet zijn gemeld.

Een bruikbaar incidentdossier bevat:

• Incidentnummer, scope, coördinator en verwerkingsrol.
• Tijdstempels van optreden, detectie, kennisname en escalatie.
• Verwijzingen naar bewijs en de grenzen van de beschikbare telemetrie.
• Risicobeoordeling, reviewer, eigenaar van de beslissing en tijdstippen van beslissingen.
• Afzonderlijke conclusies over melding aan de autoriteit en mededeling aan personen.
• Ingediende berichten, ontvangstbevestigingen en latere updates.
• Inperkings-, herstel- en preventieve maatregelen met eigenaren.
• Afsluitende review en redenen voor eventuele resterende onzekerheid.

Schrijf bij een beslissing om niet te melden de redenering uit, niet alleen ‘onder de drempel’. Benoem de feiten die onderbouwen waarom een risico niet waarschijnlijk was en welk bewijs tot een nieuwe beoordeling zou leiden.

Bewaar opeenvolgende beoordelingen. Een vroege conclusie kan redelijk zijn geweest op basis van het beschikbare bewijs, ook als latere bevindingen haar veranderen. Het overschrijven van de eerdere versie verbergt die chronologie.

Regel toegang en bewaring bewust. Artikel 33 kent geen universele bewaartermijn voor dossiers over datalekken. Kies een gerechtvaardigd schema met oog voor verantwoording, toepasselijke verplichtingen en dataminimalisatie. Bewaar waar mogelijk verwijzingen naar bewijs in plaats van omvangrijke datasets met persoonsgegevens te dupliceren.

Een melding biedt geen immuniteit tegen toezicht. Autoriteiten kunnen om verduidelijking vragen en beveiligingsmaatregelen of andere verplichtingen onderzoeken. Gebruik een melding evenmin als reden om de inperking uit te stellen in afwachting van instructies van de toezichthouder.

Uitgewerkt voorbeeld: een blootgestelde recruitmentexport

Dit voorbeeld is illustratief; de tijden en aantallen zijn aannames, geen gerapporteerde resultaten.

Stel dat een organisatie op vrijdag om 16.00 uur ontdekt dat een recruitmentexport mogelijk toegankelijk is via een openbare opslaglink. Het bestand bevat namen, contactgegevens, sollicitatienotities en enkele bijlagen van 240 sollicitanten. Om 16.20 uur bevestigt een engineer dat het bestand zonder authenticatie toegankelijk is en dat het persoonsgegevens bevat. De coördinator legt 16.20 uur vast als het onderbouwde moment van kennisname. Het referentiepunt van 72 uur is maandag 16.20 uur, al moet de melding nog steeds zonder onredelijke vertraging plaatsvinden.

Om 16.35 uur heeft het team de openbare toegang verwijderd en de configuratiehistorie en de beschikbare toegangslogs veiliggesteld. Die logs bestrijken slechts een deel van de blootstellingsperiode. Het team kan niet verantwoord concluderen dat niemand het bestand heeft geopend.

De eerste beoordeling benoemt mogelijke gerichte phishing en het uitlekken van vertrouwelijke sollicitatievoornemens. De inhoud van de bijlagen blijft onzeker. De privacyreviewers en de eigenaar van de beslissing concluderen dat een risico niet onwaarschijnlijk is, dus is melding aan de toezichthouder vereist. Afzonderlijk beoordelen zij of een hoog risico waarschijnlijk is; het aantal sollicitanten alleen beantwoordt die vraag niet.

De eerste melding beschrijft de bevestigde blootstelling, de geschatte omvang, de onvolledige dekking van de logs, de bekende gevolgen en de inperking. Er staat in dat de review van de bijlagen nog loopt en wie verantwoordelijk is voor het aanleveren van updates.

Op zaterdag blijkt uit de review dat een deel van de bijlagen gezondheidsinformatie bevat. Het team herziet de beoordeling van het hoge risico en stelt vast dat mededeling aan die getroffen groep vereist is. De berichten beschrijven de relevante blootstelling en praktische voorzorgsmaatregelen zonder informatie over andere sollicitanten prijs te geven.

Het afgeronde dossier bewaart beide beoordelingen, het ondersteunende bewijs, de ontvangstbevestigingen van de indieningen en de corrigerende taken. De opvolging omvat goedkeuringscontroles voor exports, het voorkomen van openbare toegang, passende logging en tests die aantonen dat recruitmentbestanden niet langer openbaar bereikbaar zijn.

De les is operationeel: onzekerheid over de inhoud van de bijlagen verhinderde geen eerste melding, en latere bevindingen veranderden de beslissing over mededeling aan personen zonder de eerdere, op bewijs gebaseerde beoordeling ongeldig te maken.

Volg andere meldplichten op dezelfde tijdlijn

Hetzelfde incident kan meldingen onder de AVG, contracten, sectorspecifieke regels en cybersecurityregelgeving vereisen. Gebruik één feitelijke chronologie, maar houd beoordelingen van verplichtingen, ontvangers, eigenaren en termijnen gescheiden.

Artikel 23 NIS2 gaat over significante incidenten bij entiteiten die onder de richtlijn vallen, ongeacht of er persoonsgegevens bij betrokken zijn. De Europese meldstructuur omvat een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en doorgaans een eindverslag binnen een maand na de melding. NIS2 wordt via nationaal recht geïmplementeerd: controleer de toepasselijkheid, de nationale procedures en relevante sectorregels in plaats van aan te nemen dat elke organisatie deze plichten heeft.

Voor financiële entiteiten die eronder vallen, kan DORA sectorspecifieke eisen stellen. Dupliceer meldingen niet automatisch en ga er niet van uit dat één indiening aan elk regime voldoet.

Ook een contractuele melding aan klanten kan vereist zijn wanneer een melding aan de toezichthouder dat niet is. Houd een meldmatrix bij die voor elke toepasselijke verplichting de bron, de trigger, de ontvanger, de verantwoordelijke eigenaar, de indieningsroute en het bewijs van afronding vastlegt.

Bereid de overdrachten voor vóór het volgende incident

Een praktische test van de paraatheid is een oefening op vrijdagmiddag met een verkeerd verstuurde e-mail, een gecompromitteerde aanbieder of een ransomwarescenario. Vraag deelnemers om het daadwerkelijke eerste feitenpakket en beslisdossier op te stellen, niet alleen om het beleid te beschrijven.

Controleer of het team:

• De coördinator, privacyadviseur, eigenaar van de beslissing en plaatsvervangers kan bereiken.
• Relevante gegevens en aanbieders kan identificeren uit bestaande inventarissen.
• Logs kan veiligstellen voordat herstel of bewaarlimieten ze verwijderen.
• Toegang heeft tot het juiste meldkanaal van de autoriteit.
• Een gefaseerde melding met duidelijk gemarkeerde onbekenden kan opstellen.
• Veilig kan communiceren met klanten en getroffen personen.
• Een beslissing om niet te melden kan vastleggen en een nieuwe beoordeling kan inplannen.

Waar een antwoord afhangt van het vinden van een onbekende persoon of het terugkrijgen van ontoegankelijke inloggegevens, maak dan een paraatheidstaak aan. De verantwoordelijkheden van CISO en FG moeten duidelijk genoeg zijn om technisch feitenonderzoek en onafhankelijk privacyadvies tegelijk te laten verlopen.

Secani kan het reviewbare compliancedossier rond dit werk ondersteunen. Modelleer de getroffen systemen en aanbieders als doelobjecten, koppel bewijs aan relevante eisen en beslissingen en wijs eigenaren toe aan opvolgtaken. De workflows voor verbonden bewijs en review ondersteunen bronlinks, opmerkingen, goedkeuringen en tijdstempels. Behandel AI-ondersteunde samenvattingen als concepten die menselijke review vereisen; houd inperking en forensisch onderzoek in operationele systemen en koppel hun bewijs aan het beslisspoor.

Vragen die tijdens de respons opkomen

Kunnen we wachten op een bevestiging van verwijdering voordat we beslissen?

Vraag er snel om, maar zet de beoordeling parallel voort. De betekenis ervan hangt af van de ontvanger, de inhoud en mogelijke verdere toegang. Een onbeantwoord verzoek is geen bewijs dat de blootstelling is beëindigd.

Wat als het meldportaal niet beschikbaar is?

Leg de pogingen vast en zoek de gepubliceerde alternatieve contactroute van de autoriteit. Houd de informatie klaar voor indiening en licht eventuele vertraging die daardoor ontstaat toe. Een technisch probleem bij het indienen mag de beoordeling of noodzakelijke communicatie met mensen niet stilleggen.

Wanneer kan het incident worden gesloten?

Operationeel herstel en privacy-afsluiting zijn afzonderlijke mijlpalen. Bevestig dat vereiste meldingen en updates zijn afgerond, dat resterende vragen een eigenaar hebben en dat corrigerende maatregelen gevolgd blijven worden. Toets als praktische volgende stap één recent niet-gemeld geval aan de checklist voor het dossier: als een andere reviewer de beslissing niet kan reconstrueren, verbeter dan de overdracht vóór het volgende incident.