Sinds 1 januari is in Nederland de Meldplicht Datalekken van kracht. Veel bedrijven zitten echter nog met vragen, zo blijkt uit een rondgang van Security.NL onder verschillende juristen. De juridische experts verwachten dat de Autoriteit Persoonsgegevens, de instantie die de Meldplicht Datalekken handhaaft, de eerste tijd voornamelijk zal waarschuwen.

De Meldplicht Datalekken houdt in dat zowel bedrijven als overheden melding moeten maken bij de Autoriteit Persoonsgegevens als er een datalek is opgetreden. In een aantal gevallen moet het datalek ook aan de mensen bekend worden gemaakt van wie de persoonsgegevens zijn gelekt. Volgens de wet moet er in ieder geval een melding worden gemaakt als het datalek leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. Het overtreden van de meldplicht kan worden bestraft met een boete van 820.000 euro of 10% van de jaarlijkse omzet.

Vragen

Veel organisaties zitten nog met vragen, zo vertelt Arnoud Engelfriet. Engelfriet is ICT-jurist en partner bij juridisch adviesbureau ICTRecht. “Mijn bedrijf is de afgelopen maanden platgebeld en -gemaild met vragen over de meldplicht datalekken.” Ook bij advocatenkantoor SOLV Advocaten was het druk, zegt Thomas van Essen, die partner is bij het kantoor. “We hebben ontzettend veel vragen gekregen van mensen die wilden weten hoe het zit en wat ze moesten doen.”

Volgens Engelfriet stellen veel organisaties de vraag wat ze nu precies moeten doen en of het mogelijk is om onder de wet uit te komen. Iets wat niet kan, zo merkt hij op. Wel kan door goed beleid de impact worden beperkt. “En als je ook je ketenaansprakelijkheid borgt door bewerkersovereenkomsten met leveranciers te sluiten, dan heb je juridisch gedaan wat je kunt.” Ook werd vaak gevraagd of en hoe de aansprakelijkheid naar werknemers kan worden verlegd. Iets dat volgens Engelfriet niet mogelijk is.

Een andere veelgestelde vraag is wanneer bedrijven nu precies moeten melden en wanneer er sprake is van 'ernstige nadelige gevolgen', zoals in de meldplicht is opgenomen, aldus Van Essen. De Autoriteit Persoonsgegevens maakte onlangs bekend dat het een programma gebruikt dat de meldingen van organisaties eerst filtert voordat het in actie komt. Zodoende moeten alleen de meldingen overblijven waarbij burgers direct moeten worden gewaarschuwd of er onzorgvuldig gehandeld is.

"Het is niet zo dat de wet ons verplicht om alle meldingen te onderzoeken. We zullen er zeker een aantal uit pakken waarvan we denken dat er meer aan de hand is. Maar de meldplicht is in eerste instantie bedoeld voor de verantwoordelijke van de database", zo liet Jacob Kohnstamm, voorzitter van de Autoriteit Persoonsgegevens, onlangs nog weten.

Naast de vraag over wanneer er gemeld moet worden willen organisaties ook weten hoe ze de meldplicht binnen hun eigen organisatie vorm moeten geven, gaat Van Essen verder. Hij merkt in dit kader op dat het niet uitmaakt of een bedrijf de juiste beveiligingsmaatregelen heeft genomen. In het geval dat data in handen van onbevoegden vallen is er altijd sprake van een datalek.

Ook hebben organisaties veel vragen over de bewerkersovereenkomst. Artikel 14 van de Wet bescherming persoonsgegevens verplicht organisaties om met leveranciers, die in opdracht van hen persoonsgegevens verwerken, een dergelijke overeenkomst te sluiten, stelt Engelfriet. In de bewerkersovereenkomst worden de verantwoordelijkheden en plichten vastgelegd maar worden ook de aansprakelijkheid en beveiliging geregeld.

Engelfriet zegt: "Volgens de wet moet je als verantwoordelijke organisatie datalekken bij de Autoriteit Persoonsgegevens melden, maar formeel is de leverancier niet expliciet verplicht jou te waarschuwen dat er bij hem een datalek is opgetreden. Daarmee verzaak jij dus je meldplicht. In de bewerkersovereenkomst móet je dat dus ondervangen door een contractuele meldplicht naar jou op te nemen."

Vooral waarschuwingen

Volgens Ot van Daalen, advocaat bij Project Moore Advocaten, zal de Autoriteit Persoonsgegevens niet meteen boetes uitdelen en in eerste instantie vooral waarschuwen. "Ik verwacht dat de Autoriteit Persoonsgegevens haar boetebevoegdheden in eerste instantie alleen zal inzetten voor de overduidelijke privacy-inbreuken: de eerste paar boete-zaken moeten slam dunks zijn, zodat de besluiten juridisch ook stand houden. Ik denk daarom dat ze zeker in het begin niet zoveel boetes zal opleggen."

Ook Engelfriet denkt niet dat het snel boetes zal regenen. "Voor een boete is vereist dat men opzettelijk of grof nalatig handelde. Bij een datalek dat redelijkerwijs niet kon worden voorkomen, zal dus geen boete kunnen volgen. Wij verwachten dus vooral waarschuwingen, maar je moet uiteraard wel je zaakjes op orde hebben. Wie geen beleid heeft, is per definitie grof nalatig, zo staat in die richtlijn."

Van Essen heeft een zelfde mening. "Ik denk niet de Autoriteit Persoonsgegevens er met een gestrekt been zal ingaan”, zo stelt hij. "Voordat de Autoriteit Persoonsgegevens een boete kan opleggen moet het eerst een bindende aanwijzing geven, tenzij er sprake is van opzet, dan hoeft het niet." Organisaties die een datalek niet melden lopen dan ook niet meteen tegen een boete aan, maar zullen eerst een waarschuwing ontvangen.

De boetes mogen dan misschien uitblijven, Van Daalen verwacht dat door de nieuwe meldplicht veel datalekken die tot voor kort onder de radar bleven, nu in de openbaarheid gaan komen. "Dat is misschien pijnlijk voor een bedrijf, maar op de lange termijn nuttig - want het is nog veel pijnlijker als klanten er via andere bronnen achter komen dat hun data is gelekt."

Van Essen denkt dat bedrijven door de meldplicht hun beveiliging tegen het licht gaan houden. Ook de Autoriteit Persoonsgegevens noemt dit preventieve effect een belangrijk onderdeel van de meldplicht.

Tips

Afsluitend hebben de experts nog een aantal tips voor organisaties die met de meldplicht datalekken worstelen.

Tips van Arnoud Engelfriet:

1. Maak beleid, waarin je vastlegt hoe datalekken intern moeten worden gemeld en wie er besluit naar de Autoriteit Persoonsgegevens te stappen. Maak ook procedures die dit uitwerken, zodat de documentatie op orde is (welke dingen vastleggen, wie bewaart dat en hoe is het inzichtelijk). Documentatie moet worden verschaft aan de Autoriteit immers.
2. Dwing bij leveranciers van tools garanties af ten aanzien van datalekken. Verhoog hun aansprakelijkheid voor bugs die datalekken veroorzaken, of laat ze opdraaien voor de kosten van een security audit.
3. Sluit met dienstverleners bewerkersovereenkomsten met daarin vergelijkbare garanties plus een meldplicht naar jou, zodat jij een melding bij de Autoriteit kunt doen als deze dienstverleners een lek veroorzaken.
4. Publiceer ethisch hackbeleid. Zo krijg je gratis tips over mogelijke datalekken die je kunt fixen voordat ze werkelijk worden misbruikt.
5. Audit jezelf. Onderzoek in ieder geval waar de toegang tot persoonsgegevens beperkt kan worden. Moet iedereen echt bij alle klantgegevens kunnen, waarom liggen die papieren dossiers niet in een afgesloten kast en is het echt nodig dat archief twintig jaar te bewaren?

Tips van Ot van Daalen:

1. Stel een incident respons protocol op, zodat je alvast weet wat je moet doen als er een datalek is.
2. Stel een datalek-team samen, zodat je de juiste mensen alvast bij elkaar hebt.
3. Controleer je afspraken met leveranciers, zodat ze jou op de hoogte stellen van een meldplicht bij hun.
4. Houd je beveiligingsmaatregelen in de gaten, zodat je snel van een datalek op de hoogte bent.