Meld plicht Datalekken

Presentatie over: "Meld plicht Datalekken"— Transcript van de presentatie:

1 Meld plicht Datalekken
2017

2 Meld plicht Datalekken
Agenda Inleiding + kader Aanleidingen Doel van de meldplicht Wie is meldplichtig Wat is een Datalek? Wanneer is er een DataLek? Wat zijn persoonsgegevens? Boete Maatregelen Richtlijnen Entrea (digitale) informatie-uitwisseling, opslag en datalekken

3 Meld plicht Datalekken
Inleiding Op 1 januari 2016 gaat de meldplicht datalekken in. Deze meldplicht houdt in dat organisaties (zowel bedrijven als overheden) onverwijld een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een ernstig Datalek hebben. En in een aantal gevallen moeten zij het Datalek ook melden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt). Kader Iedereen heeft recht op eerbiediging en bescherming van zijn persoonlijke levenssfeer en een zorgvuldige omgang met zijn persoonsgegevens. De regels hiervoor zijn vastgelegd in de Wet bescherming persoonsgegevens (Wbp). Hierin staat dat u de persoonsgegevens die u verwerkt moet beveiligen tegen verlies en tegen onrechtmatige verwerking (artikel 13 Wbp). Een Datalek moet worden gemeld aan de Autoriteit Persoonsgegevens als het leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens (artikel 34a, eerste lid, Wbp). Het Datalek moet daarnaast ook worden gemeld aan de betrokkene indien het waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer (artikel 34a, tweede lid, Wbp).

4 Meld plicht Datalekken
Herkomst en aanleiding Aanleiding voor de nieuwe wet? Een groot aantal incidenten: Linkedin : 6.5 miljoen wachtwoorden op straat Sony PlayStation network : miljoen gebruikersgegevens. Groene Hart Ziekenhuis lekt patiëntgegevens KPN: publicatie van 539 klantgegevens door Hack Bibliotheek Universiteit Twente lekt adressen : Het gaat om de gegevens van studenten, ouders van studenten en 657 medewerkers GGZ Drenthe lekt gegevens gebruikers van forum:. De gegevens van bijna gebruikers waren toegankelijk.

5 Preventief: het voorkomen van Data lekken
Meld plicht Datalekken Doel van de Meldplicht Preventief: het voorkomen van Data lekken Repressief : het bespreken van gevolgen Meldplicht moet bijdragen aan behoud en herstel van vertrouwen in de omgang met persoonsgegevens

6 Wie is meldplichtig? Meld plicht Datalekken
Verantwoordelijke in de zin van de Wbp: Natuurlijk persoon, rechtspersoon of ieder andere die of het bestuursorgaan dat , alleen of te zamen met andere , het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt Bewerker is: Degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. Voorbeeld: ICT dienstverlener, hosting provider, Cliënten registratie

7 Wat is een Datalek? Meld plicht Datalekken
Bij een Datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een Datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. We spreken van een Datalek als er een inbreuk is op de beveiliging van persoonsgegevens (zoals bedoeld in artikel 13 van de Wet bescherming persoonsgegevens). Bij een Datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking – dus aan datgene waartegen de beveiligingsmaatregelen bescherming moeten bieden. Als alleen sprake is van een zwakke plek in de beveiliging, spreken we van een beveiligingslek en niet van een Datalek. U hoeft dan geen melding te doen aan de Autoriteit Persoonsgegevens

8 Meld plicht Datalekken
Wanneer is er een DataLek? Er is alleen sprake van een Datalek als zich daadwerkelijk een beveiligingsincident heeft voorgedaan. Bij een beveiligingsincident moet u bijvoorbeeld denken aan : Verlies en diefstal van : Computer (laptop,tablet,pc) bedrijfstelefoon Video Camera USB-stick protale harddisk SD kaart papieren Dossiers geprinte klanten-, Cliënten-, Leerlingen lijst Andere voorbeelden: cyberaanvallen (incl. DDos), verzonden naar verkeerde adressen, afgedankte niet-schoongemaakte informatie dragers. Maar niet ieder beveiligingsincident is ook een Datalek. Er is sprake van een Datalek als er bij het beveiligingsincident persoonsgegevens verloren (verwijderen/wijzigen gegevens) zijn gegaan, of als u onrechtmatige verwerking van de persoonsgegevens niet redelijkerwijs kunt uitsluiten.

9 Meld plicht Datalekken
Wanneer is er een DataLek? Ransomware Ja

10 Wat zijn persoonsgegevens? Artikel 1 (a) WBP:
Meld plicht Datalekken Wat zijn persoonsgegevens? Artikel 1 (a) WBP: Persoonsgegevens : elk gegeven betreffende een geïdentificeerde of identificeerbare persoon; Data die direct of indirect herleidbaar is tot een persoon Direct : Naam, adres, Postcode + huisnummer Indirect: Sofinummer, GSM nr., Kenteken Auto, DNA profiel ,IP Adres

11 Boete Meld plicht Datalekken
De Wet Meldplicht Datalekken is in werking getreden op 1 januari Bij een Datalek is er sprake van overtreding van de Wbp. Dan kan een bestuurlijke boete worden opgelegd met een maximum van EURO. In bijzondere gevallen kan de privacytoezichthouder een nog hogere boete opleggen: tot EURO of, als dat niet passend is 10% van de netto jaaromzet van de onderneming.

12 Maatregelen Meld plicht Datalekken
Richtlijnen Entrea (digitale) informatie-uitwisseling, opslag en datalekken informatiebeveiliging bewerkersovereenkomst verzekerd tegen het lekken van persoonsgegevens functionaris voor de gegevensbescherming (FG) proces Datalekken protocol Meldplicht Datalekken registratie systeem voor Datalekken de tien geboden over privacy bij Entrea registratie formulier DataLek eindgebruiker bewustwording campagne Datalekken

13 Meld plicht Datalekken

14 Meld plicht Datalekken

15 Meld plicht Datalekken
Vragen?