Wat is een datalek?
We spreken van een datalek als er bewust of per ongeluk persoonsgegevens zijn vrijgegeven (gelekt), ingezien, gewijzigd of gewist. Voorbeelden van datalekken zijn:
- Diefstal van een laptop met persoonsgegevens die gebruikt worden bij werkzaamheden voor de EUR;
- Een e-mail met persoonsgegevens versturen naar de verkeerde collega/persoon;
- Cijferlijsten van studenten zijn zichtbaar op het internet;
- Een hacker verkrijgt toegang tot persoonsgegevens;
- Toegang krijgen tot mappen waar je geen toegang toe zou moeten hebben (bijvoorbeeld op Sharepoint of schijf);
- Een collega krijgt per ongeluk de salarisstrook van een ander;
- Het versturen van een e-mail waarin alle e-mailadressen in het CC-veld staan, in plaats van het BCC-veld;
- Een print met persoonsgegevens laten liggen bij de kopieermachine of printer.
Wat zijn de gevaren van een datalek?
De gevolgen en risico's van een datalek kunnen groot zijn. Of er gevolgen en risico's aan verbonden zijn en hoe groot deze zijn, hangt onder andere af van welke data is gelekt.
De volgende gevaren kunnen zich onder andere voordoen bij een datalek:
- Identiteitsfraude
- Oplichting
- Phishing
Wat te doen bij een (mogelijk) datalek?
Heb je een mogelijk datalek ontdekt? Meld dit dan direct bij de Service Desk via telefoonnummer (010) 408 88 80, per e-mail via it.servicedesk@eur.nl of door langs te lopen bij de balie op de begane grond van het Sanders gebouw (LB-029).
De medewerkers van de Service Desk weten hoe ze met een mogelijk datalek moeten omgaan. Ze registreren de melding discreet en zorgen dat dit bij de juiste collega terecht komt. Vervolgens wordt er contact met je opgenomen om meer informatie te verzamelen. Zo kunnen we bepalen of er echt sprake is van een datalek en of het gemeld moet worden bij de Autoriteit Persoonsgegevens.
Wat gebeurt er na melding van een datalek?
Je hebt melding van een mogelijk datalek gedaan, wat gebeurt er nu?
Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. De Privacy Officer neemt daarvoor een vragenlijst met je door.
Hoe lang heeft de ongewenste situatie plaatsgevonden, wat is de omvang van de groep die het betreft en wat is de schade voor betrokkenen indien iemand die kwaad in de zin heeft toegang heeft tot de gelekte data?
Welke stappen dienen gezet te worden om de ongewenste situatie zo snel mogelijk te eindigen? Is er vervolgonderzoek nodig om de impact te kunnen vaststellen?
Op welke wijze en met welke informatie kunnen de betrokkenen direct worden geïnformeerd over het voorval, zodat zij zijn geïnformeerd en zelf vervolgacties kunnen nemen die voor het mogelijke risico's wegnemen of verkleinen.
Beoordeling of het datalek bij de Autoriteit Persoonsgegevens (AP) gemeld moet worden.
De meldplicht datalekken houdt in dat organisaties (zowel bedrijven als overheden) direct een melding moeten doen bij de Autoriteit Persoonsgegevens (AP) zodra zij een ernstig datalek hebben. En soms moeten zij het datalek ook melden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt).