Wanneer een bedrijf de controle over persoonsgegevens verliest, begint de klok snel te tikken. Onder de Britse en EU-GDPR stellen de GDPR-datalek 72-uursregels een harde deadline voor het informeren van toezichthouders over wat er is gebeurd. Voor de mensen wier gegevens zijn blootgesteld, zijn die regels ook belangrijk, omdat ze bepalen wat je hoort, wanneer je het hoort en wat je vervolgens moet doen.

Deze gids legt het proces in begrijpelijke taal uit, zowel vanuit het perspectief van het bedrijf als vanuit dat van jou.

Wanneer de 72-uursklok begint

Het venster van 72 uur is gebouwd rond één idee: bewustzijn. Volgens artikel 33 van de GDPR moet een verwerkingsverantwoordelijke een datalek binnen 72 uur nadat hij er kennis van heeft genomen, melden bij de bevoegde toezichthoudende autoriteit. In het Verenigd Koninkrijk is dat de Information Commissioner's Office (ICO). In de EU is dat de gegevensbeschermingsautoriteit van de betreffende lidstaat.

Twee punten zorgen vaak voor verwarring:

  • De klok begint bij bewustzijn, niet bij de aanval. Een datalek kan dagen of weken eerder hebben plaatsgevonden. De deadline loopt vanaf het moment dat de organisatie een redelijke mate van zekerheid heeft dat persoonsgegevens zijn gecompromitteerd.
  • De deadline is geen pauze voor onderzoek. Van organisaties wordt verwacht dat zij snel handelen. Wanneer volledige details nog niet beschikbaar zijn, is de gebruikelijke aanpak om te melden wat bekend is en vervolgens gefaseerd aanvullende informatie te verstrekken.

Het missen van de deadline zonder redelijke rechtvaardiging kan op zichzelf een schending van artikel 33 vormen, wat de verwerkingsverantwoordelijke blootstelt aan handhavingsmaatregelen, aldus juridisch commentaar op de regel.

Een praktische opmerking: de 72 uur omvat weekends en feestdagen. Datalekken wachten niet op kantooruren, dus een getest incidentresponsplan is belangrijker dan een goede intentie.

Wat bedrijven de ICO en getroffen personen moeten vertellen

Het informeren van de toezichthouder en het informeren van individuen zijn twee afzonderlijke verplichtingen met verschillende triggers.

De ICO informeren. Een melding is over het algemeen vereist, tenzij het datalek waarschijnlijk geen risico vormt voor de rechten en vrijheden van mensen. De melding moet de aard van het datalek beschrijven, de categorieën en bij benadering het aantal getroffen personen en gegevens, de waarschijnlijke gevolgen, en de maatregelen die zijn genomen of voorgesteld om het aan te pakken. Ook moeten contactgegevens van de functionaris voor gegevensbescherming van de organisatie worden opgenomen.

Individuen informeren. Wanneer een datalek waarschijnlijk een hoog risico vormt voor mensen, moet de organisatie ook de getroffenen zonder onredelijke vertraging informeren. Die boodschap moet in duidelijke taal zijn geschreven en uitleggen wat er is gebeurd, wat de waarschijnlijke gevolgen zijn en welke stappen mensen kunnen nemen om zichzelf te beschermen.

De drempel voor het contacteren van individuen is hoger dan de drempel voor het contacteren van de toezichthouder. Gestolen paspoortscans, gezondheidsdossiers of financiële gegevens zitten daar doorgaans ruim boven. Casussen zoals het Deadlock-ransomwarelek van LT Group-paspoortgegevens laten zien hoe identiteitsdocumenten in handen van criminelen kunnen belanden, precies het soort blootstelling dat op hoog risico wijst.

Van organisaties wordt ook verwacht dat zij een intern register bijhouden van elk datalek, inclusief de datalekken die zij besluiten niet te melden, samen met de redenering.

Wat je moet doen als je gegevens zijn blootgesteld

Een kennisgeving van een datalek kan abstract aanvoelen. Hier is een concrete checklist die je dezelfde dag kunt doorlopen.

  1. Wijzig het getroffen wachtwoord en alle hergebruikte wachtwoorden. Als hetzelfde wachtwoord andere accounts beschermt, wijzig die dan ook. Gebruik een uniek wachtwoord per dienst, bij voorkeur opgeslagen in een wachtwoordmanager.
  2. Schakel multi-factorauthenticatie in. Geef waar mogelijk de voorkeur aan een authenticator-app of een hardwarematige sleutel boven sms-berichten.
  3. Lees de kennisgeving zorgvuldig. Noteer welke gegevenstypen betrokken waren: contactgegevens, identiteitsdocumenten, gezondheids- of financiële informatie. Dit vertelt je welke risico's je prioriteit moet geven.
  4. Houd je accounts in de gaten. Controleer bank- en kaartafschriften en overweeg een kredietmonitoringsdienst als financiële gegevens of identiteitsdocumenten betrokken waren.
  5. Wees sceptisch over onverwacht contact. E-mails, sms'jes of telefoontjes die verwijzen naar het datalek kunnen echt zijn, maar ook scams die het als aanknopingspunt gebruiken.
  6. Dien een verzoek om inzage in. Onder de Britse en EU-GDPR kun je een organisatie vragen welke persoonsgegevens zij over jou heeft en in veel gevallen hoe deze worden gebruikt. Dit helpt je je werkelijke blootstelling te begrijpen en creëert een paper trail.
  7. Ken je klachtroute. Als je vindt dat het bedrijf het incident slecht heeft afgehandeld, kun je dit melden bij de ICO in het VK of bij je nationale gegevensbeschermingsautoriteit in de EU.

Waarom gestolen gegevens vervolgscams aanwakkeren

Het oorspronkelijke datalek is vaak slechts de eerste fase. Gestolen gegevens hebben doorverkoop- en afpersingswaarde, en aanvallers gebruiken ze steeds vaker om individuen rechtstreeks onder druk te zetten.

Berichtgeving over de AnMed-ransomwareaanval en patiëntafpersingsscam laat zien hoe dit werkt: rapporten suggereerden dat aanvallers mogelijk gestolen patiëntgegevens hebben gebruikt om gepersonaliseerde afpersingspogingen uit te voeren tegen de mensen aan wie ze toebehoorden. Persoonlijke details maken een dreiging geloofwaardig, waardoor deze berichten zo effectief kunnen zijn.

Lekken kunnen ook openbaar zijn. In het geval van ShinyHunters die 8,8 TB gestolen One Medical-gegevens lekken werden gegevens gepubliceerd na afpersingsdruk, wat betekent dat iedereen er mogelijk toegang toe kon krijgen. Zodra informatie openbaar is, kan deze nog lang nadat het oorspronkelijke incident vergeten is, worden gebruikt voor phishing, impersonatie en gerichte fraude.

Daarom is tijdige kennisgeving belangrijk. Hoe eerder mensen het weten, hoe eerder ze accounts kunnen beveiligen en een scam kunnen herkennen voor wat die is. Kleine organisaties zijn ook niet vrijgesteld, zoals de Jaipur-ransomwarezaak illustreert: ransomware maakt geen onderscheid naar bedrijfsgrootte, en een team zonder toegewijde beveiligingsmedewerkers heeft nog steeds een responsplan nodig.

Wat dit voor jou betekent

De wet geeft je een redelijke verwachting dat een bedrijf de toezichthouder binnen 72 uur na het ontdekken van een datalek informeert, en jou rechtstreeks informeert als het risico voor jou hoog is. Het garandeert niet dat je gegevens veilig blijven, en het kan een lek niet ongedaan maken. Jouw eigen reactie is wat de schade beperkt.

Als je een bedrijf runt, behandel de 72 uur dan als een planningsbeperking: weet wie beslist of een datalek meldingsplichtig is, wie de ICO contacteert en hoe je getroffen klanten snel zou bereiken.

Belangrijkste punten

  • De periode van 72 uur begint wanneer een organisatie kennis neemt van een datalek, niet wanneer het begon.
  • De ICO of EU-autoriteit moet worden geïnformeerd tenzij het risico voor mensen onwaarschijnlijk is; individuen moeten worden geïnformeerd wanneer het risico hoog is.
  • Wijzig wachtwoorden, schakel multi-factorauthenticatie in en houd je accounts in de gaten zodra je een kennisgeving ontvangt.
  • Behandel elk bericht dat een datalek vermeldt met voorzichtigheid, omdat criminelen gestolen gegevens hergebruiken voor afpersing en phishing.
  • Gebruik je recht om je gegevens op te vragen om te zien wat een organisatie heeft.

Inzicht in de GDPR-datalek 72-uursregels helpt je beoordelen of een bedrijf juist handelt, maar je beste bescherming is zelf snel handelen. Beveilig je accounts vandaag, blijf alert op vervolgscams en lees de berichtgeving over AnMed en ShinyHunters hierboven om te zien hoe gelekte gegevens in de praktijk worden misbruikt.