Registratie datalekken

De registratie van datalekken gaat nog niet altijd goed zo blijkt uit onderzoek van de AP. De kwaliteit van registers bij overheden zou bijvoorbeeld te wensen overlaten. In dit artikel krijg je diverse adviezen ter verbetering.

Uit een inventarisatie van datalekken in 2018 blijkt dat het in bijna twee derde van de gevallen gaat  om persoonsgegevens die naar een verkeerde ontvanger zijn gestuurd.

Datalekken vooral in de zorg en het openbaar bestuur

De meeste datalekken worden gemeld in de sectoren zorg en welzijn, het openbaar bestuur en de financiële dienstverlening. In 2018 werden bijna 21.000 datalekken gemeld, fors hoger dan de AP had ingeschat.

Ruim een derde van het aantal datalekken bestaat uit onder meer kwijtgeraakte persoonsgegevens, door bijvoorbeeld een verloren of gestolen laptop of usb-stick, of door hacking, phishing of malware. Meestal gaat het om NAW-gegevens, gegevens over geslacht, medische gegevens en het BSN. Gevallen van hacking en phishing blijken vooral vaak voor te komen in de zorg.

Kwaliteit registers loopt enorm uiteen

Volgens de AP loopt bij de onderzochte overheidsorganisaties de kwaliteit van datalekregisters ‘enorm’ uiteen. Van de onderzochte registers bevat volgens de AP ‘slechts 60%’ een complete omschrijving van de verplichte elementen van een datalekmelding (de feiten, de gevolgen en de genomen maatregelen).

In veel gevallen zijn er geen heldere regels om datalekken te registreren. Daardoor is het volgens de AP lastig om structurele fouten aan te pakken.

Adviezen: datalekken beter registreren

Naar aanleiding van het onderzoek heeft de AP adviezen opgesteld om datalekken beter te registreren.

  • Omschrijf incidenten, de gevolgen ervan én de corrigerende maatregelen duidelijk en volledig;
  • Maak expliciet onderscheid tussen corrigerende en preventieve maatregelen. Leg corrigerende maatregelen altijd vast in het datalekregister. Het kan nuttig zijn deze maatregelen mee te nemen in de plan-do-check/learn-act cyclus;
  • Voorkom versnippering van registraties; maak één overzichtelijke registratie die voor elk organisatie-onderdeel tot op hetzelfde inhoudelijke detailniveau wordt ingevuld. Overweeg bijvoorbeeld om de registratie inzichtelijk te maken voor alle medewerkers zodat zij het registratieoverzicht kunnen consulteren voordat zij zelf iets registreren;
  • Neem per incident op of de functionaris voor de gegevensbescherming (FG) betrokken is, en zo ja in welke mate;
  • Neem per incident op of het datalek is gemeld bij de AP en bij betrokkenen en motiveer daarbij waarom dat wel of niet is gebeurd;
  • Wees transparant richting de getroffen personen als er een datalek is geweest. Communiceer hier doeltreffend en tijdig over. Bewaar het bewijs van die mededeling en neem deze op in de registratie.
  • Stel een handleiding op of verzorg een training voor de medewerkers die de datalekregistratie invullen. Deze instructie kan onderdeel uitmaken van een gedocumenteerde meldingsprocedure voor de meldplicht datalekken.
  • Leg vast welke andere organisaties betrokken zijn geweest bij een inbreuk (bijvoorbeeld medeverwerkingsverantwoordelijken, verwerkers of sub-verwerkers). Dit is handig als een organisatie nieuwe verwerkersovereenkomsten sluit met de desbetreffende verwerkers.
  • Overweeg datalekken in te delen naar aard, gevolgen en betrokkenen en mogelijke maatregelen;
  • Bespreek de datalekregistratie regelmatig op het juiste niveau binnen de organisatie, als onderdeel van een plan-do-check/learn-act cyclus. Zo kunnen organisaties leren van fouten. De FG kan bij deze besprekingen een actieve rol vervullen.
Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

Jaarrapportage informatiebeveiliging; waar rapporteer je als CISO over?
Als Chief Information Security Officer (CISO) is het belangrijk om een duidelijk beeld te hebben van hoe het gesteld is met de informatiebeveiliging binnen de organisatie én om dit beeld te delen met het management/bestuur. Een jaarrapportage is hiervoor een uitstekend middel. In deze blog lees je waarom dit belangrijk is en welke onderwerpen je hierin kan opnemen.
Wat zet je in je jaarrapportage privacy?
Het is aan te raden om als Functionaris Gegevensbescherming (FG) te rapporteren over privacy. In de jaarrapportage staat beschreven welke acties en maatregelen er het afgelopen jaar zijn genomen op privacyvlak. Waarom dit belangrijk is en op welke onderdelen je allemaal moet rapporteren, lees je in deze blog.
Leren van de informatiebeveiligingsincidenten van het afgelopen jaar
: Ook al neem je nog zoveel beveiligingsmaatregelen, deze zijn niet altijd waterdicht. Vroeg of laat krijgt elke organisatie te maken met beveiligingsincidenten. Het is daarom belangrijk dat je goed voorbereid bent. In deze laatste blog van het jaar daarom een overzicht van een aantal informatiebeveiligingsincidenten van 2022 en wat we hiervan kunnen leren.

Meer recente berichten

Onduidelijkheid over Google Analytics duurt voort: Complexe zaak
Verder lezen
Cisco legt pijnlijk probleem bloot door lekken in oudere routers te negeren
Verder lezen
Wat betekent NIS2 voor Nederlandse organisaties?
Verder lezen
Ministers van Financien EU: Digitale Euro moet privacy beschermen
Verder lezen
EC komt deze zomer met wetsvoorstel digitale euro
Verder lezen
Politiek wil mkb keurmerk voor cyber security leveranciers
Verder lezen
Kritiek op niet naleven securityregels overheidswebsites: geen rocketscience
Verder lezen
AP wordt landelijk coordinator algoritmetoezicht
Verder lezen
Studentengegevens mogen best in Amerikaanse cloud van kabinet 
Verder lezen
NCSC mag security informatie breder delen
Verder lezen