Het kan iedereen gebeuren, al is het natuurlijk niet fraai: data lekken. Maar áls het gebeurt, is het belangrijk om het datalek binnen 72 uur te melden bij Autoriteit Persoonsgegevens (AP). Als een organisatie verzuimt dat te doen, is dat fout op fout. Het kwam een afdeling van een politieke partij op een forse boete te staan.

Iedere keer als een geval van datalekken in de media komt, valt op hoe klungelig de gebeurtenis op zich is. Meestal gaat het om een vergeten datadrager, zoals een usb-stick, een laptop die iemand ergens heeft laten liggen of complete dossiers die per abuis bij het grofvuil worden gezet in plaats van opgehaald door een gespecialiseerd archiefvernietigingsbedrijf. Ook in dit geval is de aanleiding onoplettendheid. Een medewerker van de Overijsselse afdeling van de PVV stuurde een uitnodiging voor een evenement naar 101 geadresseerden, en vermeldde daarbij alle genodigden in de aanhef. Het gevolg: de e-mailadressen waren zichtbaar voor álle ontvangers.

Privacygevoelige informatie gedeeld

Omdat ontvangers van de e-mail kunnen zien wie de andere geadresseerden zijn, wordt daardoor privacygevoelige informatie (tools) gedeeld. Volgens de AP is direct te zien, of eenvoudig te herleiden, wat de identiteit van de andere ontvangers is. Bovendien heeft de afzender hiermee de politieke opvattingen van alle genodigden gedeeld; de mail was namelijk gericht aan ‘vrienden van de PVV’. De politieke opvatting van een persoon is in de Algemene verordening gegevensbescherming (AVG) (tools) een bijzonder persoonsgegeven en is extra beschermd. Iemands politieke kleur kan namelijk gevoelig liggen, negatieve gevolgen hebben voor iemands carrière en zelfs aanleiding zijn voor discriminatie.

Deze versturen we 3-4x per jaar.