Jaarlijks komen er meer dan 20.000 gemelde datalekken binnen bij de Autoriteit Persoonsgegevens, AP. De toezichthouder zet zich in om te zorgen dat ieder slachtoffer wordt geinformeerd, maar soms worden datalekken bewust of onbewust verzwegen. Is meer proactief toezicht nodig?

Wie te maken krijgt met een datalek moet zich volgens de Algemene Verordening Gegevensbescherming, AVG, binnen 72 uur melden bij de AP. Doe je dat volgens de regels, dan moet je een reeks vragen beantwoorden om de AP in staat te stellen om het lek en de gevolgen ervan goed in beeld te krijgen. Mogelijk volgen daarna nog meer vragen. Een datalek melden vergt in sommige gevallen veel van organisaties. Er kunnen diverse maatregelen worden opgelegd, waaronder een verplichte externe audit met een flink prijskaartje. Een datalek niet melden, in de hoop er makkelijk vanaf te komen, wordt daardoor aantrekkelijker. Hoe ontdekt de AP deze verborgen datalekken?

De kans dat een organisatie helemaal wegkomt met een datalek is zeer klein, vertelt Dennis Davrados, Teamleider Datalekken bij de AP. We houden toezicht aan de hand van de datalekmeldingen. Momenteel krijgen we tot 23.000 meldingen per jaar. Een groot deel van die duizenden datalekken is volgens Davrados met elkaar verweven. Dat heeft vooral te maken met datalekken bij IT bedrijven. Wanneer cybercriminelen bij een IT dienstverlener weten binnen te dringen, worden soms honderden organisaties getroffen die zich allemaal moeten melden.

Hoe meldingen worden behandeld

Bij het meldloket komen de meldingen van de klantorganisaties van zo n IT leverancier, bijvoorbeeld van huisartsenpraktijken of scholen. Wanneer we gedurende de dag steeds meer meldingen zien binnenkomen met betrekking tot een IT bedrijf, is dat voor ons een trigger, aldus Davrados. De AP neemt dan contact op met de IT leverancier in kwestie om de volledige klantenlijst in te zien. Op die manier krijgen wij ook diverse organisaties die een datalek niet melden in beeld. Wat ook regelmatig voorkomt, is dat gevallen van datalekken in de media verschijnen en zo bij de AP terechtkomen.

Deze versturen we 3-4x per jaar.