Datalek Protocol - Mio Mondo

1. Definitie van een Datalek

Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens. Dit kan opzettelijk of onopzettelijk gebeuren, zowel fysiek als digitaal. Voorbeelden van datalekken zijn:

• Het hacken van een server waarop persoonsgegevens zoals e-mailadressen en wachtwoorden staan.
• Verlies van een USB-stick, telefoon of andere opslagmedia met persoonsgegevens.
• Onbedoeld versturen van vertrouwelijke informatie naar een verkeerd adres of persoon.
• Het weggooien van oud papier of apparaten met persoonsgegevens zonder deze correct te vernietigen.

2. Voorbeelden van Datalekken

Enkele voorbeelden van mogelijke datalekken binnen Mio Mondo zijn:

• Een verloren USB-stick met cliëntgegevens.
• Het per ongeluk versturen van een vertrouwelijk document naar een verkeerd e-mailadres.

3. Herkennen van een Datalek

Als je twijfelt of een bepaalde situatie een datalek is, neem dan direct contact op met de eigenaresse. De volgende situaties kunnen een datalek vormen:

• Persoonsgegevens zijn onjuist vernietigd of verloren gegaan.
• Persoonsgegevens zijn gelekt naar derden zonder toestemming.

4. Wat te doen bij een Datalek?

Volg de onderstaande stappen wanneer je een datalek ontdekt of veroorzaakt:

a. Meld het incident

• Meld direct het datalek aan de eigenaresse van Mio Mondo. Dit kan via telefoon of e-mail (info@miomondo.nl).
• Deel geen informatie over het datalek met andere personen binnen of buiten de organisatie, tenzij de eigenaresse dat toestaat.

b. Verzamel informatie

Probeer zo veel mogelijk relevante informatie te verzamelen over het incident. De volgende vragen zijn van belang:

• Wat is er gebeurd?
• Wat is de aard van het incident? (bijvoorbeeld: lezen, kopiëren, wijzigen, vernietigen, diefstal).
• Wanneer en hoe lang heeft het incident plaatsgevonden?
• Welke persoonsgegevens zijn erbij betrokken?
• Wat zijn de mogelijke gevolgen voor de betrokkenen? Denk hierbij aan identiteitsfraude, schade aan reputatie, financiële schade, etc.
• Zijn er personen betrokken die in andere landen van de EU wonen?

c. Beveiliging en beperking van gevolgen

• Is er een back-up van de persoonsgegevens beschikbaar?
• Waren de gegevens beveiligd? Denk hierbij aan versleuteling, hashing of pseudonimisering.
• Welke acties kunnen worden ondernomen om verdere schade te voorkomen?

5. Acties door de Eigenaresse

De eigenaresse beoordeelt of het incident als een datalek moet worden aangemerkt en of dit moet worden gemeld aan de Autoriteit Persoonsgegevens en/of de betrokken personen. Daarbij zullen de volgende criteria worden gehanteerd:

• De ernst van het datalek: Hoe groot is het risico op schade voor de betrokkenen?
• Aantal betrokkenen en de aard van de gelekte gegevens.
• Mogelijke schade aan de betrokkenen, zoals identiteitsfraude of financiële verliezen.

De melding naar de Autoriteit Persoonsgegevens dient binnen 72 uur na ontdekking van het datalek te gebeuren, tenzij het onwaarschijnlijk is dat het lek risico's oplevert voor de rechten en vrijheden van de betrokkenen.

6. Communicatie met Betrokkenen

Als blijkt dat het datalek een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen, moet Mio Mondo de betrokkenen onverwijld informeren. De melding dient de volgende informatie te bevatten:

• Een beschrijving van de aard van het datalek.
• De contactgegevens van de verantwoordelijke binnen Mio Mondo voor nadere informatie.
• De mogelijke gevolgen van het datalek voor de betrokkenen.
• De genomen maatregelen om de schade te beperken.

7. Documentatie en Rapportage

Elke inbreuk op persoonsgegevens, of deze nu wordt gemeld of niet, moet door de eigenaresse worden gedocumenteerd. Deze documentatie bevat:

• Feiten over het datalek.
• Gevolgen van het datalek.
• De genomen corrigerende en preventieve maatregelen.

8. Preventieve Maatregelen

Mio Mondo zal proactieve maatregelen nemen om het risico op datalekken te minimaliseren, waaronder:

• Regelmatige beveiligingstests en audits.
• Bewustwording en training van medewerkers over dataveiligheid en privacy.
• Het beveiligen van fysieke en digitale opslaglocaties met persoonsgegevens.