Protokol za prijavo kršitev podatkov
Overwegingen
- Dena Textile Productions B.V. hecht belang aan een goede beveiliging van haar (elektronische) systemen waarin persoonsgegevens zijn opgeslagen en worden verwerkt.
- Het valt nooit volledig te voorkomen dat er een datalek zal plaatsvinden.
- Dena Textile Productions B.V. is op grond van de Algemene verordening gegevensbescherming (AVG) verplicht om (ernstige) datalekken te melden aan de Autoriteit Persoonsgegevens en aan de betrokkenen.
- Dena Textile Productions B.V. wenst aan haar wettelijke verplichtingen te voldoen.
- Dena Textile Productions B.V. heeft daarom een beleid geformuleerd om zo adequaat mogelijk te handelen indien er onverhoopt toch een datalek plaatsvindt.
1 - Definitie datalek
Er is sprake van een datalek als er een inbreuk op de beveiliging plaatsvindt die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.
2 - Interne verantwoordelijke melding datalekken
Dena Textile Productions B.V. heeft een interne verantwoordelijke voor de verwerking van datalekken aangesteld. Deze verantwoordelijke is de afdeling Marketing, met als 1e aanspreekpunt: Rolf van Eden.
3 - Interne melding bij ontdekking van een datalek
Degene die een datalek bij Dena Textile Productions B.V. ontdekt, meldt dit per omgaande aan de interne verantwoordelijke. Indien mogelijk, zorgt degene die het datalek heeft ontdekt er gelijktijdig voor dat de gelekte gegevens meteen op afstand worden gewist of ontoegankelijk gemaakt.
4 - Onderzoek door de interne verantwoordelijke
De interne verantwoordelijke onderzoekt onder meer: of er persoonsgegevens verloren zijn gegaan of onrechtmatig gebruikt kunnen worden; wie of welke afdelingen binnen de organisatie betrokken zijn bij het datalek; of er een verwerker betrokken is bij het incident.
5 - Bestrijding datalek
De interne verantwoordelijke stopt het datalek indien dat nog kan en neemt voorts de noodzakelijke maatregelen om het datalek zo goed mogelijk te bestrijden.
6 - Vaststelling van de gevolgen van een datalek
De interne verantwoordelijke onderzoekt de mogelijke gevolgen van het datalek aan de hand van de aard en de omvang van de gegevens die gelekt zijn en stelt vast wat de nadelige gevolgen van de betrokkenen kan zijn.
7 - Medewerking verstrekking gegevens omtrent het datalek
De ontdekker/melder van het datalek biedt alle medewerking aan de interne verantwoordelijke door zo snel en zo goed mogelijk (schriftelijk) antwoord te geven op vragen betreffende: wat is er gebeurd; ongeluk of kwade opzet; wanneer gebeurd; wanneer ontdekt; soort gelekte gegevens; versleuteling status; mogelijkheid afstandswissing; mogelijke gevolgen; getroffen groepen; aantal personen; betrokkenheid EU-landen; technische/organisatorische maatregelen.
8 - Beschikbaarheid personeel na ontdekking datalek
De verantwoordelijke van de afdeling vanuit waar het datalek heeft plaatsgevonden alsook de ontdekker van het datalek en iedereen die vanuit hun functie of kennis in staat is om organisatorische en/of technische maatregelen te treffen, houden zich de 1e 24 uur na ontdekking beschikbaar.
9 - Beslissing melding datalekken
De interne verantwoordelijke beslist zo spoedig mogelijk doch in elk geval binnen 60 uur na ontdekking of melding nodig is. Een datalek wordt in principe altijd gemeld aan de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het datalek een risico inhoudt voor de rechten en vrijheden van de betrokkenen.
10 - Melding datalekken aan de Autoriteit Persoonsgegevens en/of betrokkenen
De interne verantwoordelijke draagt zorg voor melding. Melding geschiedt zo spoedig mogelijk na de ontdekking en uiterlijk binnen 60 uur na ontdekking van het datalek. Geen andere werknemer mag zelfstandig melden.
11 - Gevolgen melding datalekken
Bij negatieve gevolgen bepaalt de interne verantwoordelijke de wijze van informatie, nazorg, en noodzakelijke acties. Indien een datalek heeft plaatsgevonden - ongeacht of deze is gemeld of niet - worden zo spoedig mogelijk adequate technische en/of organisatorische maatregelen getroffen.
12 - Bijhouden register datalekken
De interne verantwoordelijke houdt register bij met: incidentbeschrijving, datum/tijd datalek, ontdekkingsdatum, soort gegevens, betrokkenen categorieën, aantal personen, EU-landen betrokkenheid, meldingstatus aan autoriteiten en betrokkenen, informatiemethoden, gevolgen, en getroffen maatregelen.
Vprašanja over een (mogelijk) datalek kunnen worden gericht aan privacy@dena.nl.