Een klantlijst is naar het verkeerde adres gestuurd of een onbekende gebruiker opent uw systeem. Wacht niet tot alles duidelijk is om intern hulp in te schakelen. Beperk de schade en leg vast wat u weet. Het eerste uur hieronder is een praktische werkindeling, geen wettelijke hersteltermijn. De beoordeling van een datalek en meldplicht moet daarna met voldoende kennis worden uitgevoerd.
Stop verdere verspreiding en haal hulp erbij
- Meld het signaal direct via uw interne incidentkanaal. Geef een tijdstip, korte omschrijving en bereikbaar contact.
- Laat bevoegde mensen bijvoorbeeld een openbare link uitschakelen of toegang blokkeren. Wis niet zomaar bestanden of logboeken die nodig zijn voor onderzoek.
- Wijs één coördinator en een vervanger aan. Spreek af wie de leverancier belt en wanneer u de eerste bevindingen samen bespreekt.
Stuur de gelekte bijlage niet opnieuw rond als bewijs. Gebruik een beperkt incidentdossier met toegang voor de mensen die het moeten behandelen. Vraag technische hulp bij een systeemincident. Zelf willekeurig instellingen wijzigen kan de oorzaak verbergen of het herstel moeilijker maken. Noteer wie welke maatregel neemt en wat het resultaat is.
Voorbeeld: een klantenbestand naar een vreemde
| Tijd in het voorbeeld | Handeling | Open vraag |
|---|---|---|
| 09.10 uur | Medewerker meldt de verkeerde ontvanger. | Is de bijlage geopend of doorgestuurd? |
| 09.20 uur | Coördinator vraagt om verwijdering en bevestiging. | Kan toegang technisch worden ingetrokken? |
| 09.40 uur | Team controleert velden en aantallen. | Bevat het bestand meer dan contactgegevens? |
| 10.00 uur | Beslisser bespreekt risico en onderzoek. | Welke feiten ontbreken voor de meldbeoordeling? |
Dit is een verzonnen volgorde. Een verwijderbevestiging kan helpen, maar bewijst niet vanzelf dat niemand een kopie heeft. Noteer de onzekerheid en onderzoek verder. Beoordeel het risico voor de personen, niet alleen de schade aan uw bedrijfsnaam. Een kleine lijst met gevoelige informatie kan meer gevolgen hebben dan een groot bestand met weinig gevoelige gegevens.
Maak onderscheid tussen twee meldvragen
Als verantwoordelijke meldt u zonder onnodige vertraging, zo mogelijk binnen 72 uur na kennisname, aan de bevoegde toezichthouder. Dat hoeft niet als een risico voor personen onwaarschijnlijk is. Bij waarschijnlijk hoog risico informeert u ook de betrokken personen zonder onnodige vertraging; wettelijke uitzonderingen kunnen gelden. Een verwerker informeert de verantwoordelijke zonder onnodige vertraging. Registreer alle datalekken, ook als u niet extern meldt.
Maak het moment van kennisname en de reden voor uw beoordeling zichtbaar in het dossier. Ontbreken nog feiten bij een vereiste melding? De EDPB beschrijft dat informatie in fasen kan worden aangevuld. Wachten op een volledig eindrapport mag uw meldbeoordeling niet stilzetten. Laat bij twijfel de verantwoordelijke deskundige dezelfde dag naar de feiten kijken.
Eindig het uur met een duidelijke overdracht
Noteer als eigen werkafspraak: wat is gestopt, wat blijft onzeker, wie onderzoekt verder en wanneer volgt een nieuwe beoordeling? Voeg contactgegevens van de leverancier toe. Laat iemand anders controleren of de volgende actie echt een eigenaar heeft. Bereikbaarheid buiten kantooruren is vooral belangrijk als uw systemen en klanten dan doorwerken.
Regel het beleid na de acute aanpak
Het datalekbeleid is voor een vaste interne procedure. Het is geen ingevuld incidentrapport en verzendt geen melding. Gebruik tijdens een incident eerst uw bestaande procedure en de officiële meldinformatie. Dat kan gratis. Ontbreekt een vaste aanpak, dan helpt het document om taken en bereikbaarheid vooraf af te spreken. Oefen daarna met een verzonnen melding en controleer of uw meldpunt werkelijk antwoordt.