Een ondernemer ontdekt dat klantcontactgegevens onbevoegd toegankelijk waren. De toegang is afgesloten, maar nog niet bekend is of gegevens zijn gekopieerd. “Het probleem is opgelost” vertelt klanten te weinig. Beschrijf welke blootstelling bekend is, wat de maatregel werkelijk stopt en welke gevolgen nog mogelijk zijn. Laat noodzakelijke waarschuwing niet wachten op een perfect eindrapport.
Schrijf vanuit het risico voor de ontvanger. Houd vastgestelde blootstelling, mogelijke gevolgen en nog onbekende informatie uit elkaar.
Informeren van personen heeft een eigen toets
AVG artikel 34 verlangt informatie zonder onnodige vertraging bij een waarschijnlijk hoog risico voor rechten en vrijheden. Beoordeel ook de toepasselijke uitzonderingen. De 72 uur in artikel 33 gaat over de toezichthoudermelding, niet over een algemene wachttijd voor de klantwaarschuwing. Een melding aan de Autoriteit Persoonsgegevens vervangt daarom niet de afzonderlijke beoordeling of klanten moeten worden geïnformeerd.
Gebruik twee zinnen voor feit en onzekerheid
Bijvoorbeeld: “Wij hebben op 8 oktober de onbevoegde toegang tot het bestand afgesloten. Wij onderzoeken nog of gegevens uit het bestand zijn gekopieerd.” Zo is duidelijk dat afsluiten een maatregel is en niet bewijst dat eerder misbruik onmogelijk was. Geef geen echte wachtwoorden, andere klantnamen of onnodige gegevens opnieuw prijs. Pas uw tekst aan de daadwerkelijk getroffen ontvanger aan.
Maak de waarschuwing herkenbaar en uitvoerbaar
Noem in duidelijke taal de aard van het incident, een bereikbaar contactpunt, waarschijnlijke gevolgen en genomen of voorgenomen maatregelen. Voeg alleen passende klantstappen toe. Bij een risico op misleidende berichten kunt u bijvoorbeeld adviseren onverwachte betaalverzoeken via een al bekend contactkanaal te controleren. Vraag geen betaling of identiteitskopie om de waarschuwing te bevestigen. Bewaar verzendgegevens en geef relevante nieuwe informatie door.