Wat betekent de meldplicht datalekken voor u?

Aon Risk Solutions

Wat betekent de meldplicht datalekken voor u? Wijziging Wet bescherming persoonsgegevens - Januari 2016

Risk. Reinsurance. Human Resources.

Wat gaat er veranderen? De Wet bescherming persoonsgegevens (Wbp) is per 1 januari 2016 gewijzigd en er geldt een meldplicht voor datalekken. Organisaties die verantwoordelijk zijn voor de verwerking van persoonsgegevens, zijn voortaan verplicht om een datalek bij de Autoriteit Persoonsgegevens (AP) te melden. Vaak moeten zij ook degene(n) informeren van wie de gelekte persoonsgegevens zijn. Het fenomeen ‘datalek’ is breed gedefinieerd. Daardoor krijgt u al snel met de meldplicht te maken. Voorbeelden van een datalek zijn o.a. een verloren USB-stick, een hacker die databestanden steelt, malware die

persoonsgegevens aantast en een e-mail met privacy-gevoelige gegevens die verstuurd is naar een onjuiste persoon. • Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens zonder dat dit de bedoeling is van de organisatie. • Boetes bij een datalek kunnen oplopen tot maximaal EUR 820.000 of 10% van de jaaromzet. • Schade en claims voortvloeiend uit een datalek worden doorgaans niet gedekt door de traditionele verzekering.

Verplichtingen

Acties

• U dient een gerechtvaardigd doel te hebben voor het opslaan van privacygevoelige gegevens. • Gegevens mogen niet langer worden bewaard dan noodzakelijk. • Een datalek moet binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens. • U dient passende technische en organisatorische maatregelen te nemen, bijvoorbeeld: - encryptie van bestanden; - risicoanalyse om kwetsbaarheden te ontdekken. - Informeren van betrokkenen (de personen van wie u de gegevens lekt).

• Breng in kaart welke software/applicaties u gebruikt en waar data wordt opgeslagen. • Weet welke gegevens u bewaart, bewerkt en verwerkt. • Stel een crisisplan op. • Zoek uit wie binnen uw organisatie verantwoordelijk is voor het melden van een datalek, en hoe u een datalek meldt. • Voer een risicoanalyse uit en neem de vereiste beheersmaatregelen. • Ga bewerkersovereenkomsten aan met externe partijen die beschikking hebben over uw data. • Herzie uw contractmanagement om aansprakelijkheid bij een incident te regelen.

Let op ketenaansprakelijkheid! Maakt u gebruik van externe leveranciers voor de opslag van uw data, zoals datacenters en cloud providers, sluit dan bewerkersovereenkomsten af. U bent namelijk ook verplicht om een datalek bij zo’n leverancier te melden.

Wanneer en hoe meldt u een datalek? Er zijn bij een lek drie opties: • U hoeft geen melding te maken. • U moet melding maken bij de AP. • Het lek moet zowel bij de AP als de getroffen personen worden gemeld

JA

Is er sprake van ernstige nadelige gevolgen voor de bescherming van persoonsgegevens?

JA Heeft het lek ernstige nadelige gevolgen voor de persoon van wie de gegevens zijn?

NEE

DATALEK?

NEE

U hoeft geen actie te ondernemen.

NEE

JA Binnen 72 uur onverwijld melden aan: - Autoriteit Persoonsgegevens (via webformulier) - personen op wie de gegevens betrekking hebben.**

U dient het lek binnen 72 uur onverwijld* te melden aan Autoriteit Persoonsgegevens (via webformulier).

Actie vereist? Aon kan u helpen. Organisaties die voor persoonsgegevens verantwoordelijk zijn, dienen volgens de Wet bescherming persoonsgegevens zelf technische en organisatorische maatregelen te treffen tegen verlies of onrechtmatige verwerking van data. Zulke maatregelen houden niet alleen het beveiligingsniveau van ‘uw’ persoonsgegevens zelf op niveau; ze vergroten ook het bewustzijn binnen uw organisatie. Uiteindelijk is het zaak dat een scherpere databeveiliging raakt ingebed in de dagelijkse praktijk.

en in de risico’s voor de betrokkenen en voor uw organisatie. Ook het risicobewustzijn binnen uw organisatie groeit met een PIA.

Crisisplan

Aon kan u helpen bij diverse maatregelen:

Met crisisplanning, trainingen en oefeningen – en met het opstellen van protocollen en crisisplannen – helpt Aon uw organisatie bij de voorbereiding op een eventuele cybercrisis. Maar we zijn er ook als het misgaat: tijdens een crisis geven we advies, achteraf evalueren we het incident samen met u om ervan te leren.

Risicoanalyse

Verzekeringsportefeuille

Voor systematisch inzicht in cyberrisico’s is een risicoanalyse cruciaal. Aon helpt u bij die analyse en zet de abstracte dreiging van een datalek om in een concrete aanpak. Onze benadering is een aanvulling op uw reguliere IT-security. Wij helpen u om eventuele schade en kosten van een cyberincident te beheersen.

Privacy Impact Assessment Een privacy impact assessment (PIA) is hét middel om privacy-risico’s gestructureerd en helder in beeld te krijgen. De PIA geeft inzicht in de impact van een datalek

Een datalek kan leiden tot forse financiële schade. Denk daarbij aan een boete van de AP, een privacy-claim van de betrokkene(n) of ondersteuning van IT-experts bij dataherstel. Deze kosten zijn doorgaans niet gedekt door traditionele verzekeringspolissen. Aon adviseert u om uw verzekeringsportefeuille goed te controleren en aan te laten sluiten op de digitale risico’s. Wij helpen u op weg naar een op maat gemaakte verzekering die de belangrijkste cyberrisico’s dekt, van mogelijke aansprakelijkheidsrisico’s tot eigen kosten voor de organisatie bij een calamiteit.

* ‘Onverwijld’ houdt in dat u, na het ontdekken van een mogelijk datalek, enige tijd mag nemen voor nader onderzoek om een onnodige melding te voorkomen. Blijkt een melding nodig, dan doet u die uiterlijk 72 uur na de ontdekking van het incident. Is vlak voor de deadline nog niet geheel duidelijk wat er is gebeurd en om welke persoonsgegevens het gaat, dan doet u de melding op basis van de gegevens waarover u op dat moment beschikt. U kunt een melding naderhand altijd nog aanvullen of intrekken. ** Met uitzondering van financiële instellingen: zij hoeven een datalek niet te melden aan betrokkene(n)

Bent u voorbereid? RISICOANALYSE

PRIVACY IMPACT ASSESSMENT

CRISISPLAN

VERZEKERINGSPROGRAMMA

• Kent u de belangrijkste digitale assets van uw organisatie? • Kent u de belangrijkste digitale risico’s en heeft u daar beheersmaatregelen tegen genomen? • Kent u uw contractuele verplichtingen richting externe partijen? • Heeft u met uw (digitale) leveranciers een bewerkersovereenkomst afgesloten? • Heeft u een duidelijk beeld van de schade voor uw organisatie bij een systeemuitval?

• Weet u welke gevoelige gegevens u beheert en verwerkt? • Is het duidelijk wie verantwoordelijk is voor de verwerking van de gegevens? • Heeft uw opslag van persoonsgegevens een gerechtvaardigd doel? • Weet u of deze gegevens veilig zijn en kunnen ze bij verlies worden teruggehaald? • Weet u of deze gegevens encrypted zijn? • Weet u welke systemen en applicaties van vitaal belang zijn voor de opslag en vewerking van deze gegevens?

• In hoeverre is uw organisatie voorbereid op calamiteiten en een crisis? • In hoeverre is uw organisatie voorbereid op ICT- en cyberincidenten? • Heeft u een plan voor het geval zich een ICT-incident voordoet? • Heeft u een protocol waarin staat wie, waar en wanneer melding maakt? • Weet u welke notificatie u bij een datalek moet versturen aan betrokkenen? • Weet u welke (externe) stakeholders u bij een datalek moet inschakelen? (IT forensics, juridische ondersteuning)

• Kent u uw actuele risico’s (externe bedreigingen, interne kwetsbaarheden)? • Weet u wat de financiële gevolgen zijn wanneer deze risico’s zich voordoen? • Wat mag u in dat geval van uw huidigie verzekeringsprogramma verwachten? • Wat zijn de mogelijkaheden van een cyberverzekering? • Hoe verloopt het aanvraagproces van een cyberverzekering?

Oorzaken � Incidenten � Bewuste poging � Kwade opzet � Medewerker � Derde partij

Kenmerken � Hack of datalek � Virus, Malware etc. � Cyber afpersing � Identiteitsfraude � Ongeautoriseerde toegang � Systeemverstoringen � Informatievernietiging � Diefstal � Smaad & laster � Privacy schending � Verlies en misbruik van IP

Gevolgen � Melding datalek � Systeemverstoringen � Onderzoek � Schade digitale gegevens � Afpersing � Wettelijke aansprakelijkheid jegens klanten, leveranciers � Behoefte juridisch advies, PR & Communicatie � Bedrijfsstilstand � Incident-response, crisis management

Resultaten � Reconstructie- en notificatiekosten � Kosten juridische bijstand, claims, crisis management � Boetes � Toename Compliance kosten � Vervangingskosten � Daling (klant) vertrouwen � Impact beurskoers � Merk- en reputatieschade

In het kort • Per 1 januari 2016 is de Wet bescherming persoonsgegevens (Wbp) gewijzigd. De privacywetgeving is nu strikter. Het toezicht is in handen van de Autoriteit Persoonsgegevens (voorheen College Bescherming Persoonsgegevens). • U dient een gerechtvaardigd doel te hebben voor het opslaan van privacygevoelige gegevens. • Een datalek dient binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld te zijn. • Verzuimt u dat te doen, dan kan de Autoriteit Persoonsgegevens boetes uitdelen tot EUR 820.000 of 10% van de jaaromzet. • Er gelden extra verplichtingen bij de verwerking van persoonsgegevens (wettelijke grondslag, expliciete toestemming van consument). • U dient passende technische en organisatorische maatregelen te nemen om een datalek te voorkomen.

Waarop moet u letten? Aon heeft ruime ervaring met de advisering over cyberrisico’s. Wij weten wanneer organisaties rekening moeten houden met deze risico’s. In de onderstaande gevallen moeten bedrijven en organisaties extra alert zijn. • Als persoonlijke gegevens worden verzameld, bewaard, verwerkt of opgeslagen. • Als de organisatie sterk afhankelijk is van elektronische processen of computernetwerken. • Als de organisatie voor de bedrijfsvoering intensief samenwerkt met leveranciers, service providers en andere derden. • Als de organisatie te maken heeft met wettelijke bepalingen op het gebied van data, privacy of systeembeveiliging. • Als er zorg bestaat over de materiële schade die kan voortvloeien uit cybercriminaliteit, bedrijfsspionage en systeemuitval. • Als medewerkers onvoldoende zijn opgeleid of onvoldoende zijn voorbereid op incidenten die te maken hebben met cyberrisico’s.

Over Aon Aon plc, genoteerd aan de effectenbeurs van New York (NYSE:AON), is een toonaangevende wereldwijde adviseur op het gebied van risicomanagement, makelaar van (her)verzekeringen en biedt HR-oplossingen en outsourcing services. Onze organisatie heeft wereldwijd meer dan 72.000 medewerkers in ruim 120 landen en heeft maar een doel: het innovatief ondersteunen van klanten op het gebied van risico’s en mensen. We empower results: wij delen onze kennis en data, zodat klanten zich kunnen blijven bezighouden met succesvol ondernemen. In Nederland heeft Aon negen vestigingen met 1.660 medewerkers. Aon maakt deel uit van Aon plc in Londen, Verenigd Koninkrijk. Ga naar www.aon.nl voor meer informatie over Aon en naar www.aon.com/manchesterunited om meer te lezen over het wereldwijde partnership met Manchester United. © 2016 Aon Nederland All rights reserved. No part of this report may be reproduced, stored in an automated data file or published, in any form or manner whatsoever, electronically, mechanically, by photocopying, recording or any other manner, without prior written permission of Aon.

Contact mr. Leslie (L.A.) Clement +31 (0)10 448 78 02 +31 (0)6 463 422 94 [email protected]

Wessel Exterkate +31 (0)6 113 169 84 [email protected]

1023-04-datalekken-V2

aon.nl/cyber

Risk. Reinsurance. Human Resources.