U moet een overzicht bijhouden van alle datalekken die onder de meldplicht vallen. Per datalek bevat het overzicht in ieder geval feiten en gegevens omtrent de aard van de inbreuk. Als het datalek is gemeld aan de betrokkene, dan neemt u ook de tekst van de kennisgeving aan de betrokkene in het overzicht op (artikel 34a lid 8 Wbp).
De wet schrijft niet voor hoe lang u het overzicht moet bewaren. Ga uit van een bewaartermijn van minimaal een jaar. In bepaalde gevallen kan het nodig zijn om een langere bewaartermijn te hanteren.45Handelingen I 2014/15, nr. 12, blz. 5. Het onderstaande schema biedt u hiervoor een beslismodel.
U hoeft uitsluitend gegevens vast te leggen over datalekken die onder de meldplicht vallen. Mocht u nog niet hebben vastgesteld of het betreffende datalek onder de meldplicht valt, doorloop dan eerst de stappen uit hoofdstuk 3 van deze beleidsregels.
De vragen uit het bovenstaande schema worden nader toegelicht in hoofdstuk 7 van deze beleidsregels.
Het bovenstaande schema gaat ervan uit dat u de gegevens voor de volgende doeleinden bewaart:
lering trekken uit het datalek en uit de wijze waarop u dit heeft afgehandeld;
antwoord kunnen geven op vragen van betrokkenen en anderen;
alsnog melden van het datalek aan de betrokkenen, indien u dit in eerste instantie achterwege hebt gelaten en de omstandigheden vereisen dat u dit alsnog doet.
Dit laatste kan zich bijvoorbeeld voordoen als u bij diefstal van een versleutelde dataset op grond van het zesde lid van artikel 34a Wbp besluit om de kennisgeving aan de betrokkene achterwege te laten. U moet zich er in een dergelijke situatie van bewust zijn dat de komst van nieuwe technieken nieuwe risico's kan inhouden, en dat er met grote regelmaat nieuwe kwetsbaarheden in breed gebruikte versleutelingsalgoritmen worden ontdekt. Dit houdt in dat u, met de diefstal van de versleutelde dataset in het achterhoofd, over een langere periode alert moet zijn op deze risico's. Bij signalen van mogelijke ontsleuteling zult u alsnog de afweging moeten maken of u de betrokken personen moet informeren.46Kamerstukken II, 2014/15, 33 662, nr. 11, blz. 10.
Houdt u er verder rekening mee dat een vervolgprocedure na een datalek juridische maatregelen kan omvatten (civiel- of strafrechtelijk), en dat u waar dat aan de orde is het bewijsmateriaal moet verzamelen, bewaren en presenteren overeenkomstig de voorschriften voor bewijs die voor het relevante rechtsgebied zijn vastgelegd.
U hoeft het overzicht niet openbaar te maken.
Artikel 10
Welke gegevens moet ik vastleggen over dit datalek?
Onderdeel van Meldplicht datalekken Wet bescherming persoonsgegevens· Privacy
Deze tekst geldt sinds 16 december 2015