In de kennisgeving aan de betrokkene vermeldt u in ieder geval: de aard van de inbreuk, de instanties waar de betrokkene meer informatie over de inbreuk kan krijgen, en de maatregelen die u de betrokkene aanbeveelt om te nemen om de negatieve gevolgen van de inbreuk te beperken (artikel 34a, derde lid, Wbp).
Bij het beschrijven van de aard van de inbreuk kunt u doorgaans met een algemene omschrijving volstaan. U neemt uw contactgegevens op zodat de betrokkene u kan bereiken als hij of zij vragen heeft over het datalek. Verder geeft u aan wat de betrokkene zelf kan doen om de negatieve gevolgen van het datalek te beperken. U moet daarbij denken aan het veranderen van gebruikersnamen en wachtwoorden wanneer deze door de inbreuk mogelijk gecompromitteerd zijn. Het staat u vrij om meer informatie toe te voegen aan de kennisgeving, maar dit is niet verplicht.42Kamerstukken II, 2012/13, 33 662, nr. 3, blz. 21-22.
Voorbeeld melding aan de betrokkene en vervolgacties43Bron: Artikel 29-Werkgroep, Advies 03/2014 over kennisgeving bij inbreuken in verband met persoonsgegevens, goedgekeurd op 25 maart 2014, Casus 6.
Een energieleverancier biedt zijn klanten een online account aan waarop ze kunnen inloggen om recente facturen en verbruiksinformatie te raadplegen. Het bedrijf ontdekt dat een derde zich illegaal toegang heeft verschaft tot de database met gebruikersnamen en wachtwoorden van de website. De wachtwoorden zijn niet adequaat versleuteld.
De energieleverancier onderneemt de volgende acties:
hij informeert zijn klanten over het datalek. Hij beveelt daarbij aan om, voor alle accounts waar de klant hetzelfde wachtwoord gebruikt, dit wachtwoord te wijzigen;
hij reset alle wachtwoorden en dwingt alle gebruikers om een nieuw wachtwoord op te geven. Hij doet dit op een veilige manier zodat hij zeker weet dat het zijn klanten zijn die een nieuw wachtwoord aanmaken, en niet een onbevoegde derde, en hij geeft hierbij ook aan waarom de klant een nieuw wachtwoord aan moet maken;
hij past zijn systemen aan, zodat alle gebruikte wachtwoorden op een adequate manier worden versleuteld.
U doet de kennisgeving aan de betrokkene op zo'n manier dat, rekening houdend met de aard van de inbreuk, de geconstateerde en de feitelijke gevolgen daarvan voor de verwerking van persoonsgegevens, de kring van betrokkenen en de kosten van tenuitvoerlegging, een behoorlijke en zorgvuldige informatievoorziening is gewaarborgd (artikel 34a, lid 5 Wbp).
In veruit de meeste gevallen zult u als verantwoordelijke beschikken over de contactgegevens van de betrokkenen, en zult u in staat zijn om de betrokkenen individueel te informeren.
Bij meer omvangrijke incidenten kunt u kiezen voor een combinatie van algemene voorlichting en het op individuele basis informeren van betrokkenen. Bijvoorbeeld:
U stuurt een e-mail naar de betrokkenen waarin u kort aangeeft wat er is gebeurd en wat de betrokkene zelf kan doen om de negatieve gevolgen tegen te gaan.
In de e-mail aan de betrokkenen verwijst u naar meer uitgebreide informatie op uw website. Daar licht u de aard van de inbreuk en de maatregelen die de betrokkene zelf kan treffen waar nodig nader toe.
Verder verwijst u in de e-mail naar een centraal informatiepunt (e-mail, telefoonnummer) waar de betrokkene nadere informatie kan verkrijgen.
Het belangrijkste is, dat u zo veel mogelijk betrokkenen bereikt met informatie die hen helpt om de gevolgen van het datalek voor hun persoonlijke levenssfeer zo veel mogelijk te beperken. Met enkel een bericht in de media wordt dat doel normaal gesproken niet bereikt. 44Kamerstukken I, 2014/15, 33 662, nr. C, blz. 15.
Artikel 8
Hoe moet ik het datalek melden aan de betrokkene?
Onderdeel van Meldplicht datalekken Wet bescherming persoonsgegevens· Privacy
Deze tekst geldt sinds 16 december 2015