Wanneer een medewerker een (beveiligings)incident met persoonsgegevens ontdekt, meldt hij direct bij de Servicedesk en zijn privacy-ambassadeur. De privacy-ambassadeur informeert direct zijn afdelingsdirecteur en de FG.
De afdelingsdirecteur van de betreffende afdeling is verantwoordelijk voor het dichten van het datalek in samenwerking met de CISO en de betreffende applicatiebeheerder(s). Bij het vermoeden van een datalek worden de volgende stappen genomen:
Stap 1: De FG en de CISO beoordelen of het datalek meldenswaardig is, zoals bedoeld in de AVG;
Stap 2: Indien het datalek meldenswaardig is, meldt de FG het datalek direct aan de nationale toezichthouder, de Autoriteit Persoonsgegevens;
Stap 3: De Afdelingsdirecteur van de betreffende afdeling is verantwoordelijk voor de onverwijlde melding aan betrokkenen;
Stap 4: De CISO ziet er samen met de Chief Information Officer (CIO) op toe dat het datalek op adequate wijze wordt gedicht.
De CISO houdt namens de verwerkingsverantwoordelijke een logboek bij waarin datalekken zijn opgenomen. In dit logboek worden – naast gemelde datalekken – ook datalekken opgenomen die niet bij de Autoriteit Persoonsgegevens en/of de betrokkene zijn gemeld.
Een uitgebreide beschrijving van het proces datalekken, de bijbehorende modeldocumenten en de handleiding over datalekken staan op intranet.
Artikel 11.
Datalekken
Onderdeel van Besluit van het college van burgemeester en wethouders van de gemeente Midden-Delfland houdende regels omtrent privacybeleid