Inbreuken op persoonsgegevens: de 72-uursklok en het bewijsspoor
Hoe incidenten te beoordelen, risico's te beoordelen, te beslissen over de autoriteit en melding aan de betrokkene, en de reactie te bewijzen.
Operationele samenvatting
Het afhandelen van inbreuken begint met triage, niet met paniek.Waar melding nodig kan zijn, moet de 72-uursklok zichtbaar zijn.Voor besluiten zonder kennisgeving is nog steeds bewijs nodig.Een inbreuk op persoonlijke gegevens is niet alleen een cyberbeveiligingsgebeurtenis. Het kan gaan om een verkeerd geadresseerde e-mail, verloren apparaat, verkeerde toegang tot de portal, openbaar gemaakt bestand, ransomware-incident of onbedoelde openbaarmaking.
De operationele druk komt van de 72-uurs meldklok, waarbij een inbreuk wordt gemeld bij de toezichthouder. Het kantoor heeft behoefte aan snelle triage, bewijsverzameling, inperking en een gedocumenteerde beoordeling van de risico's voor de rechten.
Zelfs als er geen melding wordt gedaan, moet het bureau een inbreukregister bijhouden waarin de feiten, de risicobeoordeling, de besluitvormer, het herstel en de follow-up worden vermeld.
is van toepassing
Deze gids is bedoeld voor kantoren die moeten reageren op incidenten met persoonlijke gegevens, van verkeerd geadresseerde documenten tot cybergebeurtenissen.
- E-mails van verkeerde ontvangers
- Verloren laptops of telefoons
- Fouten bij toegang tot portalen
- Ransomware of accountcompromis
- Papieren bestanden of USB-apparaten die tijdens het transport verloren zijn gegaan
Juridische en toezichtscontext
De verplichtingen inzake inbreuken op de AVG vereisen een risicobeoordeling en, indien vereist, een kennisgeving aan de toezichthoudende autoriteit zonder onnodige vertraging en binnen het relevante tijdsbestek.
Zelfs als er geen melding vereist is, moet de organisatie een intern inbreukdossier bijhouden waaruit de beoordeling en het herstel blijkt.
doen
Het bureau moet de verplichting omzetten in een herhaalbare workflow met benoemde eigenaren, deadlines, bewijsmateriaal en controleerbare beslissingen.
- Open onmiddellijk een incidentrecord.
- Leg feiten en betrokken gegevenscategorieën vast.
- Houd het incident in bedwang.
- Beoordeel de risico's voor rechten en vrijheden.
- Beslis over de autoriteit en kennisgeving aan de betrokkene.
- Herstel en afsluiting van records.
bewijs
Het inbreukregister moet data, feiten, risicobeoordeling, besluitvormer, meldingen, herstel en geleerde lessen tonen.
Veelgemaakte fouten die toezichthouders vinden
- Ervan uitgaande dat alleen hacks inbreuken zijn.
- Wachten op volledige zekerheid alvorens een plaat te openen.
- De meldingsklok ontbreekt.
- Niet gedocumenteerd waarom kennisgeving niet vereist was.
Praktische checklist
- Incident registreren.
- Klok starten.
- Blootstelling beperken.
- Beoordeel het risico.
- Beslis over de melding.
- Herstel van records.
- Sluit en bekijk de controles.
- Creëert inbreukrecords met deadlineklokken.
- Leidt de beoordeling van risico's en rechten.
- Registreert besluiten van de DPA en kennisgevingen aan betrokkenen.
- Zorgt voor zekerheid over onopgeloste inbreukproblemen.
Veelgestelde vragen
Is een verkeerd geadresseerde e-mail een inbreuk?
Afhankelijk van de gegevens en de ontvanger kan dit het geval zijn. Het moet worden getriggerd in plaats van genegeerd.
Moeten alle inbreuken door de autoriteiten worden gemeld?
Nee. De beslissing is afhankelijk van het risico, maar de beoordeling moet worden gedocumenteerd.
Wat als feiten onvolledig zijn?
Open het dossier, controleer het probleem en werk de beoordeling bij zodra er feiten beschikbaar komen.
Officiële referenties
Van kennis naar compliance
Lezen is een begin. Sceau maakt van deze verplichtingen een werkstroom die zichzelf uitvoert en bewijst.
Boek een demo