Tag: datalek

Boek Grip op datalekken: de vernieuwde editie

Een datalek is een nachtmerrie voor iedere persoon of organisatie. Hoe kunt u dit voorkomen? En welke stappen moet u zetten wanneer u toch een datalek overkomt?

De Meldplicht Datalekken is vanaf januari 2016 van kracht. Alle bedrijven en overheidsinstellingen moeten niet alleen het lekken van persoonsgegevens voorkomen, maar lekken ook melden aan de toezichthouder én aan de personen van wie de gegevens zijn gelekt. Doe je dit niet, of niet juist, dan loop je aanzienlijke reputatie- en boeterisico’s.

Het boek Grip op datalekken is in 2015 uitgekomen. De tweede druk is geheel herzien conform de Algemene Verordening Gegevensbescherming (AVG) die vanaf mei 2018 van kracht is. Dit boek geeft praktische handvatten om datalekken te voorkomen en af te handelen. Start met het invoeren van onze basisaanpak in slechts één dag, waar je vanaf morgen mee kunt werken. Gebruik dit boek vervolgens om stap voor stap de datalekrisico’s in jouw organisatie steeds beter te beheersen.

Datalekken voorkomen

Met deze titel in handen weet u exact welke stappen u moet doorlopen om datalekken te voorkomen en af te handelen. Zo vindt u een basisaanpak die u in slechts één dag kunt doorvoeren. Waarna u vervolgens met de opvolgende hoofdstukken stap voor stap de datalekrisico’s in uw organisatie leert beheersen en optimaal te minimaliseren. Uiteraard worden hierbij de eisen van de AVG gevolgd.

Wanneer u toch te maken krijgt met een datalek, dan vindt u In het deel ‘Help, een datalek!’ praktische handvatten om datalekken te voorkomen en af te handelen.

De titel is op toegankelijke wijze geschreven en vereist geen specifieke juridische of ICT-kennis. Ook zijn wettelijke wijzigingen, actualisaties op normenkaders en relaties met andere meldplichten verwerkt. Zo kunt u direct aan de slag.

Wat kunnen we leren van de boetes voor British Airways en Marriott?

Auteur: Jeroen Terstegge

Afgelopen week maakte de Britse toezichthouder, de Information Commissioner (ICO), bekend voornemens te zijn een boete op te leggen aan British Airways (BA) en Marriott hotels, beide voor datalekken. Voor BA ligt een boete van ruim 183,39 miljoen GBP (204 miljoen euro) in het verschiet. Dit bedrag vormt 1,5% van de totale wereldwijde jaaromzet van BA. Daarmee is dit de hoogste AVG-boete tot nu toe. Voor Marriott ligt een boete van 99 miljoen GBP (110 miljoen euro) klaar. Een paar leerpunten op een rijtje…

Wat is er gebeurd bij BA?

In 2018 is British Airways slachtoffer geworden van een hackaanval op het bagageclaimgedeelte van haar website, vermoedelijk door de beruchte groep Magecart, een groep criminelen die gespecialiseerd is in het stelen van creditcardgegevens. Deze groep zat vermoedelijk ook achter de hack van Ticketmaster. Magecart is erin geslaagd om op de BA website een script te plaatsen waardoor gedurende 15 dagen persoonsgegevens van zo’n 500.000 klanten konden worden onderschept, waaronder namen, huisadressen en creditcardgegevens, inclusief de CVV code op de achterkant van de kaart. Niet onbelangrijk hier in het feit dat BA de CVV codes helemaal niet opslaat (geheel conform de PCI-DSS standaard). Maar omdat de hackers de gegevens al op de website onderschepten, konden ze de CVV code onversleuteld te pakken krijgen en hoefden ze helemaal niet in te breken op de servers van BA (waar de CVV codes dus sowieso niet werden opgeslagen). Lees verder

De tien grootste misverstanden over de AVG

U hebt waarschijnlijk inmiddels wel gehoord van die nieuwe privacywet die sinds 25 mei van kracht is. Maar is alles wat u hoort of leest ook waar? De 10 grootste misverstanden en fake news op een rijtje:

  1. Het mag niet meer van de nieuwe privacyregels

Met stip op nummer 1: De bewering dat de regels nieuw zijn en dat nu opeens allerlei dingen niet meer mogen van de wet. Niets is minder waar. De meeste regels in de AVG, en zeker de regels die gaan over wat wel en niet mag met persoonsgegevens, zijn helemaal niet nieuw. Bijna al die regels stonden ook al in de vorige wet (de Wet bescherming persoonsgegevens uit 2000) en enkele regels stonden zelfs al in de wet van 1988 (de Wet persoonsregistraties). Grote kans dus dat als u denkt dat iets niet meer mag, u het vóór 25 mei ook al niet mocht. Alleen, u wist dat niet of het interesseerde u niet. Dit geldt trouwens ook voor de meeste rechten van betrokkenen, zoals het inzagerecht, en sommige wettelijke verplichtingen, zoals het sluiten van een verwerkersovereenkomst met een verwerker. Lees verder

To notify or not to notify: Wanneer moet een datalek gemeld worden aan de Autoriteit Persoonsgegevens?

Met ingang van de nieuwe privacywet de Algemene Verordening Gegevensbescherming (hierna AVG) komt er heel veel op organisaties af. De AVG bevat nieuwe eisen en een aantal aangescherpte eisen omtrent de verwerking van persoonsgegevens. Eén van die eisen is de meldplicht datalekken[1]. Organisaties die een datalek hebben die persoonsgegevens bevat, moeten deze melden bij het meldloket van de Autoriteit Persoonsgegevens (hierna AP) en soms ook aan de betrokkenen van wie de persoonsgegevens zijn gelekt. Het doel van de meldingsplicht is o.a. de algemene verhoging van het beveiligingsniveau van informatiedragers, verhoging van de interne bewustwording bij organisaties en het zelfredzamer maken van mensen door hen in staat te stellen om maatregelen te kunnen nemen om de negatieve impact van een datalek te beperken. In deze blog zal ik inzoomen op de te treffen maatregelen voor, tijdens en na een datalek.

Lees verder

Hoe gaat het CBP zijn boetebevoegdheden invullen?

Vanaf 1 januari 2016 geldt de meldplicht datalekken en krijgt het College Bescherming Persoonsgegevens (CBP) uitgebreidere boetebevoegdheden. Eind oktober maakte het CBP bekend hoe het die nieuwe bevoegdheden wil toepassen. Het CBP publiceerde daarvoor het concept van zijn boetebeleidsregels. Daarin beschrijft het CBP hoe het in grofweg twee stappen tot de uiteindelijke boetesom komt: eerst het vaststellen van het type boete en daarna van een concreet boetebedrag.

In deze blog zetten we deze boetesystematiek uiteen. Vervolgens illustreren we aan de hand van een overtreding van de meldplicht datalekken de consequenties van de boetebeleidsregels en zetten we het een en ander in de praktische context. Tot slot reflecteren we kort wat we op dit moment kunnen verwachten van het boetebeleid dat het CBP in 2016 – onder zijn nieuwe naam Autoriteit Persoonsgegevens – zal hanteren.

Lees verder