Datalekprocedure

Een datalek (inbreuk in verband met persoonsgegevens) is elke situatie waarbij persoonsgegevens verloren gaan of onbedoeld toegankelijk, gewijzigd of verstrekt worden: bijvoorbeeld een fout in de toegangsbeveiliging, een gestolen of verloren apparaat met toegang, een verkeerd geadresseerde e-mail met ledengegevens, of een geslaagde aanval.

Deze procedure hoort bij de verwerkersovereenkomst tussen Trefzeker Automatisering (verwerker) en de vereniging die Het Clubhuis gebruikt (verwerkingsverantwoordelijke).

Rolverdeling

De melding aan de Autoriteit Persoonsgegevens (AP) doet altijd de vereniging, binnen 72 uur na kennisname, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor betrokkenen.

Stappenplan

1. Melden en vastleggen (direct)

• Wie het lek ontdekt, meldt het onmiddellijk intern: bij de vereniging aan een bestuurslid, bij Trefzeker via info@het-clubhuis.nl.
• Leg vast: wat is er gebeurd, wanneer ontdekt, wanneer (vermoedelijk) gebeurd, wie meldde, en een eerste inschatting.

2. Beperken (direct)

• Stop de bron: wachtwoorden resetten, toegang intrekken, sessies beëindigen, een fout patchen, een verkeerd verzonden e-mail laten vernietigen.
• Trefzeker kan zo nodig accounts blokkeren en point-in-time recovery van de database inzetten.

3. Beoordelen (binnen 24 uur)

• Welke gegevens? Categorieën en gevoeligheid (NAW, geboortedatum, bondsnummer, financiële status).
• Hoeveel betrokkenen en records? (bij benadering)
• Wie kon erbij of heeft ze gezien?
• Wat is het risico voor betrokkenen? (identiteitsfraude, ongewenste openbaarmaking, financieel nadeel, kinderen)
• Trefzeker levert de vereniging de technische feiten; de vereniging maakt de risicoafweging.

4. Melden aan de AP (binnen 72 uur, tenzij geen risico)

• De vereniging meldt via het meldloket van de AP. Kan niet alles binnen 72 uur worden verstrekt, dan volgt een aanvullende melding.
• Inhoud: aard van het lek, categorieën en aantallen betrokkenen en records, contactpunt, waarschijnlijke gevolgen, getroffen en voorgestelde maatregelen.

5. Betrokkenen informeren (bij hoog risico)

• Bij waarschijnlijk hoog risico informeert de vereniging de betrokken leden in duidelijke taal: wat er is gebeurd, welke gegevens, wat de mogelijke gevolgen zijn, welke maatregelen zijn genomen, en wat het lid zelf kan doen (bijv. wachtwoord wijzigen, alert zijn op phishing). Vermeld een contactpunt.

6. Afronden en leren

• Alle datalekken (ook de niet-gemelde) worden in een intern register opgenomen.
• De oorzaak wordt geëvalueerd en maatregelen of afspraken worden aangepast.

Contactpunten

Meer informatie

Zie ook de privacyverklaring en de algemene voorwaarden. Vragen? Mail info@het-clubhuis.nl.