Is een bedrijf aansprakelijk voor een datalek?

Wanneer ontstaat aansprakelijkheid bij een datalek?

Een bedrijf is niet automatisch aansprakelijk zodra er een datalek plaatsvindt. Het ontstaan van een incident bewijst op zichzelf niet dat de organisatie de AVG heeft overtreden.

Artikel 82 van de AVG bepaalt dat iemand die door een AVG-inbreuk materiële of immateriële schade heeft geleden, recht kan hebben op schadevergoeding. Uit rechtspraak van het Hof van Justitie volgt dat alleen een overtreding van de AVG daarvoor niet voldoende is. Er moet ook daadwerkelijk schade zijn en er moet een causaal verband bestaan tussen de overtreding en die schade.

Bij de beoordeling speelt onder andere mee of de organisatie passende technische en organisatorische maatregelen heeft genomen. De AVG schrijft geen beveiligingssysteem voor dat ieder incident gegarandeerd voorkomt. De maatregelen moeten passen bij het risico, rekening houdend met onder meer de aard van de verwerking en de mogelijke gevolgen voor betrokkenen. De Autoriteit Persoonsgegevens benadrukt eveneens dat organisaties passende technische en organisatorische maatregelen moeten nemen om persoonsgegevens te beschermen.

Ook bij een cyberaanval is aansprakelijkheid dus niet automatisch vastgesteld. Het Hof van Justitie heeft geoordeeld dat het feit dat een derde ongeoorloofd toegang heeft gekregen tot persoonsgegevens niet op zichzelf bewijst dat de genomen beveiligingsmaatregelen onvoldoende waren. Tegelijkertijd ontslaat een aanval door criminelen een organisatie niet automatisch van iedere verantwoordelijkheid.

De organisatie moet kunnen onderbouwen waarom haar beveiligingsmaatregelen passend waren voor de risico’s.

Wie is verantwoordelijk: de verwerkingsverantwoordelijke of verwerker?

Bij een datalek is het belangrijk om onderscheid te maken tussen de verwerkingsverantwoordelijke en de verwerker.

De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Dat kan bijvoorbeeld een werkgever, webwinkel, zorgorganisatie of andere onderneming zijn.

Een verwerker verwerkt persoonsgegevens namens de verwerkingsverantwoordelijke. Denk aan bepaalde hostingbedrijven, salarisverwerkers of andere IT-dienstverleners.

Volgens artikel 82 AVG kan een verwerkingsverantwoordelijke aansprakelijk zijn voor schade veroorzaakt door verwerking die in strijd is met de AVG. Een verwerker kan aansprakelijk zijn wanneer deze zijn eigen AVG-verplichtingen niet naleeft of buiten of in strijd met rechtmatige instructies van de verwerkingsverantwoordelijke handelt.

Dat betekent dat uitbesteding de verantwoordelijkheid voor gegevensbescherming niet eenvoudigweg wegneemt. Organisaties moeten duidelijke afspraken maken met verwerkers en beoordelen of persoonsgegevens voldoende worden beschermd.

Bij een datalek moet een verwerker de verwerkingsverantwoordelijke bovendien zonder onredelijke vertraging informeren. De verwerkingsverantwoordelijke beoordeelt vervolgens onder meer of een melding bij de Autoriteit Persoonsgegevens noodzakelijk is.

Kan een slachtoffer schadevergoeding eisen na een datalek?

Ja, maar een schadevergoeding volgt niet automatisch uit het bestaan van een datalek.

Artikel 82 AVG maakt onderscheid tussen materiële en immateriële schade. Materiële schade kan bijvoorbeeld bestaan uit aantoonbaar financieel verlies. Immateriële schade kan betrekking hebben op niet-financiële nadelen die door een AVG-overtreding zijn ontstaan.

Het Hof van Justitie heeft duidelijk gemaakt dat alleen een overtreding van de AVG onvoldoende is om automatisch recht op schadevergoeding te krijgen. Er moet schade zijn geleden en die schade moet verband houden met de overtreding.

De precieze hoogte van een eventuele schadevergoeding hangt af van de omstandigheden en wordt uiteindelijk door een rechter beoordeeld wanneer partijen er onderling niet uitkomen.

Een organisatie die met een concreet schadeverzoek of juridisch geschil te maken krijgt, doet er daarom verstandig aan om specialistisch juridisch advies in te winnen.

Aansprakelijkheid bij een datalek beperken

Een organisatie kan nooit garanderen dat er geen beveiligingsincident plaatsvindt. Wel moet je kunnen aantonen dat je de risico’s serieus hebt beoordeeld en passende maatregelen hebt genomen.

Technische maatregelen kunnen onder meer bestaan uit toegangsbeveiliging, versleuteling, tijdige beveiligingsupdates, veilige back-ups en monitoring. Welke maatregelen nodig zijn, hangt af van de gegevens, systemen en risico’s binnen de organisatie.

Organisatorische maatregelen zijn minstens zo belangrijk. Medewerkers moeten weten hoe zij met persoonsgegevens omgaan, wie toegang mag krijgen tot informatie en wat zij moeten doen wanneer ze een mogelijk beveiligingsincident ontdekken.

Een incidentresponsplan helpt daarbij. Leg vooraf vast wie een incident beoordeelt, wie contact opneemt met de privacy- of securityverantwoordelijke en wie beslist over een eventuele melding bij de Autoriteit Persoonsgegevens.

Ook documentatie is belangrijk. Risicoanalyses, beveiligingsbeleid, gemaakte keuzes, verwerkersafspraken en geregistreerde datalekken kunnen helpen aantonen dat gegevensbescherming structureel onderdeel is van de organisatie.

De Autoriteit Persoonsgegevens adviseert organisaties eveneens om vooraf maatregelen te nemen om datalekken te voorkomen en zich voor te bereiden op de situatie waarin toch een incident plaatsvindt.

Welke Startel-trainingen helpen bij het voorkomen en beheersen van datalekken?

Wie het risico op datalekken wil verkleinen, heeft zowel technische beveiligingskennis als bewustwording binnen de organisatie nodig.

De Information Security Foundation (ISFS) is een logische basis. De training behandelt informatiebeveiliging, dreigingen, risico’s en beveiligingsmaatregelen op basis van ISO/IEC 27001. De training is onder meer relevant voor IT-professionals, compliance- en risicomanagers en medewerkers die met vertrouwelijke informatie werken.

Voor organisaties die vooral het beveiligingsbewustzijn van medewerkers willen verbeteren, sluit Certified Security Awareness 1 en 2 goed aan. Je leert onder meer phishing en social engineering herkennen, bedrijfsinformatie beschermen en beveiligingsincidenten signaleren en rapporteren. Er is geen specifieke voorkennis nodig.

Voor IT-professionals die zich technisch verder willen verdiepen is CompTIA Security+ relevant. Deze training behandelt onder andere dreigingen, kwetsbaarheden, netwerkbeveiliging, identiteits- en toegangsbeheer, cryptografie, risicobeheer en incidentrespons.

Heeft jouw functie te maken met Europese cybersecurityregelgeving en organisatorische risicobeheersing, dan kan ook Certified NIS2 Professional aansluiten. Deze training behandelt de belangrijkste onderdelen van de NIS2-richtlijn en laat deelnemers onder meer werken met een gap-analyse voor de eigen organisatie.

Voor de meeste lezers van deze blog is Information Security Foundation de breedste eerste stap. Ligt het grootste risico binnen je organisatie bij menselijk handelen, dan is Security Awareness een logische aanvulling.