1Een lek of kwetsbaarheid melden
Wie vermoedt dat er persoonsgegevens zijn gelekt of een kwetsbaarheid in VakMoment heeft gevonden, meldt dat op het beveiligingsadres bovenaan deze pagina. Dat mag in het Nederlands of in het Engels.
Nuttig om te vermelden: wat er is gezien, wanneer, op welk adres, en welke stappen ertoe leidden. Een schermafbeelding helpt. Stuur geen persoonsgegevens van derden mee als dat niet nodig is om de melding te begrijpen.
Er volgt binnen twee werkdagen een reactie. Wie een kwetsbaarheid meldt en die niet zelf verder misbruikt of openbaar maakt voordat hij verholpen is, hoeft geen juridische stappen te verwachten.
2Wat een datalek is, en wat niet
Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Dat kan een technisch lek zijn, maar ook een verkeerd verstuurde e-mail of een verloren apparaat.
Niet elke storing is een datalek. Een applicatie die er even uit ligt zonder dat er gegevens weglekken, is een beschikbaarheidsprobleem, tenzij die gegevens daardoor onherstelbaar verloren gaan.
3Wat er gebeurt na een melding
Stap één, binnen enkele uren: vaststellen of er werkelijk sprake is van een inbreuk, en zo ja, het lek dichten of de toegang blokkeren. Beperken gaat vóór onderzoeken.
Stap twee: vaststellen welke organisaties het raakt, welke categorieën gegevens erbij betrokken zijn, hoeveel betrokkenen het ongeveer betreft en wat de vermoedelijke gevolgen zijn.
Stap drie, binnen 24 uur na vaststelling: de getroffen installatiebedrijven informeren op het contactadres van de eigenaar, met de gegevens die zij nodig hebben om binnen 72 uur zelf te kunnen melden bij de Autoriteit Persoonsgegevens.
Stap vier: het incident vastleggen: wat er gebeurde, wat de oorzaak was, wat eraan is gedaan en wat er is veranderd om herhaling te voorkomen. Ook wanneer er niet gemeld hoeft te worden, want een register van incidenten is verplicht en nuttig.
Stap vijf: de betrokken bedrijven horen hoe het is afgelopen. Een melding zonder afloop laat iedereen met een open dossier zitten.
4Wie meldt aan wie
VakMoment is verwerker voor de gegevens van klanten van een installatiebedrijf. De melding aan de Autoriteit Persoonsgegevens en, waar nodig, aan de betrokkenen zelf, wordt gedaan door dat bedrijf: dat is de verwerkingsverantwoordelijke en die beslissing is aan hem.
Gaat het om gegevens waarvoor VakMoment zelf verantwoordelijke is (accounts, facturatie, demoaanvragen), dan meldt VakMoment zelf, binnen de wettelijke termijn.
5Wat er wordt gemeld
In een melding aan een getroffen bedrijf staat in ieder geval: wanneer het lek plaatsvond en wanneer het is ontdekt, welke categorieën gegevens en betrokkenen het betreft, wat de vermoedelijke gevolgen zijn, welke maatregelen zijn genomen, en wie er namens VakMoment aanspreekpunt is.
Is nog niet alles bekend, dan volgt er eerst een melding met wat er wél bekend is, en daarna een aanvulling. Wachten tot het volledige beeld rond is, kost precies de tijd die de verantwoordelijke nodig heeft.