Dit kun je doen als je slachtoffer bent van een datalek
Het gebeurt zelfs de grootste bedrijven ter wereld: een datalek. Of het nu komt omdat een nieuwsbrief per ongeluk de e-mailadressen van alle ontvangers toont of dat er op een server geen juiste beveiliging was waardoor hackers klantinformatie konden inzien: je gegevens liggen op straat. Dit is wat je rechten zijn als jouw informatie deel uitmaakt van een datalek.
Tot 2018 vielen datalekken onder de Wet Meldplicht Datalekken, maar inmiddels zitten de regels rondom datalekken in de AVG gebeiteld. In principe moet een bedrijf een datalek altijd melden, tenzij het echt onwaarschijnlijk is dat de privacy van de slachtoffers in het geding is. Doet een bedrijf dit niet binnen 72 uur? Dan kan de Autoriteit Persoonsgegevens boetes opleggen ter hoogte van 2 procent van de jaarlijkse omzet van de organisatie, of een aparte geldboete van maximaal 10 miljoen euro. Dat kan echter alsnog flink oplopen als een bedrijf het datalek niet bij de autoriteiten heeft gemeld én niet aan de betrokkenen. Plus, als het lek het gevolg is van een gebrekkige beveiliging, dan kan er daarvoor een boete bovenop komen.
Datalek
Een datalek hoeft niet altijd te betekenen dat je gegevens overal op het internet staan. Het hangt er helemaal vanaf wat er precies is gebeurd. Soms heeft er één iemand toegang gehad, die verder niets met de informatie doet. Het kan ook zijn dat iemand die hiertoe geen autorisatie heeft persoonsgegevenes heeft gewijzigd of vernietigd. Kortom, het hoeft niet te betekenen dat de hele wereld weet dat je wachtwoord Wachtwoord123 is. Het hoeft overigens ook niet altijd te gaan om computerbestanden of zaken in de cloud: zelfs een papiertje met daarop klantgegevens kan door rondslingeren uitmonden in een datalek.
Daarnaast is het lang niet altijd zo dat er wachtwoorden openbaar zijn geworden. Het kan ook gaan om alleen e-mailadressen, alleen gewone adressen of zelfs alleen burgerservicenummers. Als zo’n datalek heeft plaatsgevonden, dan wordt er vaak een e-mail gestuurd naar de betrokkenen. Het vaakst hoor je het over klanten van bepaalde webwinkels. Er wordt aangeraden om het wachtwoord te wijzigen en daar blijft het bij. Eventueel krijg je als klant nog een cadeautje of een kortingscode, maar daar moet je het mee doen.
Er is namelijk niet zoveel dat je als consument kunt doen wanneer zich een datalek voordoet. Je kunt je wachtwoord veranderen, of als het gaat om creditcardgegevens je pincode laten veranderen en je bankrekening extra in de gaten houden. Licht eventueel ook je bank in, zodat ze mogelijk kunnen helpen een oogje in het zeil te houden, of zodat je op zijn minst kunt aantonen dat je eerder hebt aangegeven dat er mogelijk vreemde activiteiten op de bankrekening zouden kunnen volgen. Uiteindelijk is het daarna vooral afwachten of niemand met je gegevens aan de haal gaat. Een onaangenaam gevoel, zeker als je weet dat mensen bijvoorbeeld inzage hebben gehad in je adresgegevens.
©PXimport
Weten mensen je al te vinden?
Je kunt eventueel op de website haveibeenpwned.com zien in hoeverre je gegevens op het internet openbaar zijn naar aanleiding van grote, bekende datalekken. Dat kan enorm confronterend zijn. Er kan ook niets uitkomen. Dat lijkt goed nieuws, maar het betekent dan niet per definitie dat je gegevens nog steeds privé zijn. Het is vooral een extra hulpmiddel om te kijken wat er heel makkelijk van je te vinden blijkt op het wereldwijde web.
Wat datalekken wel goed laten zien is hoe belangrijk het is om overal een ander wachtwoord te gebruiken. Zo hoef je niet te bedenken op welke websites je ook alweer een account hebt om daar vervolgens het wachtwoord te veranderen. Als je overal een uniek wachtwoord kiest, dan hoef je je wachtwoord alleen op die betreffende site te veranderen om te voorkomen dat je wachtwoord op straat ligt. Een tip: kies geen wachtwoord dat je bij elke site laat oplopen (dus Wachtwoord01, Wachtwoord02, enzovoort), want ook dat laat zich makkelijk raden door een kwaadwillende die toch je wachtwoord in handen heeft gekregen.
Je kunt als consument nog wel iets doen na een datalek, maar dat is dus pas als iemand ook daadwerkelijk iets heeft gedaan met je gegevens waarvan jij nadeel ondervindt. Je kunt dan contact opnemen met het bedrijf waar het datalek plaatsvond. Het bedrijf moet dan mogelijk de schade vergoeden wanneer iemand door hun lek aan de haal is gegaan met jouw gegevens, door bijvoorbeeld identiteitsfraude te plegen of simpelweg je dwars te liggen door je contract op te zeggen. Het is echter vaak moeilijk om aan te tonen dat bepaalde gevolgen inderdaad komen door dat specifieke datalek.
©PXimport
Ben je veroorzaker van een datalek?
Ben je niet het slachtoffer van een datalek, maar de veroorzaker? Dan hoef je hier alleen iets mee te doen als het om je werk gaat. Privé-datalekken zoals een zoekgeraakte privételefoon vallen niet onder datalekken die moeten worden gemeld wanneer deze telefoon alleen voor persoonlijke doeleinden wordt gebruikt. Meld dit altijd bij de IT-afdeling van je werkgever. Ben je zelf de werkgever, meldt het dan bij de Autoriteit Persoonsgegevens.
Laat bovendien betrokkenen waarvan de data is gelekt weten wat er is gebeurd, helemaal als dit negatieve gevolgen kan hebben. Deze brief moet naast feitelijke informatie over wat er heeft plaatsgevonden ook informatie bevatten over welke maatregelen er zijn genomen om te zorgen dat de negatieve gevolgen van de inbreuk zoveel mogelijk worden beperkt. Kortom, als je een datalek hebt veroorzaakt of hebt geconstateerd binnen je werk, wacht er dan niet te lang mee om hiervan melding te maken. Niet alleen om zelf van het nare gevoel af te zijn. Vooral om te zorgen dat mensen die slachtoffer zijn zo snel mogelijk hun gegevens kunnen aanpassen, voordat iemand anders zich toegang tot hun account verschaft.
