Datalekprotocol

Protocol melding en afhandeling beveiligings- of datalek, Bureaubuitenland België BV, versie 2.0, oktober 2026. Vervangt versie 1.1 van 19 oktober 2018.

Doel

De Algemene Verordening Gegevensbescherming (AVG) verplicht organisaties een datalek zonder onnodige vertraging, en waar mogelijk binnen 72 uur, te melden bij de toezichthouder en in bepaalde gevallen ook aan de betrokkenen. Dit protocol beschrijft hoe Bureaubuitenland België BV handelt bij (een vermoeden van) een beveiligings- of datalek, binnen de eigen organisatie of bij een partij die voor ons werkt.

Omdat wij in onderzoeken optreden als verwerker in opdracht van OCMW’s, woonmaatschappijen en andere opdrachtgevers, melden wij een datalek dat hun gegevens raakt ook altijd direct aan de betreffende opdrachtgever, zoals afgesproken in de verwerkersovereenkomst.

Met dit protocol willen wij voorspelbaar zijn voor alle belanghebbenden, de belangen van betrokkenen en opdrachtgevers beschermen, elk incident zorgvuldig analyseren en structureel verbeteren.

• Betrokkene: de persoon op wie een persoonsgegeven betrekking heeft.
• Beveiligingslek: een doorbreking van de beveiliging waardoor persoonsgegevens mogelijk zijn blootgesteld aan verlies of onrechtmatige verwerking.
• Datalek: een beveiligingslek waarbij persoonsgegevens daadwerkelijk verloren zijn gegaan of onrechtmatig zijn verwerkt. Elk datalek is een beveiligingslek; niet elk beveiligingslek is een datalek.
• Verwerkingsverantwoordelijke: de partij die doel en middelen van de verwerking bepaalt. In onderzoeken is dat de opdrachtgever.
• Verwerker: de partij die in opdracht van de verwerkingsverantwoordelijke verwerkt. In onderzoeken is dat Bureaubuitenland België BV.
• Responseteam: de directie van Bureaubuitenland België BV, zo nodig aangevuld met de functionaris voor gegevensbescherming en externe deskundigen.
• Toezichthouder: de Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel.

Iedereen die een (mogelijk) beveiligings- of datalek opmerkt, intern of extern, meldt dit direct aan de directie via info@bureaubuitenland.be of telefonisch via +31 (0)85 111 01 23. De melding is vormvrij: beschrijf zo volledig mogelijk wat er is gebeurd, wanneer, welke gegevens het betreft en wie erbij betrokken zijn. Voeg waar mogelijk bewijs toe en geef aan hoe urgent het is.

De directie neemt de melding onmiddellijk in behandeling, legt een logboek aan met alle gebeurtenissen, beslissingen en tijdstippen, en stelt bewijs veilig.

Stap 2: beoordelen

De directie beoordeelt binnen 24 uur na de melding of er sprake is van een beveiligingslek of een datalek. Daarbij tellen onder meer: zijn er persoonsgegevens verloren gegaan of onrechtmatig verwerkt, gaat het om gevoelige gegevens, hoeveel betrokkenen zijn geraakt, en wat zijn de mogelijke gevolgen voor hen.

Is er alleen een beveiligingslek zonder verlies of onrechtmatige verwerking, dan wordt het incident geregistreerd en verholpen, zonder melding aan de toezichthouder. Is er (mogelijk) een datalek, dan komt het responseteam direct bijeen.

Stap 3: responseteam

Het responseteam zorgt voor en legt vast: het direct dichten van het lek en beperken van de gevolgen, de beslissing of en wat aan de toezichthouder wordt gemeld, de melding aan de betrokken opdrachtgever(s), de interne en externe communicatie, de vraag of aangifte nodig is, en of eventuele schade is verzekerd.

Raakt het datalek gegevens die wij als verwerker voor een opdrachtgever verwerken, dan informeren wij die opdrachtgever zonder onnodige vertraging en uiterlijk binnen 24 uur na vaststelling, met alle informatie die de opdrachtgever nodig heeft voor zijn eigen melding aan de toezichthouder.

Stap 5: melding aan de Gegevensbeschermingsautoriteit

Is Bureaubuitenland België BV zelf verwerkingsverantwoordelijke, dan meldt de directie het datalek zonder onnodige vertraging en waar mogelijk binnen 72 uur na ontdekking bij de Gegevensbeschermingsautoriteit via het meldformulier op www.gegevensbeschermingsautoriteit.be. De ontvangstbevestiging en het ingevulde formulier worden bewaard in het logboek. De directie is het aanspreekpunt voor de toezichthouder.

Stap 6: informeren van betrokkenen

Levert het datalek waarschijnlijk een hoog risico op voor de rechten en vrijheden van de betrokkenen, dan worden zij rechtstreeks geïnformeerd. De kennisgeving bevat ten minste de aard van het lek, onze contactgegevens, de waarschijnlijke gevolgen en de maatregelen die wij hebben genomen en die de betrokkene zelf kan nemen. In onderzoeken gebeurt dit in overleg met en doorgaans door de opdrachtgever.

De directie onderzoekt de feitelijke toedracht en hoe herhaling wordt voorkomen. Zij mag daarvoor met alle betrokken partijen spreken, alle relevante documenten en systemen inzien, verwerkers aanspreken volgens de verwerkersovereenkomst en externe deskundigen inschakelen. Bevindingen en verbetermaatregelen worden vastgelegd, uitgevoerd en op effect geëvalueerd.

Stap 8: afsluiten

Als het datalek definitief is afgehandeld, informeert de directie de melder en de direct betrokkenen. Het incident wordt met alle stukken opgenomen in het register van datalekken, dat ook de incidenten bevat die niet gemeld hoefden te worden.

Onderhoud

Dit protocol wordt jaarlijks en na elk incident geëvalueerd door de directie en opnieuw vastgesteld. Vastgesteld door de directie van Bureaubuitenland België BV te Antwerpen, oktober 2026.