Megalekken: megaduur!
Hoge bomen vangen veel wind. Een oud gezegde, dat op deze stormachtige oktobermorgen nog eens extra beeldend klinkt. De betekenis van het spreekwoord kan worden samengevat als ‘Wie veel bevoegdheden heeft, moet zich ook vaker verantwoorden’. Op het gebied van gegevensbescherming is dit niet anders: wie veel persoonsgegevens verwerkt, zal adequate maatregelen moeten treffen om de veiligheid, correctheid en toegankelijkheid op de juiste manier te regelen.
Het internetconcern Yahoo heeft bij overname door telecomprovider Verizon al aan den lijve ondervonden hoe duur een datalek kan zijn. Na bekendmaking (in 2017) van een datalek uit 2013 verlaagde Verzion het overnamebod met 350 miljoen Amerikaanse dollar. Vandaag werd bekend dat het hack nog veel groter was dan aanvankelijk gedacht. De financiële en juridische gevolgen zijn nog niet geheel duidelijk, maar het einde is in elk geval nog lang niet in zicht. Al helemaal niet omdat in de Verenigde Staten nu ook de politiek interesse getoond heeft voor het fenomeen datalekken.
Yahoo zal zich in een hoorzitting moeten verantwoorden, samen met een vertegenwoordiger van het bedrijf Equifax. Equifax is een kredietverstrekker die onlangs het slachtoffer werd van een groot hack. Bij dit lek zijn gevoelige persoonsgegevens van 143 miljoen Amerikanen (ongeveer 44 procent van de Amerikaanse bevolking) ontvreemd. Het ging hierbij voornamelijk over nummers van rijbewijzen (in de VS gebruikt als identificatiebewijs), creditcardgegevens en de Amerikaanse variant op Burgerservicenummers. Dit datalek is daarmee een ongekend feestje voor identiteitsfraudeurs.
Natuurlijk staat niet iedere ondernemer aan het hoofd van een multinational met een klantenbestand dat in de miljarden loopt. De vraag die echter rijst is of een groot lek nu echt veel erger is dan een klein lek. Kleine datalekken kunnen ook grote gevolgen hebben voor betrokkenen. Hoewel de schaal misschien minder groot is, is de impact op de betrokkene niet minder.
De les die ondernemers mee kunnen nemen voor hun organisaties is het besef dat persoonsgegevens kostbaar bezit zijn en zorgvuldig moeten worden opgeborgen. Een verdere les is dat boetes bij datalekken eigenlijk een secundaire rol spelen. De grote bedragen die betrokken zijn bij deze datalekken zijn geen boetes die worden opgelegd door de toezichthouder, maar door de maatschappij. Wie slordig omgaat met persoonsgegevens moet daarvoor letterlijk een hoge maatschappelijke prijs betalen.
Wie nu al werk wil maken van een beter databeschermingsbeleid, kan het best beginnen door te inventariseren welke persoonsgegevens worden verzameld door de organisatie en waarom die gegevens eigenlijk nodig zijn. Houd hierbij in gedachten dat persoonsgegevens die nooit verzameld zijn, ook niet kunnen uitlekken.
Heeft u vragen over het opstellen van een beleid over datalekken en persoonsgegevens? Bent u bang dat uw organisatie mogelijk niet voldoet aan de wettelijke vereisten? Hulp nodig bij een datalek? Het Datalekcentrum van Certafin staat voor u klaar. Neem snel contact op met een van onze experts en voorkom schade.
