Bijlage 1 Meldplicht datalekken Wet bescherming persoonsgegevens: gegevens in de melding

Meldplicht datalekken Wet bescherming persoonsgegevens

Deze bijlage bevat de gegevens die u op moet geven als u een datalek meldt aan de Autoriteit Persoonsgegevens. Bij het formulier zijn de vragen uit bijlage I bij de Europese Verordening 611/2013 als uitgangspunt gehanteerd. Binnen Europa wordt gestreefd naar harmonisatie van de wijze waarop datalekken in de telecomsector aan de toezichthouder moeten worden gemeld.51Verordening 611/2013, considerans 11. Op het moment dat dit streven leidt tot concrete resultaten, dan zal de Autoriteit Persoonsgegevens daar uiteraard bij aansluiten.

1) Is dit een vervolg op een eerdere melding? (Kies een van de volgende opties.)
a) Ja
b) Nee
2) Wat is het nummer van de oorspronkelijke melding? (Beantwoord deze vraag als u vraag 1 met ja hebt beantwoord.)
3) Wat is de strekking van de vervolgmelding? (Beantwoord deze vraag als u vraag 1 met ja hebt beantwoord, kies een van de volgende opties.)
a) Toevoegen of wijzigen van informatie betreffende de eerdere melding
b) Intrekking van de eerdere melding
4) Wat is de reden van intrekking? (Beantwoord deze vraag als u bij vraag 3 gekozen heeft voor optie b.)
5) Op grond van welke wettelijke bepaling doet u deze melding?52Zie paragraaf 4.1 van deze richtsnoeren.
a) artikel 34a, eerste lid, van de Wbp
b) artikel 11.3a, eerste lid, van de Tw
6) Over welk bedrijf of welke organisatie gaat het? (Vul de onderstaande gegevens in.)
a) Naam van het bedrijf of de organisatie
b) (Bezoek)adres
c) Postcode
d) Plaats
e) KvK-nummer
7) Door wie wordt het datalek gemeld? (Vul de onderstaande gegevens in.)
a) Naam van de persoon die meldt
b) Functie van de persoon die meldt
c) E-mailadres van de persoon die meldt
d) Telefoonnummer van de persoon die meldt
e) Alternatief telefoonnummer van de persoon die meldt
8) Met wie kan de Autoriteit Persoonsgegevens contact opnemen voor nadere informatie over de melding? (Vul de onderstaande gegevens in indien dit iemand anders is dan de melder van het datalek.)
a) Naam contactpersoon
b) Functie van de contactpersoon
c) E-mailadres van de contactpersoon
d) Telefoonnummer van de contactpersoon
e) Alternatief telefoonnummer van de contactpersoon
9) In welke sector is het bedrijf of de organisatie actief? (Kies een van de onderstaande opties.)
a) ...53Doel van deze vraag is om mediaberichten en andere signalen over opgetreden datalekken zo goed mogelijk te kunnen matchen met de ontvangen datalekmeldingen.
10) Geef een samenvatting van het incident waarbij de inbreuk op de beveiliging van persoonsgegevens zich heeft voorgedaan.
11) Van hoeveel personen zijn persoonsgegevens betrokken bij de inbreuk? (Vul de aantallen in.)
a) Minimaal: (vul aan)
b) Maximaal: (vul aan)
12) Omschrijf de groep mensen van wie persoonsgegevens zijn betrokken bij de inbreuk.
13) Wanneer vond de inbreuk plaats? (Kies een van de volgende opties en vul waar nodig aan.)
a) Op (datum)
b) Tussen (begindatum periode) en (einddatum periode)
c) Nog niet bekend
14) Wat is de aard van de inbreuk? (U kunt meerdere mogelijkheden aankruisen.)
a) Lezen (vertrouwelijkheid)
b) Kopiëren
c) Veranderen (integriteit)
d) Verwijderen of vernietigen (beschikbaarheid)
e) Diefstal
f) Nog niet bekend
15) Om welk type persoonsgegevens gaat het? (U kunt meerder mogelijkheden aankruisen.)
a) Naam-, adres- en woonplaatsgegevens
b) Telefoonnummers
c) E-mailadressen of andere adressen voor elektronische communicatie
d) Toegangs- of identificatiegegevens (bijvoorbeeld inlognaam / wachtwoord of klantnummer)
e) Financiële gegevens (bijvoorbeeld rekeningnummer, creditcardnummer)
f) Burgerservicenummer (BSN) of sofinummer
g) Paspoortkopieën of kopieën van andere legitimatiebewijzen
h) Geslacht, geboortedatum en/of leeftijd
i) Bijzondere persoonsgegevens (bijvoorbeeld ras, etniciteit, criminele gegevens, politieke overtuiging, vakbondslidmaatschap, religie, seksuele leven, medische gegevens)
j) Overige gegevens, namelijk (vul aan)
16) Welke gevolgen kan de inbreuk hebben voor de persoonlijke levenssfeer van de betrokkenen? (U kunt meerdere mogelijkheden aankruisen.)
a) Stigmatisering of uitsluiting
b) Schade aan de gezondheid
c) Blootstelling aan (identiteits)fraude
d) Blootstelling aan spam of phishing
e) Anders, namelijk (vul aan)
17) Welke technische en organisatorische maatregelen heeft uw organisatie getroffen om de inbreuk aan te pakken en om verdere inbreuken te voorkomen?
18) Heeft u het datalek gemeld aan de betrokkenen of bent u van plan dat te gaan doen? (Kies een van de volgende opties.)
a) Ja
b) Nee
c) Nog niet bekend
19) Wanneer heeft u het datalek gemeld aan de betrokkenen, of wanneer gaat u dit doen? (Beantwoord deze vraag als u vraag 18 met ja hebt beantwoord. Kies een van de volgende opties en vul waar nodig aan.)
a) Ik heb het datalek aan de betrokkenen gemeld op (datum)
b) Ik ga het datalek aan de betrokkenen melden op (datum)
c) Nog niet bekend
20) Wat is de inhoud van de melding aan de betrokkenen? (Letterlijke weergave, beantwoord deze vraag als u vraag 18 met ja hebt beantwoord.)
21) Hoe veel betrokkenen heeft u in kennis gesteld of gaat u in kennis stellen? (Beantwoord deze vraag als u vraag 18 met ja hebt beantwoord.)
22) Welk communicatiemiddel of welke communicatiemiddelen gebruikt u of gaat u gebruiken bij het in kennis stellen van de betrokkenen? (Beantwoord deze vraag als u vraag 18 met ja hebt beantwoord.)
23) Waarom ziet u af van het melden van het datalek aan de betrokkenen? (Beantwoord deze vraag als u vraag 18 met nee hebt beantwoord. Kies een van de onderstaande opties en vul waar nodig aan.)
a) De technische beschermingsmaatregelen die ik heb getroffen bieden voldoende bescherming om de melding aan de betrokkene achterwege te kunnen laten54Zie paragraaf 7.2 van deze richtsnoeren.
b) Het is onwaarschijnlijk dat het datalek ongunstige gevolgen zal hebben voor de persoonlijke levenssfeer van de betrokkene, want: (vul aan)55Zie paragraaf 7.3 van deze richtsnoeren.
c) Ik heb zwaarwegende redenen om de melding aan de betrokkene achterwege te laten, namelijk: (vul aan)56Zie paragraaf 7.4 van deze richtsnoeren.
d) Anders, namelijk: (vul aan)
24) Zijn de persoonsgegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk gemaakt voor onbevoegden?57Zie paragraaf 7.2 van deze richtsnoeren. (Kies een van de volgende opties en vul waar nodig aan.)
a) Ja
b) Nee
c) Deels, namelijk: (vul aan)
25) Als de persoonsgegevens geheel of deels onbegrijpelijk of ontoegankelijk zijn gemaakt, op welke manier is dit dan gebeurd? (Beantwoord deze vraag als u bij vraag 24 gekozen heeft voor optie a of optie c. Als u gebruik heeft gemaakt van encryptie, licht dan ook de wijze van versleutelen toe.)
26) Heeft de inbreuk betrekking op personen in andere EU-landen? (Kies een van de volgende opties.)
a) Ja
b) Nee
c) Nog niet bekend
27) Heeft uw bedrijf of organisatie het datalek gemeld bij toezichthouders in een of meer andere EU-landen?
a) Ja, namelijk: (vul aan)
b) Nee
28) Is naar uw mening deze melding compleet? (Selecteer een van de onderstaande opties.)
a) Ja, de vereiste informatie is verstrekt en er is geen vervolgmelding nodig
b) Nee, er komt later een vervolgmelding met aanvullende informatie over deze inbreuk