Handleiding melden Inbreuk bescherming persoonsgegevens. Voor aanbieders van openbare elektronische communicatiediensten

Transcriptie

1 Handleiding melden Inbreuk bescherming persoonsgegevens Voor aanbieders van openbare elektronische communicatiediensten Versie juni 2012

2

3 1 Inleiding Als er bij uw organisatie een inbreuk op de bescherming van persoonsgegevens heeft plaatsgevonden, dan dient u dit te melden bij het college van de Onafhankelijke Post en Telecommunicatie Autoriteit (hierna: OPTA). Deze plicht geldt alleen voor de persoonsgegevens die u verwerkt in verband met de levering van een openbare elektronische communicatiedienst in de Europese Unie. De meldplicht inbreuk bescherming persoonsgegevens is vastgelegd in artikel 11.3a van de Telecommunicatiewet. Deze wet kunt u raadplegen via de website Melding van de inbreuk doet u via het Loket Meldplicht Telecommunicatiewet. Dit is het gezamenlijke loket van Agentschap Telecom en OPTA voor meldingen die verband houden met de Telecommunicatiewet. Via dit loket kunnen ook continuïteitsverstoringen van diensten of netwerken worden gemeld. De beheerder van dit gezamenlijk loket is Agentschap Telecom en het loket stuurt de binnengekomen meldingen naar de juiste toezichthouder. In deze handleiding vindt u een uitleg over: Hoe het doen van een melding verloopt (hoofdstuk 2) Welke voorbereidingen u moet treffen voordat u kunt melden (hoofdstuk 3) Wat u moet weten over het webformulier (hoofdstuk 4) Wat van belang is bij een nieuwe melding (hoofdstuk 5) Wat van belang is bij een vervolgmelding (hoofdstuk 6) Hoe u een eerdere melding intrekt (hoofdstuk 7). In Hoofdstuk 8 vindt u het vragenoverzicht dat bij een melding van een inbreuk op de bescherming van persoonsgegevens hoort. Deze vragen worden zowel bij elektronische als bij telefonische melding aan u gesteld. Als u deze vragen van tevoren doorneemt en - met name bij een telefonische melding - bij de hand houdt, verloopt het doen van een melding efficiënter. We hopen dat de informatie in de handleiding en op het webformulier voldoende is. Mocht u toch nog vragen hebben over de meldprocedure of het meldpunt, dan kunt u altijd contact met ons opnemen via ons algemene adres (info@opta.nl) of telefoonnummer ( ). 3 / 27

4 2 De procedure van een melding in vogelvlucht 2.1 Webformulier Om een incident te melden gaat u naar de website van het Loket Meldplicht Telecommunicatiewet. U klikt op het icoon of op de hyperlink voor het melden van een inbreuk op de bescherming van persoonsgegevens. U krijgt een inlogscherm waar u uw inloggegevens moet invullen en vervolgens krijgt u het webformulier gepresenteerd. Via dit formulier kunt u de informatie over het beveiligingsincident verstrekken door het beantwoorden van de getoonde vragen. Na het invullen van de laatste vraag kunt u de ingevulde gegevens laten verzenden aan OPTA. U ontvangt op het door u opgegeven mailadres een bevestiging dat u een melding heeft gedaan. Uit beveiligingsoogpunt bevat deze mail géén weergave van de door u ingevulde gegevens. 2.2 Meldingsnummer als referentie Bij iedere melding ontvangt u een meldingsnummer. Dit nummer verschijnt op uw scherm. Het nummer wordt ook vermeld in de bevestigingsmail die u na de melding ontvangt. Bewaart u dit nummer goed, want u heeft het nodig in eventuele vervolgcommunicatie met OPTA over het desbetreffende beveiligingsincident. 2.3 Nog niet alle gegevens beschikbaar? Als u niet alle vragen kunt beantwoorden, vult u dan zo goed mogelijk in wat u wél weet. Het is belangrijk dat u niet wacht met melden totdat u alle gegevens compleet heeft. De ontbrekende gegevens kunt u dan later verstrekken door opnieuw het formulier in te vullen. Vermeld daarbij het meldingsnummer dat u bij de eerste melding heeft ontvangen. U kunt op deze manier meerdere malen uw oorspronkelijke melding aanvullen. 2.4 Per incident een melding Als u twee verschillende beveiligingsincidenten wilt melden, dan moet u tweemaal het formulier invullen. Per incident moet u dus een afzonderlijke melding doen. Betreft het incident niet alleen een inbreuk op de bescherming van persoonsgegevens, maar ook een continuïteitsinbreuk, vult u dan ook het andere webformulier in dat u kunt vinden bij het Loket Meldplicht Telecommunicatiewet. Dit is nodig omdat beide soorten meldingen een afzonderlijke afhandelingsprocedure hebben. 4 / 27

5 2.5 Telefonisch melden U kunt ook telefonisch een melding doen. Deze telefonische ingang van het meldloket is uitsluitend bedoeld voor die situaties waarbij u niet in staat bent elektronisch te melden via het webformulier. Het telefoonnummer is (0,029 cent per minuut). Dit nummer is 24 uur per dag, 7 dagen per week bereikbaar. 5 / 27

6 3 Wat moet u doen voordat u kunt gaan melden? 3.1 Voorbereiding voor melding via het webformulier Voordat u uw eerste melding gaat doen via het webformulier, moet u een inlogcode en een wachtwoord aanvragen bij de beheerder van het meldloket, Agentschap Telecom. U kunt deze telefonisch aanvragen tijdens kantooruren, via het telefoonnummer (0,029 cent per minuut). Agentschap Telecom zal u dan schriftelijk een aanvraagformulier toesturen met een toelichting op de manier waarop u dit moet invullen en terugsturen. Alleen aanbieders van een openbare elektronische communicatiedienst kunnen zo n aanvraag voor een inlogcode doen. Andere bedrijven, organisaties en personen mogen geen melding doen bij het meldloket en krijgen dan ook geen inloggegevens. Houd u er rekening mee dat de aanvraagprocedure 5 tot 10 werkdagen in beslag neemt. Mocht u in de tussentijd een beveiligingsincident met persoonsgegevens hebben, dan kunt u dat telefonisch melden bij het bovengenoemde telefoonnummer. Let op: het niet beschikken over een inlogcode en wachtwoord ontslaat u dus niet van de verplichting tot het onverwijld melden van een beveiligingsincident met persoonsgegevens. 3.2 Voorbereiding voor telefonische melding Bij het doen van een melding via het telefoonnummer zal u worden gevraagd naar uw inlogcode om u te identificeren. Houdt u uw inlogcode dus bij de hand als u gaat bellen. Ook raden wij u aan om het overzicht van de vragen in het webformulier (zie hoofdstuk 8 van deze handleiding) bij de hand te houden. Daardoor zal het melden voorspoediger verlopen en bent u zo min mogelijk tijd kwijt. Als nog niet een inlogcode beschikt, kunt u toch telefonisch uw melding doen. Het niet hebben van een inlogcode ontslaat u immers niet van uw meldplicht. U wordt daarna wel verzocht zo spoedig mogelijk een inlogcode aan te vragen. 6 / 27

7 4 Het webformulier inbreuk bescherming persoonsgegevens In dit hoofdstuk leest u een algemene toelichting over het webformulier en over hoe u dit in moet vullen. In de drie volgende hoofdstukken vindt u meer specifieke toelichtingen: voor het doen van een nieuwe melding (hoofdstuk 5); voor het doen van een vervolgmelding (hoofdstuk 6); voor het intrekken van een eerder melding (hoofdstuk 7). Een overzicht van alle vragen van het webformulier vindt u in hoofdstuk Algemene kenmerken van het formulier. Het formulier bestaat uit vier onderdelen: Uw gegevens: dit zijn de administratieve gegevens behorend bij de melding De melding: de inhoudelijke gegevens behorend bij de melding Controleren: hier kunt u de door u ingevulde gegevens controleren voordat u ze daadwerkelijk aan ons verstuurt. Afronden: hier kunt u uw gegevens laten verzenden aan OPTA U ziet deze onderverdeling terug in de linkerkolom. Zie afbeelding 1. 7 / 27

8 Afbeelding Verplichte velden Een aantal vragen moeten verplicht worden ingevuld. U herkent dezee aan een sterretje. Vergeet u een verplichte vraag in te vullen, dan wordt u daarop geattendeerd als u naar de volgende pagina van het formulier wilt gaan. Zie afbeelding 2. 8 / 27

9 Afbeelding Toelichting op de vragen Staat er een i achter de vraag? Dat betekent dat er een korte toelichting beschikbaar is. Deze verschijnt als u de muis over de i schuift. 4.4 Soorten vragen Er zijn vier soorten vragen in het formulier. Dat zijn: Open vragen: hier kunt u vrij informatie invoeren in tekstvelden of getalsvelden. Keuzevragen: hier kunt u slechts één van de opties kiezen. Selectievragen: hier kunt u meerdere opties aanvinken. Datum- en tijdvragen: hier krijgt u een kalender en klok gepresenteerd en kunt u de juiste datum en tijd selecteren. 9 / 27

10 4.5 Bladeren door het vragenformulier U kunt door het vragenformulier bladeren via de knoppen onderaan. Vooruit bladeren kan alleen als u alle verplichte vragen heeft beantwoord. Bij terugbladeren kunt u eerder ingevulde gegevens aanpassen. 4.6 Niet alle vragen worden gesteld Het vragenformulier bevat 32 vragen. Deze zijn niet allemaal verplicht om in te vullen. Bovendien worden sommige vragen alleen aan u gepresenteerd als u bij een keuzevraag een bepaalde optie heeft gekozen. Als u bij een keuzevraag een eerder ingevulde keuze later verandert, dan kan het dus gebeuren dat u daarna andere vragen gepresenteerd krijgt. Een voorbeeld wordt getoond in afbeelding 3 en 4, waar de verschillende beantwoording van vraag 23 andere vervolgvragen oplevert. Afbeelding 3 10 / 27

11 Afbeelding 4 11 / 27

12 4.7 Controleren melding Als u de vragen onder Uw gegevens en onder De melding heeft ingevuld, kunt u naar het volgende scherm gaan. Daar kunt u nakijken of u alle gegevens (goed) hebt ingevuld. U kunt dan nog uw gegevens aanpassen. Dit kan door op de knop Vorige onderaan het formulier te klikken of door terug te bladeren via de onderdelen van het menu op linkerbalk. Zie afbeelding 5. Afbeelding 5 Bij iedere vraag staat een nummer vermeld. Omdat niet alle vragen door u beantwoord hoeven te worden (zie paragraaf 4.6) zal de nummering van de vragen niet opeenvolgend zijn. Dit is dus normaal. 4.8 Voor uw administratie: afdruk maken van gemelde gegevens Wij adviseren u om, als alle gegevens correct zijn ingevuld, het PDF-bestand van deze gegevens te printen. Dat kunt u doen door onderaan op de knop Print te klikken. Er 12 / 27

13 verschijnt dan een nieuw venster met uw gegevens in printformaat en een print knop linksboven (zie afbeelding 6). Afbeelding 6 Daarmee heeft u de beschikking over de gegevens die OPTA van uw melding in haar bestand heeft. Er is geen andere manier om later aan deze gegevens te komen, omdat na verzending ervan het meldloket de gegevens niet meer aan u kan presenteren (zie ook paragraaf 6.2). 13 / 27

14 4.9 Afronden melding: het verzenden Als u nu in het controlescherm op Volgende klikt, verschijnt het vierde onderdeel van het formulier, dat bedoeld is om u de melding te laten verzenden (zie afbeelding 7). Afbeelding 7 Ook in dit scherm wordt u de mogelijkheid geboden om de door u ingevulde gegevens af te drukken voor uw eigen administratie. U kunt de melding nog steeds aanpassen. Gebruik hiervoor de knop 'Vorige'. Indien u de melding wilt annuleren, klik dan op 'Annuleren'. Dan worden alle ingevulde gegevens gewist en wordt er geen melding van het incident gedaan bij OPTA. Als u klaar bent, kunt u de melding nu afronden. Kies 'Verzenden' om de gegevens naar OPTA te laten sturen. Een bevestiging van de melding wordt via naar u toegestuurd. Deze mail zal alleen het meldingsnummer en het tijdstip van melden bevatten. Het is belangrijk dat u dit meldingnummer goed registreert, omdat u dit meldingnummer nodig heeft als u de melding later aan wilt vullen, corrigeren of intrekken. 14 / 27

15 5 Het melden van een nieuw incident In dit hoofdstuk wordt ingegaan op het doen van een nieuwe melding. Hierbij wordt een enkele specifieke vraag nader toegelicht. Overigens kunt u bij veel vragen ook informatie vinden door met de muis te bewegen over het i symbool bij de vraagstelling. Een overzicht van de vragen vindt u in hoofdstuk Administratieve gegevens De eerste elf vragen zijn van administratieve aard. Deze zijn bedoeld om OPTA contact met u te kunnen laten opnemen naar aanleiding van uw melding als dat nodig is. Er is ruimte voor de gegevens van twee personen. Als eerste die van de melder. In sommige organisaties is er naast degene die een melding doet ook nog een ander persoon betrokken die dossierhouder is en die voor OPTA als contactpersoon fungeert. Als dat het geval is, dan kunt u bij vraag 7 tot en met 11 de gegevens van die tweede persoon invullen. OPTA zal dan deze tweede contactpersoon benaderen als daartoe aanleiding bestaat. Als u bij vraag 7 tot en met 11 niets invult, dan zal OPTA contact zoeken via de persoon die gemeld heeft. Op het beeldscherm kunt u ook uw inlogcode (relatienummer) terugvinden. Dit veld kunt u niet veranderen, omdat het weergeeft via welke inlogcode u toegang tot het meldloket heeft verkregen. 5.2 Nieuwe melding Om een nieuwe melding te starten, moet u bij vraag 12 bij Is dit een vervolgmelding? kiezen voor het antwoord nee. Daarmee kiest u voor het doen van een nieuwe melding. 5.3 Verplichte vragen Bij een nieuwe melding moet u vanaf vraag 16 alle vragen die aan u gepresenteerd worden van een antwoord voorzien. Mocht u op dat moment nog niet over de (volledige) informatie beschikken, dan kunt u dat aangeven. Bij de meerkeuzevragen kunt u dan kiezen voor de optie Nog niet bekend en bij de open vragen kunt u zelf opschrijven dat (een gedeelte van) de informatie nog niet bekend is. Maar gaat u dan wel verder met de volgende vragen van het formulier. Let op: het is de bedoeling dat u de ontbrekende informatie aan het meldloket doorgeeft, zodra u hierover beschikt. Dit kunt u doen door middel van een vervolgmelding (zie hoofdstuk 6). 15 / 27

16 5.4 Ernst van de inbreuk Om de ernst van de inbreuk in te schatten, verzoekt OPTA u om de methode te gebruiken die is beschreven in de bijlage van het ENISA-rapport Recommendations on technical implementation guidelines of Article 4. Dit document is gepubliceerd op is ook te downloaden via de link die in het webformulier is opgenomen bij vraag 28. Als u nog niet alle kennis over het incident heeft, dan is het moeilijk om een schatting te maken van de ernst van de inbreuk. Geeft u in dat geval toch een antwoord op basis van uw eerste inschatting. U kunt uw antwoord immers altijd aanscherpen bij het doen van een vervolgmelding. 5.5 Melding compleet? Bij de laatste vraag wordt u verzocht aan te geven of u alle noodzakelijke gegevens heeft ingevuld. Met andere woorden, of u op dat moment van mening bent dat u geen aanvullingen meer verwacht te hoeven doen. Als dat het geval is, kiest u voor de optie ja. Bij een groot beveilligingsincident met persoonsgegevens zult u doorgaans niet alle gegevens hebben kunnen invullen. Dan kiest u voor de optie nee. OPTA verwacht dan op korte termijn een of meerdere vervolgmeldingen (zie hoofdstuk 6) van u, waarmee u de melding compleet maakt. Let op: vergeet niet zelf deze vervolgmelding in te plannen. Het kan voorkomen dat u optie ja heeft gekozen, omdat u alle gegevens dacht te hebben ingevuld, maar dat u later de beschikking heeft over nieuwe relevante feiten die u aan OPTA wilt doorgeven. Dat blijft altijd mogelijk. U kunt daarvoor een vervolgmelding doen volgens de gebruikelijke procedure. Let op: na deze laatste vraag bent u nog niet klaar met de melding! U heeft de ingevulde gegevens immers nog niet laten verzenden naar OPTA. Ga daarom naar het volgende scherm, waar u de ingevulde gegevens kunt controleren om deze vervolgens te laten verzenden (zie paragraaf 4.7 tot en met 4.9). 16 / 27

17 6 Het doen van een vervolgmelding Soms heeft u bij het doen van een melding van niet alle informatie beschikbaar om alle vragen volledig te beantwoorden. In dat geval kunt u op een later tijdstip een vervolgmelding doen, om de eerder gegeven informatie aan te vullen of te verbeteren. 6.1 Hoe een eerder gedane melding aan te vullen of te verbeteren? U gaat opnieuw naar de website van het meldloket en logt in met uw inlogcode en wachtwoord. U krijgt weer het gebruikelijke beginscherm voor het doen van een melding. Vul vervolgens de administratieve gegevens in en kies bij de vraag (onderaan het scherm) Is dit een vervolgmelding voor het antwoord ja. Er verschijnt vervolgens een invoerveld met de vraag Wat is het nummer van de oorspronkelijke melding? (zie afbeelding 8). Afbeelding 8 17 / 27

18 Als u het meldingsnummer van de eerdere melding invult en bij vraag 14 de optie Toevoegen of wijzigen van informatie betreffende de eerdere melding selecteert, kunt u vervolgens verder met het onderdeel De melding, waar de vragen gepresenteerd worden. Als u al eerder de betreffende melding had aangevuld, dan beschikt u over het nummer van de oorspronkelijke melding én over het nummer van de vervolgmelding(en). Deze nummers verschillen enkel in de laatste twee cijfers. Het maakt niet uit welke van die nummers u invult, het meldloket zal ervoor zorgen dat uw nieuwe aanvulling aan het juiste incident wordt gekoppeld. 6.2 Geen weergave van eerder ingevulde gegevens Het meldloket is op dit moment zo ontworpen dat degene die inlogt voor een vervolgmelding geen inzage krijgt in de eerder ingevulde gegevens. Dat is gedaan om uw gegevens beter te kunnen beveiligen. Het kost u alleen wel meer inspanning bij het doen van een vervolgmelding. Mogelijk dat in de toekomst het meldloket aangepast zal worden om u deze inzagemogelijkheid toch te bieden, met behoud van hetzelfde beveiligingsniveau. Het is dus op dit moment raadzaam om de eerder door u ingevulde gegevens bij de hand te houden wanneer u een vervolgmelding doet. Dat kan alleen als u goed bijhoudt en vastlegt wat u eerder bij OPTA heeft gemeld. Dit kunt u bij een elektronische melding doen door in het scherm Controleren de door u ingevulde gegevens af te drukken. 6.3 Verplichte vragen In tegenstelling tot een nieuwe melding, zijn vrijwel alle vragen in het onderdeel De melding (vanaf vraag 16) niet verplicht om te beantwoorden. Dat maakt een snellere vervolgmelding mogelijk. Slechts die vragen die bepalend zijn voor opvolgende vervolgvragen, moet u verplicht beantwoorden. Dat zijn vraag 23 en vraag 29 en de bijbehorende vervolgvragen. Verder is de beantwoording van twee vragen in de categorie Overig verplicht (vraag 28 en 32). 6.4 Aanvullen of verbeteren van open vragen Als u open vragen aanvult of verbetert, dan hoeft u niet de tekst te herhalen die u bij de eerdere melding(en) over ditzelfde incident heeft gedaan. OPTA ontvangt deze aanvullingen als extra informatie, de eerder door u geschreven tekst wordt dus niet verwijderd of gewist en blijft beschikbaar bij OPTA. Let op: dat betekent wel dat als de aanvulling ook een verbetering bevat, u moet aangeven wat er niet meer klopt aan de eerder gegeven informatie. 18 / 27

19 6.5 Aanvullen of verbeteren van keuzevragen, selectievragen, of datumvragen Als u de keuzevragen, selectievragen of datumvragen (zie paragraaf 4.4) opnieuw invult, dan moet u dit doen alsof u deze vraag in de eerdere meldingen niet heeft beantwoord. Met andere woorden, OPTA zal de bij deze vervolgmelding ingevoerde keuze/selectie/datum als de juiste informatie beschouwen. Dit is met name bij de selectievragen van belang (vraag 18 en 20). Als u bijvoorbeeld bij vraag 20 ( Om welk type persoonsgegevens gaat het? ) in uw eerste melding Naam- adreswoonplaatsgegevens heeft geselecteerd en later komt u er achter dat ook Telefoonnummers betrokken zijn, dan moet u bij de vervolgmelding zowel Naam- adreswoonplaatsgegevens als Telefoonnummers aanvinken. Daarmee is het ook mogelijk om een selectiekeuze uit de eerdere melding te corrigeren. Als u bijvoorbeeld bij vraag 18 ( Wat is het type inbreuk? ) in uw eerste melding Diefstal (u beschikt niet meer over de gegevens) heeft geselecteerd en later komt u er achter dat de persoonsgegevens niet gestolen zijn maar enkel gekopieerd, dan kunt u bij de vervolgmelding Kopiëren aanvinken, waardoor OPTA de eerder gedane selectie Diefstal als vervallen beschouwt. 6.6 Meldingsnummer van een vervolgmelding Het meldingsnummer van een nieuwe melding eindigt altijd op de cijfers 01. De eerste vervolgmelding heeft een nummer dat uit dezelfde 13 begincijfers bestaat, maar dan aangevuld met de cijfers 02, enzovoorts. 19 / 27

20 7 Het intrekken van een eerder gedane melding Het is mogelijk dat u na verloop van tijd tot de ontdekking komt dat een bepaald beveiligingsincident niet gemeld had hoeven worden. Bijvoorbeeld, omdat gebleken is dat er in het geheel geen persoonsgegevens bij betrokken waren. U kunt dan uw eerder gedane melding intrekken. Dat kunt u doen door middel van een vervolgmelding. Vul de administratieve gegevens in en kies bij de vraag (onderaan het scherm) Is dit een vervolgmelding voor het antwoord ja. Er verschijnt vervolgens een invoerveld met de vraag Wat is het nummer van de oorspronkelijke melding?. Vervolgens kiest u bij de Wat is de strekking van de vervolgmelding? voor de optie Intrekken eerdere melding, waarna u wordt gevraagd om de reden van intrekking te geven (zie afbeelding 9). Afbeelding 9 Nadat u de ingevulde gegevens heeft gecontroleerd, kunt u deze intrekking verzenden via de gebruikelijke procedure. 20 / 27

21 8 Overzicht van vragen in het webformulier Inbreuk bescherming persoonsgegevens In dit hoofdstuk treft u het vragenformulier aan dat opgesteld is voor het melden van een inbreuk op de bescherming van persoonsgegevens. Dit vragenformulier is gebaseerd op het ENISA-rapport Recommendations on technical implementation guidelines of Article 4, april 2012, te vinden op Niet alle vragen zullen aan u gesteld worden, omdat uw antwoord op een keuzevraag bepaalt welke vragen daarna aan u gesteld gaan worden. Administratieve gegevens behorend bij de melding Meldende onderneming Vraag onder een voorwaarde Verplicht om in te vullen? 1. Naam van de onderneming: [Naam onderneming] ja Persoon die meldt 2. Naam van de persoon die meldt: [naam van melder] ja 3. Functie van de persoon die meldt: [functie] nee 4. adres van de persoon die meldt: [ adres] ja 5. Telefoonnummer van de persoon die meldt: [nummer] ja 6. Alternatief telefoonnummer van de persoon die meldt: [nummer] nee Contactpersoon voor de toezichthouder met betrekking tot deze specifieke inbreuk 7. Naam van contactpersoon: [naam van contactpersoon] nee 8. Functie van de contactpersoon: [functie] nee 21 / 27

22 9. adres van de contactpersoon: [ adres] nee 10. Telefoonnummer van de contactpersoon: [nummer] nee 11. Alternatief telefoonnummer van de contactpersoon: [nr] nee Type melding 12. Is dit een vervolgmelding? a. Ja ja b. Nee 13. Wat is het nummer van de oorspronkelijke melding? [nummer] 14. Wat is de strekking van de vervolgmelding? a. Toevoegen of wijzigen van informatie betreffende de eerdere melding b. Intrekking eerdere melding Alleen als vraag 12 met ja is beantwoord Alleen als vraag 12 met ja is beantwoord ja ja 15. Wat is de reden van intrekking? [vrije tekst] Alleen als vraag14 met b is beantwoord ja Inhoudelijke gegevens behorend bij de melding Algemene vragen over het incident 16. Wat is de samenvatting van het incident betreffende de inbreuk in verband met persoonsgegevens? [vrije tekst] 17. Wanneer vond de inbreuk plaats? Keuze uit: Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. 22 / 27

23 a. Vaste datum en tijd invoeren b. Periode opgeven c. Nog niet bekend op [datumveld] bij nieuwe melding) van [datumveld] tot [datumveld] Aard van de inbreuk 18. Wat is het type inbreuk in verband met persoonsgegevens? Eén of meerdere keuzes uit: Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) a. Lezen b. Kopiëren c. Veranderen d. Verwijderen e. Diefstal f. Nog niet bekend 19. Van hoeveel personen zijn persoonsgegevens betrokken bij de inbreuk? Keuze uit: Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) a. Het hieronder opgegeven aantal is een schatting b. Het hieronder opgegeven aantal is een nauwkeurig getal c. Nog niet bekend Aantal: [getalveld] 20. Om welk type persoonsgegevens gaat het? Eén of meerdere keuzes uit: a. Naam- adres- woonplaatsgegevens Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) 23 / 27

24 b. Telefoonnummers c. adressen of andere adressen voor elektronische communicatie d. Toegang- of identificatiegegevens (bijvoorbeeld inlognaam/wachtwoord of klantnummer) e. Financiële gegevens (bijvoorbeeld rekeningnummer, creditkaartnummer, burgerservicenummer) f. (Andere) persoonsgegevens (bijvoorbeeld: geslacht, geboortedatum, leeftijd) g. Bijzondere persoonsgegevens (bijvoorbeeld ras, etniciteit, criminele gegevens, politieke overtuiging, vakbondlidmaatschap, religie, seksuele leven, medische gegevens) h. Anders i. Nog niet bekend Indien u gekozen heeft voor optie d, e, f, g of h, geef dan een nadere specificatie van de persoonsgegevens: [vrije tekst] Gevolgen van de inbreuk op de persoonsgegevens 21. Wat zijn de gevolgen van de inbreuk op de persoonsgegevens? [vrije tekst] Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) Maatregelen die de aanbieder voorstelt of heeft getroffen om de inbreuk aan te pakken 22. Welke technische en organisatorische maatregelen heeft uw onderneming getroffen om de inbreuk aan te pakken en om verdere inbreuken te voorkomen? Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. 24 / 27

25 [vrije tekst] bij nieuwe melding) Melding aan betreffende personen 23. Hoe is of wordt de inbreuk gemeld aan de personen van wie het de persoonsgegevens betreft? ja Keuze uit: a. Zij hebben hiervan een melding gekregen op de hieronder ingevoerde datum b. Zij zullen hiervan nog een melding krijgen op de hieronder ingevoerde datum c. Zij krijgen hiervan geen melding omdat de inbreuk geen ongunstige gevolgen heeft voor de levenssfeer van de personen wiens persoonsgegevens het betreft d. Zij krijgen hiervan geen melding omdat de gegevens onbegrijpelijk zijn voor een ieder die geen recht op toegang heeft tot die gegevens e. Nog niet bekend Indien u gekozen heeft voor optie a of b, specificeer dan de datum: [vrije tekst] 24. Wat is de inhoud van de melding aan de diegenen wiens persoonsgegevens het betreft? (Letterlijke weergave) [vrije tekst] 25. Welk communicatiekanaal is gebruikt voor de melding aan diegenen wiens persoonsgegevens het betreft? Alleen als vraag 23 met a of b is beantwoord Alleen als vraag 23 met a of b is beantwoord Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) 25 / 27

26 [vrije tekst] Geen melding aan personen nodig omdat er geen ongunstige gevolgen zijn voor de persoonlijke levenssfeer 26. Waarom is het niet waarschijnlijk dat de inbreuk ongunstige gevolgen heeft op de levenssfeer van de personen wiens persoonsgegevens het betreft? [vrije tekst] Alleen als vraag 23 met c is beantwoord Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) Onbegrijpelijkheid van de betreffende persoonsgegevens voor derden 27. Wat is de reden dat deze persoonsgegevens onbegrijpelijk zijn voor een ieder die geen recht heeft op toegang tot die gegevens? Keuze uit: a. De gegevens zijn versleuteld volgens de hieronder toegelichte methode en de versleuteling is niet gecompromitteerd b. Anders Geef bij zowel optie a of b een toelichting: [vrije tekst] Alleen als vraag 23 met d is beantwoord Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) Overige vragen 28. Wat is de geschatte ernst van de inbreuk? Keuze uit: a. Laag b. Middel ja 26 / 27

27 c. Hoog d. Heel hoog e. Nog niet in te schatten 29. Heeft de inbreuk betrekking op personen in andere EU-landen? ja Keuze uit: a. Ja b. Nee c. Nog niet bekend 30. Heeft uw onderneming melding gedaan van de inbreuk bij toezichthouders in een of meer andere EU-landen? Keuze uit: a. Ja b. Nee 31. Welke EU-toezichthouders heeft uw onderneming op de hoogte gesteld? [Vrije tekst] 32. Is naar uw mening deze melding compleet? Keuze uit: a. Ja, de vereiste informatie is verstrekt en er is geen vervolgmelding nodig b. Nee, er komt later een vervolgmelding met aanvullende informatie over deze inbreuk Alleen als vraag 29 met ja is beantwoord Alleen als vraag 30 met ja is beantwoord Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) Alleen verplicht als vraag 12 met nee is beantwoord (d.w.z. bij nieuwe melding) ja 27 / 27