Memo Procesbeschrijving meldplicht datalekken

Datum 15-11-2015 Onderwerp Procesbeschrijving meldplicht datalekken Noot vooraf van CIP: in de categorie "Individuele praktijk: een toepassing bij een van de organisaties die werkt, als handreiking voor hergebruik binnen geïnteresseerde organisaties" is dit een voorbeeld van actie naar aanleiding van de 'Meldplicht datalekken'. Het is een interne procedure bij UWV die zich nog in de implementatiefase bevindt en de kans is groot dat er wijzigingen op zullen volgen. UWV stelt het graag ter beschikking en hoort ook graag suggesties voor verbetering. Er kunnen nooit rechten aan ontleend worden. 1. Inleiding Op 1 januari 2016 treedt de meldplicht datalekken in werking. Deze meldplicht vormt een nieuw onderdeel van de Wet bescherming persoonsgegevens (Wbp). De meldplicht datalekken houdt in dat organisaties direct een melding moeten doen bij de Autoriteit Persoonsgegevens 1 zodra sprake is van een ernstig datalek. Indien een datalek ten onrechte niet wordt gemeld aan de Autoriteit Persoonsgegevens, dan kan de Autoriteit Persoonsgegevens aan de betreffende organisatie een boete geven van max. 810.000,- of 10% van de jaaromzet. Organisaties dienen zelf een afweging te maken of een specifiek datalek onder het bereik van deze meldplicht valt. De "Beleidsregels voor toepassing van artikel 34a van de Wbp" van de Autoriteit Persoonsgegevens dienen ter ondersteuning van deze afweging en zijn toegevoegd als bijlage bij dit document. In de Wbp wordt een datalek gedefinieerd als een inbreuk op de beveiliging. Voor de nadere bepaling van wat onder deze definitie valt, geldt een aantal afwegingen, die in deze procesbeschrijving uitgebreider wordt behandeld. Voorbeelden waarbij sprake kan zijn van een datalek, zijn: een gestolen laptop, een inbraak door een hacker, een malware-besmetting of een calamiteit (bijv. brand) in een datacentrum 2. Echter, deze voorbeelden vallen alleen onder de definitie van een datalek, wanneer persoonsgegevens verloren zijn gegaan of onrechtmatig zijn verwerkt. Om dit te kunnen beoordelen, dient een aantal stappen te worden doorlopen, die beschreven staan in deze procesbeschrijving. Dit document heeft als doel het (benoemen en) beschrijven wanneer welke partijen welke rol spelen in dit proces. 2. Toepassingsbereik: verantwoordelijke en bewerker UWV is een organisatie die persoonsgegevens verwerkt waarbij de Wbp van toepassing is. Dat betekent dat de meldplicht datalekken ook voor UWV, als Wbp-verantwoordelijke, geldt. Daarnaast werkt UWV met bewerkers voor de verwerking van persoonsgegevens. Bij bewerkers gaat het in principe ook om leveranciers van IT-diensten die persoonsgegevens verwerken. Indien gewerkt wordt met een bewerker, dient de verantwoordelijke (UWV) ervoor te zorgen dat de bewerker voldoende waarborgen biedt ten aanzien van de naleving van de meldplicht voor datalekken. Hiervoor dienen schriftelijk afspraken te worden gemaakt tussen de verantwoordelijke en de bewerker (zie hoofdstuk 2 van de richtsnoeren van de Autoriteit Persoonsgegevens). De directeur van Facilitair Bedrijf (m.n. de afdeling Inkoop) heeft de verantwoordelijkheid de vereisten uit de meldplicht in de (bestaande en toekomstige) contracten met de bewerkers/leveranciers van UWV te borgen. De contracten van Gegevensdiensten met bewerkers moeten ook worden aangepast. Vooralsnog gaan wij ervan uit dat dat niet geldt voor contracten met (eind)afnemers en dat deze zelf als verantwoordelijke gelden voor de wet. De afspraken met bewerkers dienen zich in ieder geval te richten op hoe een geconstateerd datalek via de bewerker terecht komt in het reguliere meldproces zoals dat in dit document is beschreven. Daarnaast dient in de afspraken met bewerkers te worden opgenomen dat eventuele kosten bij nalatigheid van de bewerker m.b.t. de meldplicht datalekken op deze partij kunnen worden verhaald. 1 Vanaf 1 januari 2016 wordt, met inwerkingtreding van de Wet meldplicht datalekken, de naam van het College bescherming persoonsgegevens gewijzigd in Autoriteit Persoonsgegevens. Er wordt in dit document uitgegaan van de nieuwe naam. 2 De voorbeelden zijn ontleend aan de consultatieversie van de Autoriteit Persoonsgegevens. Bezoekadres

2 van 6 3. Het proces van een melding Het proces van het melden van een datalek tot aan de melding aan de Autoriteit Persoonsgegevens en betrokkene(n), wordt hieronder geschetst. Dit proces bestaat uit een aantal stappen die ook worden beschreven in de richtsnoeren van de Autoriteit Persoonsgegevens: Signalering van een datalek Bepaling of daadwerkelijk sprake is van een datalek, analyse, en advies over vervolg Melding aan de Autoriteit Persoonsgegevens Melding aan betrokkene(n) In dit document wordt bij elke stap kort stilgestaan bij de acties die hierbij verwacht worden en door wie deze uitgevoerd dienen te worden. Aan de voorkant van het proces, bij de signalering van een datalek, hebben medewerkers, bewerkers/leveranciers en applicatie-eigenaren de verantwoordelijkheid om signalen van een datalek zo spoedig mogelijk door te geven. Bij de eerste signalering van een datalek wordt dit zo snel mogelijk doorgegeven aan een centraal meldpunt. Dit wordt gevormd door meldplicht-datalekken@uwv.nl, waarmee USOC (24/7 beschikbaar) bereikt kan worden. Zo snel mogelijk, omdat de termijn van twee werkdagen waarbinnen meldenswaardige datalekken gemeld moeten worden, ingaat vanaf het moment van signalering van het datalek. Het uitgangspunt is dus dat USOC de signalen analyseert op relevantie in het kader van de meldplicht en niet de divisie/directie waarbinnen het datalek is opgetreden. Bij grootschalige beveiligingsincidenten wordt een crisisorganisatie ingericht teneinde adequaat te kunnen ingrijpen en het incident snel op te lossen. Hiervoor geldt de bestaande procedure rond crisissituaties. Het primaire uitgangspunt is dat via meldplicht-datalekken@uwv.nl gemeld wordt. Dit om de melding zo snel mogelijk bij USOC te krijgen. Een deel van de signalen zal echter ook binnen kunnen komen bij de Servicedesk Informatievoorziening. In sommige gevallen dient de melding verplicht en conform bestaande werkwijzen aan Bureau Integriteit (BI) te worden gedaan. Dit laatste verandert niet. Voor de directe melding aan BI gaat het om: a) signalen van misbruik of mogelijk misbruik van vertrouwelijke informatie (denk aan onrechtmatige raadpleging van informatie, het misbruik van informatie van klanten van UWV of van bedrijfs- en werkprocessen, of het delen van deze informatie); of b) diefstal van datadragers (denk aan diefstal van telefoons, laptops, tablets, maar ook papieren dossiers e.d.). Signalen van externen (klanten en leveranciers) zullen veelal binnenkomen via helpdesks van divisies, het KCC, TLM, ICT-beheer e.d. Om toch op één centraal punt een registratie van alle signalen te krijgen en deze te kunnen toetsen op relevantie in het kader van de meldplicht zullen met de hier genoemde bestaande kanalen afspraken worden gemaakt over doorgeleiding daarvan naar USOC (meldplicht-datalekken@uwv.nl). USOC neemt in het meldproces de registratie, de analyse van het gesignaleerde lek en de advisering over de beoordeling op zich. USOC gaat daarbij na of de melding van dien aard is (zie ook de overwegingen hieronder) dat deze mogelijk gemeld moet worden aan de Autoriteit Persoonsgegevens en wellicht ook de betrokkenen (getroffen burgers). Bij het binnenkomen van een signaal informeert USOC ook het betrokken directielid en/of de Business Security Officer. USOC geeft een advies over eventuele melding aan Bestuurszaken (Juridische Zaken), waarna de regie op de melding bij Bestuurszaken (JZ) terecht komt. Bestuurszaken/JZ maakt de uiteindelijke afweging om het datalek al dan niet te melden aan de Autoriteit Persoonsgegevens en stelt vast of de betrokkenen moeten worden geïnformeerd door de betreffende divisie/directie. Op de volgende pagina volgt een visueel overzicht van het meldproces.

3 van 6 4. Wanneer is sprake van een datalek? Bij een datalek gaat het om [ ] toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. Hierbij dient UWV ook rekening te houden met hoe e.e.a. is ingericht en wordt gebruikt op Sharepoint, binnen Suwinet, Sonar, etc. Er is sprake van een datalek als inbreuk wordt gemaakt op de beveiliging van persoonsgegevens (zoals bedoeld in art. 13 van de Wet bescherming persoonsgegevens). Dit is het geval wanneer persoonsgegevens: - blootgesteld zijn aan verlies of onrechtmatige verwerking, en - er niet redelijkerwijs kan worden uitgesloten dat persoonsgegevens daadwerkelijk verloren zijn gegaan of onrechtmatig zijn verwerkt. Soms kan direct de inschatting worden gemaakt of sprake is van verlies of onrechtmatige verwerking. Dan zal USOC al snel tot dit oordeel kunnen komen. USOC kan ook, waar nodig, andere relevante expertise inschakelen, zoals K&S en Werkbedrijf. Het is denkbaar dat in enkele complexe gevallen ook externe expertise nodig is. Denk bij dit laatste aan gevallen waarin systemen zijn besmet met malware. Specialistische kennis voor de beoordeling hiervan kan nodig zijn. Van geval tot geval zal door USOC beoordeeld worden welke aanvullende expertise moet worden ingeschakeld.

4 van 6 5. Analyse datalek en adviseren over vervolgacties Niet alle datalekken moeten gemeld worden aan de Autoriteit Persoonsgegevens of aan betrokkenen. Als vastgesteld is dat sprake is van een datalek, dan moet worden beoordeeld of dit datalek ernstig genoeg is of van zodanige aard is dat het nodig is om deze aan de Autoriteit Persoonsgegevens en mogelijk ook aan betrokkene(n) te melden. In deze fase ligt de regie bij Bestuurszaken (Juridische Zaken). JZ zal in nauwe samenspraak met USOC, maar ook met andere relevante partijen de melding richting de Autoriteit Persoonsgegevens verzorgen. 5.1. Analyse datalek en melding aan de Autoriteit Persoonsgegevens Voor het bepalen of gemeld moet worden aan de Autoriteit Persoonsgegevens, moet vast staan dat er een aanzienlijke kans is op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens. Het centrale loket (USOC) zal hierover een gefundeerd oordeel vellen. De Autoriteit Persoonsgegevens geeft twee afwegingen die hierbij gemaakt kunnen worden: - Zijn er persoonsgegevens van gevoelige aard gelekt? (zo ja, melden aan de Autoriteit Persoonsgegevens) - Leiden de aard en omvang van de inbreuk tot (een aanzienlijke kans op) ernstige nadelige gevolgen? (zo ja, melden aan de Autoriteit Persoonsgegevens) Een aantal categorieën van persoonsgegevens wordt gerekend tot gevoelige gegevens. In de richtsnoeren wordt hier uitgebreid bij stilgestaan, evenals bij de relevante afwegingen om te bepalen wat de aard en omvang van de inbreuk is. UWV werkt met grote hoeveelheden persoonsgegevens die tevens worden verwerkt in ketens (bijv. de loonaangifteketen), waardoor de aard en omvang van een inbreuk snel zal leiden tot een meldenswaardig incident voor de Autoriteit Persoonsgegevens. Het centrale loket USOC heeft een belangrijke functie in het bepalen van de ernst van de datalek. Ook legt USOC een aantal gegevens vast over het datalek. De Autoriteit Persoonsgegevens noemt voor deze vastlegging een bewaartermijn van minimaal een jaar. 5.2. Hoe en op welk moment dient een datalek gemeld te worden aan de Autoriteit Persoonsgegevens? De Autoriteit Persoonsgegevens stelt een webformulier beschikbaar waarmee datalekken kunnen worden gemeld. Hierop staan vragen, waaruit duidelijk wordt welke informatie bij een melding gewenst is. Het datalek dient onverwijld gemeld te worden indien het gaat om een meldenswaardig lek. Dit betekent dat na ontdekking van een datalek enige tijd mag worden genomen voor nader onderzoek, om zo onnodige meldingen te voorkomen. Uiterlijk op de tweede werkdag na de ontdekking van het incident moet de melding gedaan worden aan de Autoriteit Persoonsgegevens. Deze termijn gaat in op het moment dat de verantwoordelijke of de bewerker op de hoogte raakt van het betreffende incident. Aan het eind van de termijn is het mogelijk dat er nog geen volledig zicht is op wat er is gebeurd. De melding dient dan gedaan te worden op basis van de op dat moment beschikbare informatie. De melding kan naderhand worden aangevuld of ingetrokken. Naast een melding aan de Autoriteit Persoonsgegevens, kan het datalek ook van dien aard zijn dat betrokkene(n) moet(en) worden geïnformeerd. Hiervoor is een aantal extra afwegingen van belang, waarop hieronder dieper wordt ingegaan. 6. Melding doen aan betrokkene(n) 6.1. Moet ook gemeld worden aan betrokkene(n)? In deze fase is al vastgesteld dat het datalek gemeld moet worden aan de Autoriteit Persoonsgegevens. Voor het bepalen of gemeld moet worden aan betrokkene(n), gelden de volgende afwegingen (zie ook de richtsnoeren, hfdst. 7): bieden de technische beschermingsmaatregelen die zijn genomen voldoende bescherming om de melding aan betrokkene achterwege te kunnen laten? (zo ja, dan kan de melding achterwege worden gelaten) zal het datalek waarschijnlijk ongunstige gevolgen hebben voor de persoonlijke levenssfeer van de betrokkene? (zo nee, dan kan de melding achterwege worden gelaten)

5 van 6 zijn er zwaarwegende redenen om de melding aan de betrokkene achterwege te laten? (zo ja, dan kan de melding achterwege worden gelaten) Voor de eerstgenoemde afweging over passende technische beschermingsmaatregelen is specialistische expertise nodig. De Autoriteit Persoonsgegevens noemt een aantal aspecten waar naar gekeken dient te worden: Blootstelling aan vernietiging of aantasting: indien persoonsgegevens zijn vernietigd of zijn aangetast (hier biedt versleuteling bijv. geen bescherming tegen), dan dient betrokkene geïnformeerd te worden. Onrechtmatige verwerking valt ook onder deze categorie en is ook een reden om betrokkene te informeren, indien er ongunstige gevolgen zijn voor de persoonlijke levenssfeer van betrokkene. Versleuteld op moment dat de inbreuk plaatsvond: indien hier geen sprake van is, dient betrokkene geïnformeerd te worden. Is de versleuteling adequaat: het gaat hier om een strenge norm waarbij rekening moet worden gehouden met de laatste stand van de techniek. Is het restrisico acceptabel? Dan kan melding achterwege worden gelaten. Aan de hand van het doorlopen van de vorige aandachtspunten dient de organisatie zich hier zelf een oordeel over te vormen. Hierbij dient meegenomen te worden welke gevolgen het voor de persoonlijke levenssfeer van betrokkene heeft wanneer een kwaadwillende er nu of in de toekomst alsnog in slaagt om kennis te nemen van de getroffen persoonsgegevens Voor de inschatting of het datalek ongunstige gevolgen kan hebben voor de persoonlijke levenssfeer, dient in ieder geval meegewogen te worden wat de aard is van de getroffen persoonsgegevens. Indien deze van gevoelige aard zijn, dan kan er van uit worden gegaan dat betrokkenen geïnformeerd moeten worden. Indien betrokkenen moeten worden geïnformeerd, meldt Juridische Zaken dit aan de betrokken divisie. De melding van de inbreuk op persoonsgegevens aan betrokkene(n) zal plaatsvinden door de divisie/directie die applicatieeigenaar is of waar het datalek is geconstateerd. Andere expertises (USOC, Woordvoering, Communicatie, K&S, Gegevensdiensten etc.) kunnen hierbij waar nodig/gewenst aangeschakeld worden. 6.2. Wat en op welk moment dient gemeld te worden aan betrokkene(n)? In de melding aan betrokkene dient in ieder geval vermeld te worden: de aard van de inbreuk de instantie(s) waar betrokkene meer informatie over de inbreuk kan krijgen maatregelen die aan betrokkene worden aanbevolen om de negatieve gevolgen van de inbreuk te beperken Denk bij dit laatste aan de aanbeveling aan betrokkene om gebruikersnamen en wachtwoorden te wijzigen (ook voor andere accounts dan bij het getroffen systeem als betrokkene dezelfde wachtwoorden en gebruikersnamen gebruikt voor verschillende diensten). In veruit de meeste gevallen zal de verantwoordelijke (UWV) beschikken over de benodigde contactgegevens van betrokkenen en kan er individueel contact worden opgenomen om betrokkene te informeren. Bij omvangrijke incidenten kan gekozen worden voor een combinatie van algemene voorlichting en informeren op individuele basis (bijv. informatie op de website in combinatie met een email aan alle betrokkenen, of eventueel via andere kanalen). Enkel een bericht in de media volstaat hierbij vaak niet; essentieel is dat betrokkenen gewezen worden op maatregelen en informatie die helpen om gevolgen van de inbreuk te beperken. Het datalek dient onverwijld gemeld te worden aan betrokkene(n). Dit betekent dat na ontdekking van het datalek enige tijd genomen mag worden voor nader onderzoek, zodat betrokkene(n) op een behoorlijke en zorgvuldige manier geïnformeerd kan worden. In verband met de vereiste aanbevelingen aan betrokkene over hoe de inbreuk beperkt kan worden, dient de melding echter wel zo snel mogelijk te gebeuren. Er kan ook gekozen worden om, net als bij de melding aan de Autoriteit Persoonsgegevens, betrokkene in eerste instantie te informeren op basis van de

6 van 6 tot dan toe beschikbare informatie, om deze vervolgens in een later stadium uitgebreider te informeren. Dit oordeel wordt belegd bij Juridische Zaken, die waakt over dit deel van het proces. De melding zelf zal, zoals gezegd, plaats vinden vanuit de betreffende divisie/directie. 6.3 Wat indien betrokkene zelf heeft gemeld aan Bureau Integriteit? Bepaalde incidenten worden gemeld bij Bureau Integriteit (zie eerder in deze beschrijving). Indien een medewerker misbruik van vertrouwelijke informatie rechtstreeks heeft gemeld bij Bureau Integriteit zal dit Bureau betrokkene informeren of de melding onderzoekwaardig is bevonden. Als dat het geval is, dan zal Bureau Integriteit betrokkene informeren over de afronding van het onderzoek en de uitkomst. Bureau Integriteit zal de melding doen opnemen in de registratie bij het centraal punt (USOC).