Datalek én cyberincident: welke meldingen doet een telecombedrijf?

Drie regels, drie vragen

Stel bij elk beveiligingsincident drie vragen:

1. Is het een significant incident onder de Cbw? Dan meldt u bij het CSIRT en de toezichthouder, via MijnNCSC.
2. Is er een inbreuk op persoonsgegevens bij een openbare telecomdienst? Dan geldt de meldplicht van artikel 11.3a Telecommunicatiewet.
3. Zijn er andere persoonsgegevens geraakt? Dan kan de AVG een melding vragen.

Het antwoord kan op alle drie ja zijn. De meldingen bestaan dan naast elkaar.

De Cbw-melding

Een incident is significant als het een ernstige verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of als het anderen aanzienlijke schade berokkent of kan berokkenen (artikel 25 Cbw). Voor telecomaanbieders noemt artikel 8 van de Regeling cyberbeveiliging EZK onder meer: aantasting van de integriteit, vertrouwelijkheid of echtheid van gegevens bij ten minste 1% van de gebruikers, met een minimum van 10.000 gebruikers.

De termijnen zijn: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en eindverslag binnen een maand (artikelen 26 tot en met 29 Cbw). Volgens de toelichting bij de regeling vallen ook incidenten door menselijke fouten onder de meldplicht, bijvoorbeeld als vertrouwelijke gegevens onbedoeld openbaar worden. Zie de voorbeeldtijdlijn.

De melding uit de Telecommunicatiewet

Een aanbieder van een openbare elektronische communicatiedienst stelt de Autoriteit Persoonsgegevens onverwijld in kennis van een inbreuk op de beveiliging die nadelige gevolgen heeft voor de bescherming van persoonsgegevens, verwerkt in verband met de levering van die dienst (artikel 11.3a, eerste lid, Tw). Heeft de inbreuk waarschijnlijk ongunstige gevolgen voor de persoonlijke levenssfeer van iemand, dan informeert u die persoon ook onverwijld (tweede lid).

De kennisgeving bevat onder meer de aard van de inbreuk, waar men meer informatie kan krijgen en aanbevolen maatregelen om de gevolgen te beperken. Aan de Autoriteit Persoonsgegevens meldt u ook de gevolgen en uw maatregelen (derde lid).

Let op: deze melding gaat over gegevens die u verwerkt voor uw telecomdienst, zoals klantgegevens, verkeersgegevens en gespreksgegevens.

De AVG

Voor andere persoonsgegevens, zoals die van uw personeel, geldt de AVG. Volgens artikel 33 AVG meldt de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en zo mogelijk binnen 72 uur bij de toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk een risico vormt voor de rechten en vrijheden van mensen. Bij een hoog risico informeert u ook de betrokkenen (artikel 34 AVG).

Hoe de AVG en artikel 11.3a Tw precies samenlopen voor telecomaanbieders, is een juridische vraag. Vraag bij twijfel advies, of kijk op de website van de Autoriteit Persoonsgegevens.

Overzicht

Meldplichten bij een beveiligingsincident (hoofdlijnen)

Melding	Aan wie	Termijn	Wanneer
Cbw	CSIRT en bevoegde autoriteit, via MijnNCSC	24 uur, 72 uur, een maand	Significant incident
Telecommunicatiewet artikel 11.3a	Autoriteit Persoonsgegevens, soms ook betrokkenen	Onverwijld	Inbreuk met nadelige gevolgen voor persoonsgegevens bij een openbare telecomdienst
AVG artikel 33 en 34	Autoriteit Persoonsgegevens, soms ook betrokkenen	Zo mogelijk binnen 72 uur	Inbreuk met risico voor betrokkenen

Eén procedure voor alles

U wilt niet midden in een incident uitzoeken welke wet geldt. Maak daarom één meldprocedure:

• Eén beslisschema met de drie vragen hierboven.
• Eén tijdlijn met het moment van ontdekking, zodat u alle termijnen vanaf hetzelfde punt bijhoudt.
• Eén verantwoordelijke per melding, met een vervanger. De functionaris gegevensbescherming of privacyverantwoordelijke doet vaak de datalekmelding, de technisch verantwoordelijke de Cbw-melding.
• Sjablonen voor elke melding en voor de brief of mail aan betrokken klanten.
• Bewijs: ontvangstbevestigingen, kenmerken en uw afweging als u besluit niet te melden.

Vergeet de klanten niet. Onder de Cbw informeert u ontvangers van uw diensten waar nodig onverwijld over significante incidenten die hun dienst kunnen raken (artikel 30 Cbw). Meer over de Cbw en de Telecommunicatiewet leest u in Telecommunicatiewet en Cyberbeveiligingswet.

Veelgestelde vragen

Moet ik een datalek ook bij het NCSC melden?

Alleen als het ook een significant incident is onder de Cbw. Een datalek bij een telecomdienst meldt u in elk geval bij de Autoriteit Persoonsgegevens volgens artikel 11.3a Telecommunicatiewet, als het nadelige gevolgen heeft voor persoonsgegevens.

Telt een menselijke fout als incident?

Ja. Volgens de toelichting bij de Regeling cyberbeveiliging EZK is de meldplicht niet beperkt tot kwaadwillige handelingen; ook menselijke fouten vallen eronder.

Kan één melding alles afdekken?

Nee. De meldingen gaan naar verschillende instanties en hebben eigen termijnen en inhoud. Wel kunt u ze in één procedure en één tijdlijn beheren.