Blog: Datalekken: wat is het en wat zijn de gevolgen?

De digitalisering van onze maatschappij brengt veel voordelen met zich mee: het bespaart ons tijd, we zijn overal bereikbaar, werken meer thuis, kopen online, betalen sneller, kunnen onze medische dossiers inzien, enzovoort. Echter, elke medaille heeft een keerzijde. Om gebruik te kunnen maken van deze voordelen, zijn we steeds vaker genoodzaakt onze persoonlijke gegevens achter te laten bij bedrijven en instanties. Gevoelige informatie waar cybercriminelen maar al te graag toegang toe krijgen. Het woord ‘datalekken’  horen we steeds vaker in het nieuws. Denk aan de cyberaanval op de KNVB, de Autoriteit Persoonsgegevens die concludeert dat de persoonsgegevens van iedereen op straat liggen, de ernst van datalekken steeds meer toenemen, enzovoort. Wanneer een bedrijf te maken krijgt met een datalek kan dit ernstige gevolgen hebben. Voor het bedrijf zelf, maar ook voor de consument.

Als toonaangevende data processing company helpt EDM bedrijven hun return on data te vergroten. Wij ademen data en zijn ons dus als geen ander bewust van de risico’s die dataverwerking met zich mee brengen. In een tijd waarin privacy van de consument centraal staat en technologische ontwikkelingen zich in hoog tempo opvolgen is het uitermate belangrijk om er alles aan te doen om de risico’s op een datalek zo veel mogelijk te beperken. Vanuit ons perspectief kunnen we enkele handvatten bieden die het risico daarop beperken. In dit tweeluik vertellen wij je meer over datalekken, gerelateerd aan persoonsgegevens. Deel 1: wat is het en wat zijn de gevolgen, deel 2: hoe beperk je de risico’s op een datalek.

Wat is een datalek?

We spreken van een datalek wanneer onbevoegde personen toegang krijgen tot vertrouwelijke of persoonlijke informatie. Een datalek kan optreden wanneer gegevens worden gestolen, verloren, verkeerd verzonden of op andere manieren worden blootgesteld aan externe of onbevoegde personen. Een datalek kan onderscheiden worden in 3 categorieën:

  • Inbreuk op vertrouwelijkheid: wanneer er opzettelijke of onbevoegde openbaring of toegang tot persoonsgegevens heeft plaatsgevonden.
  • Inbreuk op integriteit: wanneer er opzettelijke of onbevoegde wijzigingen van persoonsgegevens zijn doorgevoerd.
  • Inbreuk op beschikbaarheid: wanneer er opzettelijk of onbevoegd persoonsgegevens zijn vernietigd.

Hoe kan een datalek ontstaan?

Een datalek kan verschillende oorzaken hebben, waarbij zeker niet altijd sprake is van  opzet. Bijvoorbeeld het verlies van een onversleutelde USB-stick met persoonsgegevens of het per ongeluk versturen van gevoelige bestanden naar de verkeerde ontvanger. Cybercriminelen maken echter vaak gebruik van phishing en openbare netwerken om toegang te krijgen tot gegevens. Ze gebruiken vaak nep e-mails of doen zich voor als openbaar netwerk om zo toegang te verkrijgen tot account- en persoonsgegevens. Social engineering is een andere methode waarbij criminelen proberen menselijke zwaktes uit te buiten, om toegang te krijgen tot systemen.

Onvoldoende beveiliging en versleuteling van gegevens vergroot ook het risico op datalekken, omdat hackers gemakkelijker toegang kunnen krijgen tot persoonsgegevens of servers kunnen besmetten met ransomware. Het veilig verzenden van gegevens is dus niet voldoende; het is belangrijk om ook adequate beveiligingsmaatregelen te nemen om datalekken te voorkomen. Het ontbreken van up-to-date beveiligingsmaatregelen, zoals firewalls, antivirussoftware en regelmatige software-updates, kan leiden tot kwetsbaarheden in systemen. Dit opent de deur voor hackers om ongeautoriseerde toegang te krijgen tot persoonsgegevens.

Wat moet je doen als je te maken krijgt met een datalek?

Wanneer een datalek is ontstaan dient een organisatie of instantie dit lek zo snel mogelijk te dichten. Daarnaast moeten zij inzicht krijgen in hoe groot de schade is om vervolgens klanten te informeren over het datalek. Hierdoor weten klanten dat zij extra alert moeten zijn en inloggegevens moeten wijzigen. Voor datalekken bestaat een meldplicht. Dit houdt in dat bedrijven en overheden datalekken direct moeten melden bij de Autoriteit Persoonsgegevens (AP). De Autoriteit Persoonsgegevens is een onafhankelijke toezichthouder in Nederland die zich inzet voor het bewaken van persoonsgegevens. Meld een organisatie een datalek niet? Dan kunnen hier financiële gevolgen aan verbonden zijn.

Wat zijn de gevolgen van een datalek?

De gevolgen van een datalek zijn vaak verstrekkend en tweeledig, namelijk voor een organisatie en voor de consument. Het is daarom belangrijk je niet alleen bewust te zijn van hoe een datalek voorkomen kan worden, maar ook wat de gevolgen kunnen zijn als een datalek plaatsvindt.

Organisaties en instanties

Bij een ernstig datalek zijn organisaties en instanties verplicht deze te melden bij de Autoriteit Persoonsgegevens.

  • Financiële impact: Datalekken kunnen een grote financiële impact hebben voor een organisatie. Bij overtreding van de meldplicht kan de Autoriteit Persoonsgegevens organisatie een boete opleggen die flink kunnen oplopen. Ook het verzwijgen van een datalek met een hoog risico voor alle betrokkenen kan een boete opleveren. Niet alleen boetes, maar ook het herstellen van de schade zitten veel kosten aan verbonden. Denk dan aan het opsporen en oplossen van het datalek, het op de hoogte brengen van (getroffen) klanten en mogelijke schadevergoedingen.
  • Bedrijfsprocessen: Naast de financiële impact kan een datalek ook gevolgen hebben voor bedrijfsprocessen. Dienstverleningen die cruciaal zijn voor een organisatie kunnen komen stil te liggen. Denk aan ransomware die toegang tot persoonsgegevens blokkeert, waardoor bijvoorbeeld klantenservice geen verzoeken van klanten meer kan verwerken, problemen kan oplossen of geen vragen meer kan beantwoorden.
  • Reputatieschade: Als laatste bestaat er de kans op reputatieschade. Als jouw organisatie te maken krijgt met een groot datalek, loopt het imago een flinke deuk op. Het vertrouwen wordt ernstig geschaad waardoor mensen sneller zullen overstappen naar de concurrent. Uiteindelijk zal dit ook weer impact hebben op de financiële gevolgen.

Consumenten

Voor consumenten kan een datalek ook het vergaande consequenties hebben. Identiteitsfraude is een veelvoorkomend probleem, waarbij criminelen persoonsgegevens bijvoorbeeld gebruiken om de identiteit van iemand anders aan te nemen en aankopen te doen zonder betaling. Oplichting, met name via phishing, is een andere vorm van fraude die kan leiden tot het verkrijgen van gevoelige informatie. Bovendien kunnen datalekken een bedreiging vormen voor prominente personen, zoals politici, waarbij hun veiligheid in het gedrang kan komen. Het is dus essentieel om de gevolgen van datalekken serieus te nemen en passende maatregelen te treffen om de privacy en veiligheid van consumenten te beschermen.

In deel 2 lees je meer over hoe je de risico's op een datalek kan beperken én geven wij een aantal praktische handvatten waarmee je direct aan de slag kan. Wil je weten hoe EDM jouw organisatie future proof kan maken, lees dan verder over onze data & cloud expertise. Of neem contact met ons op, dan gaan we graag met je in gesprek over dit onderwerp.