datainbreuk

Een datainbreuk (ook wel data breach) is een incident waarbij persoonsgegevens of andere vertrouwelijke informatie ongeautoriseerd wordt gelezen, bekendgemaakt, gewijzigd, gestolen of vernietigd, of wanneer een beveiligingssysteem faalt waardoor zulke data bloot komt te liggen. Datainbreuken kunnen het gevolg zijn van menselijke fouten, technische kwetsbaarheden of kwaadwillende acties en kunnen zowel externe hackers als interne medewerkers treffen. Ze raken vaak privacyrechten, bedrijfsbelangen en operationele processen.

Veelvoorkomende oorzaken en typen zijn onder meer hacking en credential stuffing, phishing, malware en ransomware, misconfiguraties van systemen of databases, password- of token-leaks, en verlies of diefstal van apparaten. Niet alle datalekken betreffen persoonsgegevens; ook intellectueel eigendom of bedrijfsgegevens kunnen op straat komen. Bij persoonsgegevens spreken we doorgaans van gegevens zoals namen, adressen, identiteits- of betalingsinformatie, of gezondheidsgegevens. De ernst hangt af van de aard van de data, de hoeveelheid betrokkenen en de eventuele blootstelling of hergebruik.

Gevolgen van een datainbreuk kunnen privacyschade, financiële verliezen, reputatieschade en mogelijk juridische sancties zijn. Veel organisaties hebben te maken met meldings- en notificatieverplichtingen: in de Europese Unie moeten risico’s voor de rechten en vrijheden van betrokkenen binnen 72 uur aan de relevante toezichthouder worden gemeld en, bij significante impact, moeten ook de betrokkenen worden geïnformeerd. Een effectief responsplan omvat opsporing en containment, forensisch onderzoek, communicatie met betrokkenen en herziening van beveiligingsmaatregelen. Periodieke trainingen en DPIAs helpen om soortgelijke incidenten in de toekomst te voorkomen.