Een fout verzonden e-mail kan een datalek zijn. Dat betekent niet automatisch dat u direct een melding moet doen bij de Autoriteit Persoonsgegevens. U moet de situatie wel onderzoeken en vastleggen. Hoe sneller u begint, hoe kleiner de kans dat de informatie verder wordt verspreid.

1. Wanneer is een verkeerd verzonden e-mail een datalek?

Er is sprake van een datalek als persoonsgegevens terechtkomen bij iemand die deze gegevens niet mocht ontvangen. Denk niet alleen aan medische of financiële gegevens. Ook een naam, e-mailadres, telefoonnummer of dossiernummer is een persoonsgegeven.

Een verkeerd geadresseerde e-mail valt hier dus vaak onder. Hetzelfde geldt voor een mailing waarbij alle adressen zichtbaar in het cc-veld staan. Of het lek ook gemeld moet worden, hangt af van het risico voor de betrokken personen.

2. Wat doet u meteen?

1. Probeer de e-mail terug te halen. Lukt dat niet, bel de ontvanger en vraag om de e-mail en eventuele bijlagen te verwijderen.
2. Noteer wat er is gebeurd. Welke gegevens zijn gedeeld, met wie, hoeveel mensen zijn betrokken en hoe laat is de fout ontdekt?
3. Beperk verdere verspreiding. Vraag om een schriftelijke bevestiging van verwijdering en wijzig zo nodig wachtwoorden of toegangsrechten.

3. Moet u het datalek melden?

Een melding bij de Autoriteit Persoonsgegevens is nodig als het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokkenen. Bij gevoelige gegevens, identiteitsfraude of financiële schade is dat risico sneller aanwezig. De melding moet in beginsel binnen 72 uur na ontdekking worden gedaan.

Bij een hoog risico moeten ook de betrokken personen worden geïnformeerd. Zij moeten weten wat er is gebeurd, welke gevolgen mogelijk zijn en wat zij zelf kunnen doen.

Wilt u weten of een melding nodig is of hoe u een datalek zorgvuldig vastlegt? Lees meer over onze hulp bij privacyrecht en de AVG of neem contact op met ArevLegal.