Datalek of beveiligingsincident: wat is het verschil?

Een beveiligingsincident is een gebeurtenis waarbij de beschikbaarheid, integriteit of vertrouwelijkheid van informatie in gevaar komt. Dit kan gaan om digitale informatie, papieren dossiers, systemen, applicaties of toegangsrechten.

Voorbeelden van een beveiligingsincident zijn:

• een phishingmail waarop een medewerker heeft geklikt;
• een verloren laptop of telefoon;
• een verkeerd ingestelde autorisatie;
• malware of ransomware;
• een storing waardoor gegevens tijdelijk niet beschikbaar zijn;
• een onbevoegde inlogpoging;
• een papieren dossier dat onbeheerd is achtergelaten.

Een informatiebeveiligingsincident hoeft dus niet altijd over persoonsgegevens te gaan. Het kan ook gaan om bedrijfsinformatie, procesinformatie, contracten, kwaliteitsdocumenten of systeemtoegang.

Een datalek is een beveiligingsincident waarbij persoonsgegevens betrokken zijn. Volgens de AVG is er sprake van een datalek wanneer persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren gaan, gewijzigd worden, ongeoorloofd worden verstrekt of toegankelijk zijn voor onbevoegden.

Denk aan:

• een e-mail met persoonsgegevens naar de verkeerde ontvanger;
• een kwijtgeraakte USB-stick met cliëntgegevens;
• onbevoegde toegang tot personeelsdossiers;
• ransomware waardoor persoonsgegevens niet beschikbaar zijn;
• een fout in autorisaties waardoor medewerkers te veel gegevens kunnen zien;
• het per ongeluk publiceren van persoonsgegevens op een website.

Daarmee is ieder datalek een beveiligingsincident, maar niet ieder beveiligingsincident een datalek.

Het verschil tussen een datalek of beveiligingsincident zit in de betrokken gegevens. Bij een beveiligingsincident is de informatiebeveiliging geraakt. Bij een datalek zijn daarbij ook persoonsgegevens betrokken.

Een praktisch onderscheid:

• Beveiligingsincident: er is een risico voor informatie, systemen of toegang.
• Datalek: er is een risico voor persoonsgegevens van betrokkenen.
• Informatiebeveiligingsincident: bredere term voor incidenten rond vertrouwelijkheid, integriteit of beschikbaarheid van informatie.

Een voorbeeld: een medewerker ontvangt een phishingmail, maar klikt nergens op. Dat is een beveiligingsincident, maar meestal geen datalek. Klikt de medewerker wel en krijgt een onbevoegde toegang tot persoonsgegevens? Dan kan er sprake zijn van een datalek.

De vraag “wanneer is er sprake van een datalek?” is belangrijk voor iedere organisatie die persoonsgegevens verwerkt. Er is sprake van een datalek wanneer een beveiligingsincident gevolgen heeft voor persoonsgegevens.

Dat kan gebeuren bij:

• verlies van persoonsgegevens;
• onbevoegde toegang tot persoonsgegevens;
• onbedoelde verstrekking van persoonsgegevens;
• wijziging of beschadiging van persoonsgegevens;
• tijdelijke of blijvende onbeschikbaarheid van persoonsgegevens;
• een situatie waarin je niet kunt uitsluiten dat persoonsgegevens zijn ingezien.

De vraag “wanneer is er sprake van een datalek?” draait dus niet alleen om hackers of cyberaanvallen. Ook menselijke fouten, verkeerde autorisaties en verloren documenten kunnen leiden tot een datalek.

In de praktijk is er vaak sprake van een datalek wanneer persoonsgegevens buiten de controle van je organisatie raken. Dat hoeft niet altijd bewust of kwaadwillend te gebeuren.

Voorbeelden:

• Een medewerker stuurt een rapportage met cliëntgegevens naar de verkeerde organisatie.
• Een leidinggevende bewaart personeelsgegevens op een onbeveiligde privécomputer.
• Een zorgdossier is zichtbaar voor medewerkers zonder behandelrelatie.
• Een exportbestand met klantgegevens wordt per ongeluk gedeeld.
• Een back-up met persoonsgegevens raakt beschadigd en is niet herstelbaar.

Wil je bepalen wanneer er sprake is van een datalek, stel dan drie vragen:

1. Zijn er persoonsgegevens betrokken?
2. Is er iets misgegaan met vertrouwelijkheid, integriteit of beschikbaarheid?
3. Is toegang, verlies, wijziging of verstrekking onbevoegd of onbedoeld?

Is het antwoord op deze vragen ja, dan moet je het incident behandelen als mogelijk datalek.

Een informatiebeveiligingsincident is een gebeurtenis die de beveiliging van informatie raakt. Dit kan gaan om persoonsgegevens, maar ook om andere bedrijfsgevoelige informatie.

Voorbeelden van een informatiebeveiligingsincident zijn:

• een zwak wachtwoord dat is misbruikt;
• een onbeveiligde netwerkmap;
• een verkeerd ingestelde koppeling tussen systemen;
• ongeautoriseerde toegang tot managementrapportages;
• verlies van een apparaat met bedrijfsinformatie;
• misbruik van gebruikersrechten.

Een informatiebeveiligingsincident moet altijd worden geregistreerd en beoordeeld. Zo voorkom je dat kleine signalen onopgemerkt blijven en later leiden tot grotere risico’s.

Een beveiligingsincident of datalek beoordeel je het best volgens een vaste procedure. Daarmee voorkom je onduidelijkheid en toon je tijdens audits aan dat je incidenten zorgvuldig opvolgt.

Stap 1: Registreer het incident direct

Leg vast wat er is gebeurd, wanneer het is ontdekt, wie erbij betrokken zijn en welke systemen of gegevens mogelijk geraakt zijn.

Stap 2: Bepaal of persoonsgegevens betrokken zijn

Controleer of het incident betrekking heeft op namen, contactgegevens, personeelsgegevens, cliëntgegevens, medische gegevens, financiële gegevens of andere herleidbare informatie.

Stap 3: Beoordeel het risico

Kijk naar de mogelijke gevolgen voor betrokkenen. Denk aan identiteitsfraude, reputatieschade, discriminatie, financiële schade of verlies van vertrouwelijkheid.

Stap 4: Neem maatregelen

Beperk de schade direct. Trek rechten in, herstel instellingen, informeer betrokken afdelingen, wijzig wachtwoorden of blokkeer toegang.

Stap 5: Leg de opvolging vast

Documenteer de oorzaak, beoordeling, maatregelen en besluitvorming. Ook wanneer je besluit dat melding niet nodig is, moet je kunnen onderbouwen waarom.

Niet ieder datalek hoeft gemeld te worden bij de Autoriteit Persoonsgegevens. Een datalek moet worden gemeld wanneer het waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. In bepaalde gevallen moeten ook de betrokken personen zelf worden geïnformeerd.

Daarom is een goede beoordeling belangrijk. Je moet kunnen aantonen:

• wat er is gebeurd;
• welke persoonsgegevens betrokken zijn;
• hoeveel personen geraakt zijn;
• welke risico’s er zijn;
• welke maatregelen zijn genomen;
• waarom wel of niet is gemeld.

Een duidelijk register helpt je om deze informatie gestructureerd vast te leggen.

Een datalek of beveiligingsincident is niet alleen een juridisch vraagstuk. Het is ook onderdeel van kwaliteitsmanagement, risicobeheer en procesverbetering.

Door incidenten centraal te registreren krijg je inzicht in:

• terugkerende oorzaken;
• kwetsbare processen;
• afdelingen met verhoogd risico;
• fouten in autorisaties;
• opleidingsbehoefte van medewerkers;
• verbetermaatregelen binnen de PDCA-cyclus.

Zo gebruik je incidentregistratie niet alleen om te voldoen aan de AVG, maar ook om je organisatie structureel veiliger en beter beheersbaar te maken.

Met Qlink registreer, beoordeel en volg je incidenten op binnen één centrale omgeving. Dat helpt je om overzicht te houden op meldingen, risico’s, verantwoordelijkheden en verbeteracties.

Binnen Qlink kun je onder andere:

• incidenten centraal vastleggen;
• datalekken en informatiebeveiligingsincidenten beoordelen;
• risico’s classificeren;
• opvolging en verbetermaatregelen toewijzen;
• documentatie beheren;
• trends en KPI’s inzichtelijk maken;
• aantonen welke acties zijn uitgevoerd.

Met modules zoals Q Safe, Q Base, Q Docs en Q Perform verbind je incidentmanagement met risicobeheer, documentbeheer, prestatiemeting en continue verbetering.

Een datalek of beveiligingsincident vraagt om snelheid, zorgvuldigheid en duidelijke verantwoordelijkheden. Door incidenten gestructureerd te registreren, risico’s te beoordelen en verbeteracties vast te leggen, versterk je de informatiebeveiliging én je kwaliteitsmanagement.

Wil je datalekken, informatiebeveiligingsincidenten en verbetermaatregelen centraal beheren? Neem contact op en ontdek hoe Qlink je organisatie helpt om risico’s beheersbaar te maken.