Wat te doen bij een datalek? #

Hoofdlijnen:

1. Zorg voor overzicht op de situatie:
– Wat is de oorzaak en omvang van het datalek?
– Zijn de gegevens gelekt, vernietigd of gewijzigd?
– Als de gegevens zijn gelekt, wie heeft er (mogelijk) toegang (gehad) tot welke persoonsgegevens?

2. Neem onmiddellijk maatregelen om de schade te beperken. En schat de risico’s in:
– Zijn er maatregelen die op basis van de antwoorden bij stap 1 direct kunnen worden genomen (bv het wissen van een gestolen laptop op afstand)?
– Maak tegelijkertijd een inschatting van het (mogelijke) risico van het datalek.

3. Bepaal of het datalek wel of niet gemeld moet worden aan de Autoriteit Persoonsgegevens (AP). Zo ja, doe dit onmiddellijk.
– Een datalek moet binnen 72 uur worden gemeld aan de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van de betrokken personen.
– Als nog niet alle informatie over het datalek beschikbaar is, kan een eerste melding worden gedaan binnen 72 uur. Deze melding kan later worden aangevuld, gewijzigd of ingetrokken bij een vervolgmelding.

4. Bepaal of u het datalek wel of niet moet melden aan de betrokken personen. Zo ja doe dit zo snel mogelijk:
– Een datalek moet ook worden gemeld aan betrokkenen personen wanneer er sprake is van een hoog risico voor de rechten en vrijheden van de betrokken personen.

5. Registreer het datalek in uw datalekregister.
– Een datalek moet altijd worden geregistreerd, ongeacht of deze gemeld is aan de Autoriteit Persoonsgegevens.

Praktische handleiding #

1. Inleiding
In een voedselbank werken medewerkers met persoonsgegevens. Waar mensen werken gaat er wel eens iets mis. Dat geldt ook voor het werken met persoonsgegevens. In deze handleiding leest u wat u dan moet doen.
Wanneer persoonsgegevens kwijtraken of door onbevoegden worden ingezien, wordt dat een datalek genoemd. De term datalekken heeft al snel een negatieve bijklank. Het is goed om dit te doorbreken, want in alle organisaties gaat er wel eens wat fout. Het doel van de wetgever is dat mensen zich van incidenten bewust worden, er transparant over zijn en ervan leren.
Het helpt als de medewerkers in de voedselbank weten wat ze moeten doen als er een incident plaatsvindt. Een datalek wordt mogelijk erger als er niet gehandeld wordt, terwijl dit wel had gemoeten. Maak het onderwerp daarom bespreekbaar binnen het bestuur en met de overige medewerkers binnen de voedselbank.
Actiepunt: Werk aan bewustwording. Geef medewerkers de informatie om met vertrouwen te kunnen werken [zie: Hoofdstuk 2].

2.Drie basisstappen om bewustzijn te creëren en incidenten te herkennen
Veel mensen vinden het herkennen van een datalek lastig. Daarom volgen hier drie basisstappen die de medewerkers in de voedselbank helpen om incidenten te gaan herkennen.
Stap 1 Breng in beeld te welke persoonsgegevens de voedselbank verwerkt, wie toegang heeft tot deze gegevens en hoe lang deze bewaard blijven. Door de gegevensstroom in beeld te brengen, wordt zichtbaar waar een mogelijk datalek plaatsvindt. Het herkennen van datalekken is dus de vrucht van een bewustwordingsproces: hoe ga ik met gegevens om en waar maak ik (nog) fouten?
Stap 2 Werk aan bewustwording over datalekken. Dit kan het voedselbankbestuur doen door met medewerkers te spreken over gegevensbescherming en datalekken. Nóg belangrijker is dat alle medewerkers die met persoonsgegevens omgaan, zich bewust zijn van de privacy-gevoeligheid. Voor vragen over privacy kan de privacypagina op de Voedingsbodem worden geraadpleegd.
Stap 3 Maak in de voedselbank bekend bij wie de medewerkers terecht kunnen met vragen en meldingen. Weten de medewerkers wat zij moeten doen bij een datalek? Stel in het bestuur het meldingsprotocol [zie: Hoofdstuk 3] vast en maak dit onder de medewerkers bekend.

3. Een meldingsprotocol en eerste aanspreekpunt
Medewerkers bij de voedselbank moeten weten bij wie zij terecht kunnen als zij een incident constateren. Het voedselbankbestuur is verantwoordelijk voor het juist handelen bij een incident of datalek. Het voedselbankbestuur wijst daarom uit zijn midden iemand aan als aanspreekpunt voor het thema datalekken. Het bestuur stelt het meldingsprotocol vast [zie: Hoofdstuk 10]. In het meldingsprotocol staat beschreven wie welke verantwoordelijkheden heeft op het moment dat zich een mogelijk datalek voordoet.
Twee of drie mensen weten meer dan één. Het onderzoek naar een mogelijk datalek vindt weliswaar plaats onder de verantwoordelijkheid van het voedselbankbestuur, maar dat betekent niet dat het bestuur er alleen voor staat. Maak gebruik van deskundige medewerkers op het gebied van gegevensbescherming.
Actiepunt: Vul het model-meldingsprotocol datalekken in. U vindt het modelmeldingsprotocol in hoofdstuk 10 van deze handleiding. Stel dit protocol vast in het voedselbankbestuur.

4. Wat is een datalek?
Een datalek is een incident waarbij persoonsgegevens als gevolg van een beveiligingsincident:
a) zijn vernietigd (en dus niet meer bestaan);
b) kwijt zijn geraakt (de persoonsgegevens bestaan nog wel, maar je weet niet waar ze zijn en je hebt er dus geen controle meer over. Denk aan diefstal.);
c) zijn gewijzigd zonder dat dit de bedoeling was;
d) ongeoorloofd zijn verstrekt aan onbevoegden;
e) ongeoorloofd ingezien konden worden door onbevoegden, doordat deze toegang hebben (gehad) tot de gegevens (bijvoorbeeld onbevoegde inzage in een personeelsdossier of het doorsturen van een verkeerde bijlage met persoonsgegevens).

Voorbeelden van mogelijke datalekken:
– Iemand ziet onbevoegd een (personeel)dossier in.
– Een laptop of usb-stick raakt verloren, waardoor onbekend is in welke handen de persoonsgegevens vallen.
– Een groepsmail verbergt niet alle e-mailadressen. Hebben de leden van de groep toestemming gegeven om hun privé-emailadressen te delen met anderen? Dan hoeven de persoonsgegevens niet verborgen te worden.
– Een systeem wordt gehackt waardoor een onbevoegde persoon toegang heeft tot de persoonsgegevens.

5. Wat moet een voedselbank bij een datalek doen?
Nadat een incident is ontdekt, worden de volgende stappen doorlopen:
Stap 1: Melding aan het voedselbankbestuur
Stap 2: Toets of/welke persoonsgegevens gelekt zijn
Stap 3: Toets of het incident mogelijke risico’s oplevert voor de betrokkene
Stap 4: Voer de juiste acties uit
Stap 5: Evalueer het incident en trek lessen voor de toekomst

Stap 1: De melding aan het voedselbankbestuur
Een medewerker signaleert dat er een incident is geweest waarbij mogelijk persoonsgegevens kwijtgeraakt, verloren, verkeerd verstuurd, ingezien of gewijzigd zijn. Het incident wordt volgens het meldingsprotocol gemeld bij het verantwoordelijke bestuurslid. Zorg ervoor dat de melding gemakkelijk persoonlijk of telefonisch gemaakt kan worden.
Actiepunt: Zorg ervoor dat het meldingsprotocol bekend en beschikbaar is voor de medewerkers bij de voedselbank.

Stap 2: Toets of het incident persoonsgegevens betreft
Het voedselbankbestuur ontvangt de melding. Het bestuurslid stelt vragen om informatie te verzamelen over wat er is gebeurd. Dat zijn de volgende vragen:
a) Breng het tijdpad in beeld. Wanneer is wat gebeurd? En wanneer is dit ontdekt?
b) Stel vast of er persoonsgegevens zijn: verloren gegaan, openbaar gemaakt, ingezien, gewijzigd of doorgestuurd.
c) Stel de omvang van het datalek vast. Hierbij gaat het om:
– de categorie(en) persoonsgegevens bij het incident betrokken zijn (NAW-gegevens, bijzondere persoonsgegevens, financiële gegevens, medische gegevens etc.)
– de hoeveelheid persoonsgegevens (bij benadering)/om hoeveel personen het gaat
– Hoeveel onbevoegden hebben (bij benadering) toegang gehad tot de persoonsgegevens en wie zijn deze onbevoegden?
– Om wat voor groepen mensen gaat het? Gaat het om een kwetsbare doelgroep?
– Zijn er vooraf maatregelen getroffen waardoor de persoonsgegevens (deels) ontoegankelijk zijn voor onbevoegden?
Actiepunt: Duurt het datalek nog voort? Zorg dan voor acute maatregelen.

Drie voorbeelden van incidenten en acute maatregelen:
1. Men constateert dat een telefoon met privé-contactgegevens erin is gestolen.
Acute maatregel: Laat de simkaart/telefoon blokkeren.

2. Men constateert dat het slot van de archiefkast kapot is waardoor onbevoegden toegang kunnen krijgen (dit is een beveiligingsincident).
Acute maatregel: Laat het slot maken of plaats een noodslot.

3. Zeer vertrouwelijke gegevens, zoals een personeelsdossier of een VOG, worden op een algemeen toegankelijke plaats gevonden.
Acute maatregel: Berg de documenten onmiddellijk op een gesloten plaats op.

Stap 3: Toets of het incident mogelijke risico’s oplevert voor betrokkenen
Als iemands persoonsgegevens verloren zijn gegaan, kwijt zijn geraakt, openbaar zijn gemaakt, doorgestuurd of gewijzigd kan de betrokkene daar nadeel van ondervinden. Het incident kan voor de betrokkene risico’s met zich meebrengen.
Een datalek moet binnen 72 uur aan de Autoriteit Persoonsgegevens worden gemeld, tenzij het niet waarschijnlijk is dat er een risico is. Bij het inschatten van een risico moet worden gekeken naar hoe waarschijnlijk het is dat een risico zich voordoet en wat de impact is als het daadwerkelijk gebeurt. Dit risico moet objectief worden beoordeeld. Als er sprake is van een hoog risico voor de rechten en vrijheden van betrokkenen, moeten het datalek daarnaast ook aan de betrokken personen worden gemeld.

Raadpleeg hoofdstuk 6 voor een toelichting op en praktische voorbeelden van situaties waarin bovengenoemde risico’s zich kunnen voordoen en voor een overzicht van situaties waarin een datalek niet hoeft te worden gemeld. Vraag advies aan de AVG-contactpersoon van het bestuur van Voedselbanken Nederland voor het maken van de juiste afweging.

Stap 4: Voer de juiste acties uit
Het incident is in beeld gebracht. Aan de hand van de informatie weet u welke persoonsgegevens zijn gelekt en of het waarschijnlijk is dat hierdoor risico’s ontstaan voor betrokkene(n). Aan de hand van de informatie stelt u vast welke situatie zich voordoet en welke bijbehorende acties moeten worden uitgevoerd.

Overzicht van ‘geconstateerde situaties en bijbehorende acties’

Situatie 1: U constateert dat er geen sprake is van een datalek, omdat er geen persoonsgegevens verloren zijn gegaan, ingezien, gewijzigd of openbaar gemaakt. U stelt vast dat er een beveiligingsincident heeft plaatsgevonden. Onderzoek welke maatregelen er genomen moeten worden om een passend beveiligingsniveau te waarborgen.
Actie: vul het register van incidenten en datalekken in en ga naar stap 5.

Situatie 2: U constateert dat er wel sprake is van een datalek. U stelt vast dat het niet waarschijnlijk is dat het datalek een risico oplevert voor de betrokkene(n).
Actie: vul het register van incidenten en datalekken in en ga naar stap 5.

Situatie 3: U constateert dat er sprake is van een datalek en dat dit waarschijnlijk een risico oplevert voor betrokkene(n).
Actie: Start de procedure om het datalek binnen 72 uur na ontdekking te melden bij de Autoriteit Persoonsgegevens. Informeer het bestuur van uw voedselbank. Onderzoek of het datalek ook gemeld moet worden aan de betrokkene. Ga daarna naar stap 5.

Situatie 4: Er is sprake van een datalek met een hoog risico voor de betrokkene(n).
Actie: Zorg dat er binnen 72 uur nadat het datalek is ontdekt een (voorlopige) melding bij de Autoriteit Persoonsgegevens wordt gedaan en informeer de betrokkene(n) over het incident. Ga daarna naar stap 5.

Stap 5: Evalueer het incident en neem preventieve maatregelen
Naar aanleiding van het datalek heeft het voedselbankbestuur de acties ondernomen die horen bij de ernst van het datalek. Naar aanleiding van deze acties zijn er nog drie belangrijke taken:

Drie taken nadat het incident heeft plaatsgevonden:
1. Vul het register in: Het verantwoordelijke bestuurslid vult het register van incidenten en datalekken zo volledig mogelijk in;
2. Evalueer het incident: Evalueer met de betrokken bestuursleden en medewerkers wat er is gebeurd en welke les er wordt getrokken om het incident in de toekomst te voorkomen;
Tip: Creëer geen straffende sfeer of angstcultuur. Wees open in het gesprek en leer van elkaar.

3. Tref preventieve maatregelen: Om dit soort incidenten te voorkomen kunt u regels onder de aandacht brengen, verduidelijken, aanpassen of nieuwe veiligheidsmaatregelen nemen. Spreek tijdens de evaluatie af wie verantwoordelijk is voor het uitvoeren van de vervolgstappen.

6. Moet een incident aan de Autoriteit Persoonsgegevens en de betrokken personen worden gemeld?

Melding aan de Autoriteit Persoonsgegevens
Een datalek hoeft alleen te worden gemeld aan de Autoriteit Persoonsgegevens als er waarschijnlijk sprake is van een risico voor de rechten en vrijheden van betrokkenen. Bij het objectief inschatten van de risico’s kan rekening worden gehouden met de volgende factoren:

– De aard van de inbreuk
Zijn er persoonsgegevens gewist, gewijzigd of gelekt? Het lekken van gevoelige persoonsgegevens heeft bijvoorbeeld andere gevolgen dan wanneer deze verloren zijn gegaan.

– De aard, gevoeligheid en omvang van de persoonsgegevens
Hoe gevoeliger de persoonsgegevens, hoe groter het risico op schade. Houd ook rekening met persoonsgegevens die al openbaar beschikbaar zijn. Juist een combinatie van gegevens kan de impact groter maken.

– Gemak waarmee personen kunnen worden geïdentificeerd
Kan er eenvoudig worden achterhaald om wie het gaat op basis van het datalek?

– Ernst van gevolgen voor personen
Vooral in geval een datalek kan leiden tot bijvoorbeeld identiteitsdiefstal of reputatieschade kunnen de gevolgen ernstig zijn. Het risico wordt kleiner wanneer de gegevens in handen zijn gekomen van een betrouwbare ontvanger.

– Bijzondere kenmerken van de persoon
Wanneer gegevens van kwetsbare personen betrokken zijn bij een datalek, kunnen zij een groter risico op schade lopen. Denk hierbij aan kinderen.

– Bijzondere kenmerken van de organisatie
Houd rekening met de status van de Voedselbank en het risico dat een datalek bij de Voedselbank met zich mee kan brengen.

– Het aantal getroffen personen
Over het algemeen kan een datalek grotere gevolgen hebben naarmate er meer personen bij betrokken zijn. Een inbreuk bij één persoon kan echter ook ernstige gevolgen hebben.

Voorbeelden van risico’s voor betrokkenen:
a) Door het datalek loopt de betrokkene(n) een aanzienlijk risico de controle over zijn of haar persoonsgegevens te verliezen.
Voorbeeld: Dit is bijvoorbeeld het geval als inloggegevens en/of wachtwoorden zijn gelekt.

b) Door het datalek loopt de betrokkene een aanzienlijk risico op discriminatie of reputatieschade.
Voorbeeld: Er is een USB-stick verloren. Hierop staan de notulen van een vergadering met vertrouwelijk informatie over iemand.
NB: of er risico is op discriminatie of reputatieschade is altijd afhankelijk van de vraag welke persoonsgegevens precies zijn gelekt.

c) Door het datalek loopt/lopen de betrokkene(n) het risico op identiteitsdiefstal of –fraude.
Voorbeeld: Er is een personeelsdossier kwijt met daarin een kopie van een legitimatiebewijs.

d) Door het datalek loopt/lopen de betrokkene(n) het risico op financiële verliezen.
Voorbeeld: De specificatie van de betaling van reiskosten wordt doorgestuurd naar de verkeerde persoon.

e) Risico op openbaar maken van gegevens die vallen onder een beroepsgeheim.
Voorbeeld: medische gegevens of een VOG wordt door onbevoegden ingezien.

Conclusie: Loopt de betrokkene door het incident één van de bovengenoemde risico’s of kunt u dat niet uitsluiten? Informeer dan het bestuur van de voedselbank over de situatie en meld het incident bij de Autoriteit Persoonsgegevens.

Melding aan betrokkenen
De Voedselbank moet de betrokkenen over het datalek informeren als er een hoog risico is voor de rechten en vrijheden van betrokkenen. Er is sprake van een hoog risico wanneer een datalek kan leiden tot lichamelijke, materiele of immateriële schade voor de betrokken personen. Er is ook sprake van een hoog risico wanneer een datalek kan leiden tot discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, reputatieschade, het ongeoorloofd ongedaan maken van gepsuedonimiseerde persoonsgegevens, een aanzienlijk economisch of maatschappelijk nadeel en/of een situatie waarbij de betrokkenen hun rechten niet kunnen uitoefenen of geen controle over hun persoonsgegevens kunnen uitoefenen. Tot slot kan sprake zijn van een hoog risico wanneer het datalek bijzondere persoonsgegevens bevat, het om persoonsgegevens van kwetsbare groepen gaat of een grote hoeveelheid persoonsgegevens betreft en gevolgen heeft voor een hele grote groep mensen.

Een datalek hoeft niet te worden gemeld aan de Autoriteit Persoonsgegevens en aan de betrokkenen in de volgende gevallen:
1. Maatregelen vooraf
Als er voorafgaand aan het datalek passende maatregelen zijn getroffen waardoor de gelekte persoonsgegevens onbegrijpelijk zijn voor onbevoegden. Bijvoorbeeld doordat de gegevens goed zijn versleuteld of vervangen door een hashwaarde.
Let op. Deze uitzondering geldt alleen als:
– de gegevens nog volledig intact zijn.
– de voedselbank nog steeds de volledige controle over de gegevens heeft.
– de sleutel die voor de encryptie of hashing is gebruikt geen gevaar heeft gelopen bij het datalek en deze ook met de beschikbare technologie niet vindbaar is voor onbevoegden.
2. De onjuiste ontvanger is betrouwbaar
De persoonsgegevens zijn verzonden aan een verkeerde, maar betrouwbare ontvanger (bv een partij met een wettelijk beroepsgeheim). Dit betekent mogelijk dat het niet langer waarschijnlijk is dat het datalek een risico oplevert.
Als een datalek niet hoeft te worden gemeld aan de Autoriteit Persoonsgegevens, hoeft het ook niet te worden gemeld aan de betrokken personen. Daarnaast hoeft een datalek ook niet aan de betrokken personen te worden gemeld als er, onmiddellijk nadat het datalek heeft plaatsgevonden, maatregelen zijn getroffen waardoor het hoge risico voor de rechten en vrijheden van betrokken zich waarschijnlijk niet meer zal voordoen. Bijvoorbeeld wanneer de persoon die toegang heeft gehad tot de gegevens onmiddellijk is geïdentificeerd en er actie ondernomen is voordat deze persoon iets met de persoonsgegevens kon doen.
Wanneer het onevenredig veel inspanning vraagt om alle betrokkenen op individueel niveau te informeren, bijvoorbeeld omdat de contactgegevens van de betrokken personen kwijtgeraakt zijn door het datalek, dan mogen de betrokken ook worden geïnformeerd met een openbare mededeling. De betrokkenen moeten op een doeltreffende manier worden geïnformeerd.

Wie is verantwoordelijk voor de melding?
Als er een melding gemaakt moet worden bij de Autoriteit Persoonsgegevens dan gebeurt dit altijd onder verantwoordelijkheid van het voedselbankbestuur.

7.Het bijhouden van een register van datalekken en beveiligingsincidenten
Het model-register
In een register van datalekken en beveiligingsincidenten houdt het voedselbankbestuur bij welke incidenten hebben plaatsgevonden en welke acties zij hierop heeft ondernomen. Het bijhouden van het register is een wettelijke plicht. Op https://voedingsbodem.voedselbankennederland.nl/login/ (onder de tegel “Privacy”) is een model-register beschikbaar gesteld.

Wie moet het register bijhouden?
Het voedselbankbestuur is verantwoordelijk voor het bijhouden van het register. Het voedselbankbestuur kan zich laten bijstaan door een of twee medewerkers die thuis zijn in dit onderwerp (zie: Hoofdstuk 2).

Wat moet er in het register vastgelegd worden?
Voor voedselbanken is er een model-register van datalekken en incidenten beschikbaar op https://voedingsbodem.voedselbankennederland.nl/login/. Dit model-register geeft een overzicht van alle informatie die u verplicht moet registreren.

8. Hoe maakt de voedselbank een melding bij de Autoriteit Persoonsgegevens?

De Autoriteit Persoonsgegevens moet binnen 72 uur nadat het datalek is ontdekt een melding ontvangen. De meldingstermijn van 72 uur laat zien hoe belangrijk het is dat het bestuurslid dat als contactpersoon optreedt, snel wordt geïnformeerd. Zorg er daarom voor dat de medewerkers bekend zijn met het meldingsprotocol. Heeft het voedselbankbestuur geconstateerd dat er sprake is van een datalek met waarschijnlijk risico’s voor de betrokkene(n), maar zijn nog niet alle feiten helder? Dan is het raadzaam om binnen 72 uur een voorlopige melding te doen. De voedselbank heeft de mogelijkheid een melding later aan te vullen of in te trekken. Wacht niet te lang met het aanvullen van een voorlopige melding en doe die dus binnen enkele dagen.
Het is belangrijk dat de voedselbank het meldingsformulier zo volledig mogelijk invult. Geef duidelijk aan wat er is gebeurd en wees volledig. Een melding bij de Autoriteit Persoonsgegevens wordt digitaal gedaan via onderstaand formulier:
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/beveiliging/meldplicht-datalekken

Hoe gaat de Autoriteit Persoonsgegevens met meldingen om?
De Autoriteit Persoonsgegevens doet geen uitspraken aan derden over individuele meldingen van datalekken. Als de voedselbank een datalek bij de Autoriteit Persoonsgegevens meldt, dan maakt de Autoriteit Persoonsgegevens dus niet de naam van de voedselbank bekend. De Autoriteit Persoonsgegevens maakt alleen bekend over welke sectoren zij de meeste meldingen ontvangt.

10.MODEL Meldingsprotocol datalekken

Voedselbank (naam invullen)……………………………………………………

Van een datalek is sprake als persoonsgegevens blootgesteld zijn aan verlies of onrechtmatige verwerking. Het kan gaan om een kwijtgeraakte USB-stick of een gestolen laptop met persoonsgegevens, maar ook om een inbraak in een datasysteem of per ongeluk verstrekte toegang tot gegevens aan personen of instanties die daartoe geen toegang zouden mogen hebben.

Als sprake is van een ernstig datalek dan is het voedselbankbestuur op grond van de Algemene verordening gegevensbescherming (AVG) verplicht om dit te melden aan de Autoriteit Persoonsgegevens en soms ook aan de betrokkene(n). Als een datalek gemeld moet worden aan de Autoriteit Persoonsgegevens moet dit binnen 72 uur na de ontdekking van het datalek plaatsvinden.
Om er voor te zorgen dat incidenten tijdig worden gemeld, lopen de meldingen centraal via het voedselbankbestuur. Wie het eerste aanspeekpunt leest u in dit meldingsprotocol. Bij een mogelijk datalek neemt u met deze persoon contact op. Dit bestuurslid vormt, eventueel samen met andere personen, het meldpunt datalekken en beslist wat de volgende stap is.

Het meldpunt datalekken
Een incident of datalek kan door medewerkers van de voedselbank worden doorgegeven aan:
[Naam + e-mailadres + verantwoordelijke namens het bestuur van de voedselbank]

Onder verantwoordelijkheid van het voedselbankbestuur vormen de onderstaande personen de leden van het meldpunt datalekken:
• [naam van de persoon die eventueel samen met voornoemde bestuurder het meldpunt datalekken vormt]
• [naam van de persoon die eventueel samen met voornoemde bestuurder het meldpunt datalekken vormt]

Het protocol
1.1 Onmiddellijk nadat een medewerker van de voedselbank ontdekt of ter ore komt dat er sprake kan zijn van een datalek binnen de voedselbank, meldt hij/zij dat bij het bovengenoemde verantwoordelijke bestuurslid van de voedselbank. Als die niet bereikbaar is, kan de melding worden gedaan bij de andere personen van het meldpunt datalekken.
1.2 Het verantwoordelijke bestuurslid beslist of er sprake is van een (mogelijk) datalek en zo ja, of dit datalek moet worden gemeld bij de Autoriteit Persoonsgegevens en/of bij de betrokkene(n).
1.3 Het bestuurslid kan altijd advies vragen aan het Voedselbak Servicecentrum in Houten (tel: 088-543 5435) of direct bij het verantwoordelijke bestuurslid van Voedselbanken Nederland.
1.4 Als er een melding gemaakt moet worden bij de Autoriteit Persoonsgegevens dan gebeurt dit altijd onder verantwoordelijkheid van het voedselbankbestuur.

Informatie dd 10 april 2022