Privacy en informatiebeveiliging hebben bij Koninklijke Wandelbond Nederland hoge prioriteit. In dit datalekbeleid lees je hoe wij omgaan met mogelijke gegevenslekken, wie welke verantwoordelijkheid draagt en hoe wij de privacy van onze leden, vrijwilligers en medewerkers waarborgen. Dit beleid is een aanvulling op het Privacybeleid van Koninklijke Wandelbond Nederland.
Koninklijke Wandelbond Nederland verwerkt persoonsgegevens van leden, deelnemers, vrijwilligers, medewerkers en andere betrokkenen. Ondanks passende beveiligingsmaatregelen kan zich een situatie voordoen waarbij persoonsgegevens verloren gaan of in handen komen van onbevoegden.
Het doel van dit beleid is om ervoor te zorgen dat:
Dit beleid is een aanvulling op het Privacybeleid van Koninklijke Wandelbond Nederland.
Een datalek is iedere inbreuk op de beveiliging van persoonsgegevens waardoor persoonsgegevens:
Een datalek hoeft dus niet altijd een "hack" te zijn.
Dit zijn een aantal voorbeelden van hoe een datalek eruit kan zien:
Er hoeft niet altijd sprake te zijn van een datalek, zoals bij de volgende voorbeelden:
Bij twijfel geldt altijd: Melden. Niet zelf beoordelen.
Iedere medewerker of vrijwilliger:
Binnen KWbN is de Teamlead Service & Support het aanspreekpunt voor privacy en datalekken.
De privacyverantwoordelijke:
De directie:
Een medewerker meldt een (mogelijk) datalek direct aan:
Luuk van Bergen
Teamlead Service & Support
l.vanbergen@kwbn.nl
Wanneer telefonisch contact sneller is, heeft dit de voorkeur.
De melding bevat voor zover bekend:
De privacyverantwoordelijke onderzoekt:
Hierbij wordt ook gekeken of sprake is van bijzondere persoonsgegevens of andere gevoelige gegevens.
Afhankelijk van het incident worden direct maatregelen genomen.
Bijvoorbeeld:
Bij complexe incidenten (bijvoorbeeld ransomware of een cyberaanval) kan een externe ICT- of forensisch specialist worden ingeschakeld.
De privacyverantwoordelijke beoordeelt:
Binnen uiterlijk 72 uur na ontdekking wordt beoordeeld of melding aan de Autoriteit Persoonsgegevens noodzakelijk is.
Wanneer melding verplicht is, verzorgt de privacyverantwoordelijke deze melding namens KWbN.
Wanneer het datalek waarschijnlijk een hoog risico oplevert voor betrokkenen, worden zij zo snel mogelijk geïnformeerd.
De communicatie bevat minimaal:
Alle communicatie verloopt centraal via de privacyverantwoordelijke.
Alle datalekken worden geregistreerd.
Ook wanneer:
Een melding aan de AP is verplicht wanneer het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen.
Bij de beoordeling wordt onder andere gekeken naar:
De melding vindt uiterlijk binnen 72 uur na ontdekking plaats.
Betrokkenen worden geïnformeerd wanneer het datalek waarschijnlijk een hoog risico oplevert.
Van informeren kan worden afgezien wanneer:
De afweging wordt altijd vastgelegd.
KWbN houdt een intern datalekregister bij.
Van ieder incident worden minimaal vastgelegd:
Het register wordt beheerd door de privacyverantwoordelijke.
Na ieder datalek wordt beoordeeld:
De uitkomsten worden gebruikt om herhaling te voorkomen en de informatiebeveiliging en privacybescherming verder te verbeteren.
