Melding van een inbreuk in verband met persoonsgegevens (gegevenslek) aan de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens

Met ingang van 25 mei 2018 geldt een meldplicht voor gegevenslekken. Deze meldplicht houdt in dat Vlaamse instanties binnen de 72 uur en zonder onredelijke vertraging een melding moeten doen bij de Vlaamse Toezichtcommissie zodra er een risico bestaat voor de fundamentele rechten en vrijheden van de betrokkenen (de mensen van wie de persoonsgegevens zijn). Soms moeten zij het gegevenslek ook meedelen aan de betrokkenen zelf. We spreken van een gegevenslek wanneer er een inbreuk op de beveiliging plaatsvond die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens.

De VTC is als toezichthoudende autoriteit voor de verwerking van persoonsgegevens verantwoordelijk voor het toezicht op de toepassing van de algemene verordening gegevensbescherming door de Vlaamse instanties, zoals vermeld in artikel 4, §1, van het decreet van 26 maart 2004 betreffende de openbaarheid van bestuur. Op onze website vindt u een overzicht dat kan helpen bij het uitzoeken of uw organisatie een Vlaamse instantie is.

Meldingen vanuit andere organisaties en meldingen van gegevenslekken in de telecomsector dienen gemeld te worden bij de Gegevensbeschermingsautoriteit.

Deze vragenlijst volstaat als melding van een inbreuk i.v.m. persoonsgegevens aan de VTC. Indien nodig blijkt, zal de VTC vragen ook een tweede vragenlijst te bezorgen. Het tweede formulier heeft een meer formele vorm en vraagt meer details. Dit zal gevraagd worden indien een melding diepgaander onderzoek vereist. Het is nuttig de aanvullende vragenlijst sowieso door te nemen in het geval van een inbreuk i.v.m. persoonsgegevens. Deze kan dienen als een checklist van dingen waarmee moet rekening gehouden worden bij een incident.

Wanneer niet alle informatie beschikbaar is en het gegevenslek verder onderzoek vergt, kan de verantwoordelijke voor de verwerking hiervan een voorlopige kennisgeving doen en die later verder aanvullen. Er dient steeds gebruik te worden gemaakt van dit formulier en indien bepaalde informatie niet voorhanden is, gelieve dit te verantwoorden.

Onderstaande vragenlijst is samengesteld op basis van de vereisten omschreven in de AVG (artikel 33, §3). Gelieve de onderstaande vragenlijst zo accuraat als mogelijk in te vullen. De antwoorden kunnen steeds gestaafd worden met aanvullende documenten. In enkele gevallen worden deze documenten expliciet opgevraagd.

Informatie over de verwerking van persoonsgegevens

De Vlaamse Toezichtcommissie verwerkt uw persoonsgegevens omdat zij wettelijk verplicht is om gegevenslekken te registeren, voor handhaving en controle en indien nodig advies te geven aan de instantie over het gegevenslek. De persoonsgegevens worden bewaard zolang dit nodig is in het kader van advisering en handhaving en controle en dit tot 10 jaar na afsluiten dossier (bij rechtsvordering tot het einde van de procedure). In het kader van de samenwerking met andere Europese gegevensbeschermingsautoriteiten bij grensoverschrijdende gegevenslekken kunnen gegevens uit dit formulier met hen worden gedeeld.

Voor meer informatie hierover, contacteer dan contact@vlaamsetoezichtcommissie of via Vlaamse Toezichtcommissie – Koning Albert II laan 15, 1210 Brussel.

Identificatie en beknopte omschrijving van het gegevenslek

Naam instantie	Klik of tik om tekst in te voeren.
In welk kader werden de gegevens die getroffen zijn door het lek verwerkt?	Klik of tik om tekst in te voeren.
Hoe heeft het gegevenslek plaatsgevonden?	Klik of tik om tekst in te voeren.
Datum en tijd van het plaatsvinden van het gegevenslek	Klik of tik om een datum in te voeren. Tijd: Klik of tik om tekst in te voeren.
Datum en tijd van kennisneming van het gegevenslek	Klik of tik om een datum in te voeren. Tijd: Klik of tik om tekst in te voeren.
Datum en tijd van deze melding	Klik of tik om een datum in te voeren. Tijd: Klik of tik om tekst in te voeren.

Contactpersoon
Naam	Klik of tik om tekst in te voeren.
E-mailadres	Klik of tik om tekst in te voeren.
Telefoonnummer	Klik of tik om tekst in te voeren.
Functie	Klik of tik om tekst in te voeren.
Indien de contactpersoon niet de functionaris van de gegevensbescherming (DPO) is, gelieve hieronder de contactgegevens van de DPO in te vullen
Naam	Klik of tik om tekst in te voeren.
E-mailadres	Klik of tik om tekst in te voeren.
Telefoonnummer	Klik of tik om tekst in te voeren.

Wordt deze melding gedaan door de instantie zelf of door de verwerker?

☐Instantie (verwerkingsverantwoordelijke)

☐Verwerker (geef naam, organisatie en contactgegevens contactpersoon):

Klik of tik om tekst in te voeren.

Vragenlijst

Wat is de aard/oorzaak van het gegevenslek? Op welke manier werd de beveiliging aangetast en wat was hiervan het gevolg?

Klik of tik om tekst in te voeren.

Tot welke categorieën behoren de betrokken personen? (studenten, werknemers, patiënten, ouderen, kinderen, anderstaligen en/of inburgeraars…)

Klik of tik om tekst in te voeren.

Omschrijf de persoonsgegevens waarover de melding gaat:

Klik of tik om tekst in te voeren. Bijzondere persoonsgegevens volgens artikel 9 en artikel 10 AVG? (gegevens met betrekking tot raciale of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap vakbond, genetische gegevens, biometrische gegevens, gegevens over gezondheid, gegevens over seksueel gedrag of seksuele geaardheid, strafrechtelijke gegevens…) ☐ Nee ☐ Ja, geef aan welke Klik of tik om tekst in te voeren.

Wat is het aantal betrokkenen (desnoods bij benadering)?

Klik of tik om tekst in te voeren.

Wat zijn de waarschijnlijke gevolgen van het gegevenslek?

Klik of tik om tekst in te voeren.

Hoe hoog is het risico voor de rechten en vrijheden (inclusief recht op privacy) van betrokkenen?

☐kritisch ☐hoog ☐medium ☐laag ☐verwaarloosbaar ☐nog niet bepaald Eventuele opmerking: Klik of tik om tekst in te voeren.

Welke maatregelen werden voorgesteld of genomen om (de oorzaak van) het gegevenslek aan te pakken én ter beperking van de eventuele nadelige gevolgen van het gegevenslek? Geef hiervan ook een (geplande) tijdslijn.

Maatregel	Timing
Klik of tik om tekst in te voeren.	Klik of tik om tekst in te voeren.

Welke maatregelen werden genomen om het gegevenslek in de toekomst te voorkomen? Geef hiervan ook een (geplande) tijdslijn.

Maatregel	Timing
Klik of tik om tekst in te voeren.	Klik of tik om tekst in te voeren.

Is/zal het gegevenslek meegedeeld (worden) aan de betrokkenen? Motiveer het al dan niet meedelen en beschrijf de wijze van de communicatie.

Klik of tik om tekst in te voeren.

Is deze informatie volledig? Indien niet, motiveer.

Klik of tik om tekst in te voeren.

Is er extra informatie die nog niet in het formulier ter sprake kwam maar die wel relevant is en nuttig kan zijn voor de VTC?

Klik of tik om tekst in te voeren.

Zijn er bijlagen toegevoegd bij deze melding? Zoja, geef aan welke.

Klik of tik om tekst in te voeren.