Moeten we een ransomware-aanval melden volgens de AVG?

Vaak wel, als persoonsgegevens geraakt zijn, ook als er niets is gestolen. De AVGAVG: Algemene verordening gegevensbescherming. De Europese privacywet (Verordening (EU) 2016/679). definieert in artikel 4, punt 12, een inbreuk in verband met persoonsgegevens als een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Versleuteling door ransomware maakt gegevens onbeschikbaar, een inbreuk op de beschikbaarheid, en aanvallers kopiëren vaak data voordat ze versleutelen. Volgens artikel 33 meldt de verwerkingsverantwoordelijke de inbreuk zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat hij er kennis van kreeg bij de toezichthouder, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor personen inhoudt, bijvoorbeeld omdat een recente back-up alles snel herstelde en er niets het netwerk verliet. Leg de redenering in beide gevallen vast. NetSenX kan laten zien of er vóór de versleuteling ongewone uploads van bewaakte apparaten vertrokken, wat voor die beoordeling telt.

Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.

← Alle 35 vragen over MeldtermijnenAlle onderwerpen