Een datalek op je eigen site: de eerste 72 uur

Op een vrijdagavond merk je dat de aanmeldlijst van je workshop, met namen en mailadressen, een week lang op je site stond. Het kan gebeuren, ook als je zorgvuldig bouwt. Gaat het om gegevens van mensen, dan is het waarschijnlijk een datalek, en dan begint er een klok te lopen: je hebt 72 uur om het te melden bij de Autoriteit Persoonsgegevens (AP). Wat je in die uren doet, en in welke volgorde, kun je goed voorbereiden.

Wat hieronder staat, is geen juridisch advies. Het volgt de pagina’s van de AP, en die zijn voor jouw situatie leidend.

Wat een datalek is

Volgens de AP is er sprake van een datalek als iemand bij persoonsgegevens kon zonder dat dat mocht of de bedoeling was, doordat de beveiliging tekortschoot. Ook gegevens die door zo’n probleem verloren zijn gegaan of zijn veranderd, tellen mee. Een bestand met namen dat per ongeluk online stond, is dus al een datalek, ook als je nog niet weet of iemand het heeft gedownload.

De AP heeft een stappenplan voor wat je dan doet. Het begint bij overzicht krijgen en het lek stoppen, gaat via de vraag of je moet melden en wie je informeert, en eindigt bij vastleggen. De volgorde hieronder volgt dat plan.

De eerste uren: het lek dichten

Zorg eerst dat het lek stopt. Hoe, hangt af van wat er gebeurd is. Stond er een bestand online, haal het dan uit je werkmap, zet je site opnieuw live en controleer met curl -sI dat het adres nu 404 geeft, zoals beschreven in Wat staat er per ongeluk openbaar op je website. Is er een sleutel uitgelekt, trek die dan in en maak een nieuwe, zoals in Wachtwoorden en API-sleutels in je code. Laat je platform gegevens zien die het niet mag laten zien, zet het dan tijdelijk stil, of laat Claude een pagina neerzetten die zegt dat het even in onderhoud is.

Weet je nog niet wat er aan de hand is, verander dan de wachtwoorden van je belangrijkste accounts, zoals bij je hostingpartij, je registrar en je mail. Zet tweestapsverificatie aan waar dat nog niet zo is.

Gooi daarbij niets weg wat je later nodig hebt om te begrijpen wat er gebeurd is. Wie in paniek alles opruimt, ruimt ook het bewijs op. Schrijf vanaf het begin op wat je ziet en wat je doet, met de tijd erbij. Dat lijstje heb je straks nodig voor je melding.

Uitzoeken wat er gebeurde

Daarna wil je weten hoe erg het is. De vragen die de AP daarbij noemt, komen hierop neer. Van wie waren de gegevens, en om hoeveel mensen gaat het? Wat voor gegevens waren het: alleen namen en mailadressen, of ook iets gevoeligers? En hoe lang konden anderen erbij, en is er iets opgevraagd of veranderd?

Het logboek van je webserver vertelt wie wat heeft opgevraagd. Op een server van retrAIt gaat het ongeveer twee weken terug, met de oudere dagen ingepakt. Met zgrep zoek je in alles tegelijk:

zgrep "aanmeldingen.csv" /var/log/nginx/access.log*

Elke regel is één keer dat iemand het bestand opvroeg, met het IP-adres, de tijd en het getal 200 als het ook echt is meegegeven. Krijg je Permission denied, zet er dan sudo voor. Vind je alleen je eigen bezoeken, dan helpt dat bij je inschatting. Bij een uitgelekte sleutel laat het overzicht van de dienst zien wanneer de sleutel is gebruikt.

Claude kan helpen met zoeken en tellen. Bedenk wel dat een IP-adres volgens de AP een persoonsgegeven kan zijn. Vraag hem dus om te tellen en samen te vatten, en niet om alle regels voor te lezen.

Melden bij de AP, binnen 72 uur

De termijn van 72 uur gaat in bij wat de AP kennisname noemt: het moment waarop je er redelijk zeker van bent dat een beveiligingsprobleem persoonsgegevens heeft geraakt. Een vermoeden moet je wel meteen onderzoeken. De belangrijkste regels, zoals de AP ze beschrijft op Zo meldt u een datalek:

• Je meldt alleen via het meldformulier op de site van de AP. Bellen, mailen of een brief sturen kan niet.
• Weet je nog niet alles, doe dan toch binnen 72 uur een eerste melding en vul die later aan. Daarvoor heb je het meldingsnummer nodig, dus bewaar de bevestiging.
• Een weekend, een vakantie of drukte is volgens de AP geen geldige reden om te laat te zijn.
• Melden hoeft niet als het niet waarschijnlijk is dat het lek een risico vormt voor de mensen om wie het gaat. Twijfel je, meld dan. Dat raadt de AP zelf aan.

Hoe je dat risico inschat, staat op Datalek: wel of niet melden. De AP noemt daar onder meer hoe gevoelig de gegevens zijn en om hoeveel mensen het gaat. Bij gegevens over gezondheid moet je volgens de AP in elk geval rekening houden met een hoog risico.

Melden doet de verwerkingsverantwoordelijke: degene die bepaalt waarvoor de gegevens worden gebruikt. Bij je eigen site ben jij dat. Beheer je een site of platform voor een klant, dan is meestal de klant degene die moet melden. Vertel het hem dan meteen, zodat hij binnen de termijn kan blijven. Op de pagina over het melden staat ook de vragenlijst van het formulier. Die kun je nu al inzien, zodat je weet welke informatie je straks nodig hebt.

De mensen zelf informeren

Brengt het lek waarschijnlijk een hoog risico mee voor de mensen om wie het gaat, dan informeer je hen ook zelf, zo snel mogelijk. De AP heeft daarvoor aanbevelingen met voorbeeldteksten. Schrijf in gewone taal wat er is gebeurd en welke gegevens het betreft. Zeg wat de gevolgen kunnen zijn en wat mensen zelf kunnen doen, en noem een plek waar ze met vragen terechtkunnen. Ben je nog aan het uitzoeken, stuur dan eerst een voorlopig bericht en vul het later aan.

Een voorbeeld. Sanne geeft yogales en vraagt bij de aanmelding voor haar workshops of deelnemers blessures hebben. De lijst met aanmeldingen, inclusief die blessures, stond door een fout twee dagen online. Blessures zijn gegevens over gezondheid, dus volgens de AP moet ze rekening houden met een hoog risico. Ze haalt de lijst offline en kijkt in het logboek wie hem heeft opgevraagd. Binnen 72 uur doet ze een eerste melding, en ze stuurt de deelnemers een kort, eerlijk bericht. Een paar dagen later vult ze de melding aan met wat ze in het logboek vond.

Vastleggen en voorbereiden

Elk datalek leg je vast in je eigen datalekregister, ook als je het niet meldt: wat er gebeurde, wat de gevolgen waren en wat je eraan deed. Hoe dat register eruitziet, mag je zelf bepalen. De AP heeft een voorbeeld van een datalekregister dat je kunt gebruiken.

Het meeste werk van een goede afhandeling kun je vooraf doen. Maak een noodkaart met per dienst de plek waar je een sleutel intrekt, en schrijf erbij waar je back-ups staan en hoe je een site offline haalt. Zet de link naar het meldformulier van de AP erbij, maar geen wachtwoorden. Bewaar de kaart op een plek die je ook kunt lezen als je server plat ligt, en kijk hem elk halfjaar na. Hoe je back-ups zo inricht dat je er op zo’n moment op kunt rekenen, staat in Back-ups van je eigen server.

Je hoeft niet te wachten tot het misgaat. Lees vandaag de pagina’s van de AP door en maak je noodkaart. Dan is de avond waarop je hem nodig hebt vooral een kwestie van de stappen volgen, in plaats van zoeken naar wat je moet doen.