Organisaties uit de sectoren zorg en welzijn, openbaar bestuur en financiële dienstverlening meldden de meeste datalekken. Het aantal meldingen overstijgt het eerder geschatte aantal flink. De AP breidt daarom haar capaciteit uit om meer actie te kunnen ondernemen. Deze acties kunnen tot meer handhavende maatregelen leiden.

Verkeerde ontvanger

In ruim tweederde (63 procent) van de datalekken die in 2018 zijn gemeld, gaat het om persoonsgegevens die aan een verkeerde ontvanger zijn gestuurd. De overige 37 procent bestaat uit onder meer kwijtgeraakte persoonsgegevens door bijvoorbeeld een verloren of gestolen laptop of usb-stick, hacking, phishing of malware. Het gaat in de meeste gevallen om NAW-gegevens, gegevens over geslacht, medische gegevens en BSN.

Phishing

Uit de meldingen valt op dat datalekken door hacking en phishing met name voorkomen in de zorg. Bij phishing kan het gaan nep e-mails die afkomstig lijken van een betrouwbare partij. Wanneer op de link wordt geklikt of een bijlage wordt geopend kan een virus, bijvoorbeeld ransomware, worden geïnstalleerd. Dit is een type malware dat gegevens versleutelt en ervoor zorgt dat deze niet meer toegankelijk zijn.

Sectoren met de meeste meldingen

De meeste meldingen van datalekken van organisaties kwamen in 2018 uit de volgende sectoren:

gezondheid en welzijn 29%
financiële dienstverlening 26%
openbaar bestuur 17%

AVG

In Nederland geldt de meldplicht datalekken al sinds 1 januari 2016. Sinds 25 mei 2018 geldt de Algemene verordening gegevensbescherming (AVG). Daarmee geldt vanaf die datum de meldplicht datalekken in alle EU-landen.

De meldplicht datalekken is onder de AVG vrijwel hetzelfde gebleven als in de jaren daarvoor. De AVG stelt wel strengere eisen aan de registratie van datalekken. Een organisatie moet voortaan alle datalekken documenteren en niet meer alleen de gemelde datalekken. Daarnaast zijn de boetes vanaf 25 mei hoger.

Jaarrapportage meldplicht datalekken 2018