Xxxxxxx aan betrokkenen. De primaire doelstelling van het melden van een datalek aan betrokkenen is deze in staat te stellen maatregelen te nemen om de gevolgen van het datalek te beperken. Deze doelstelling staat centraal bij de beoordeling of een datalek aan betrokkenen moet worden gemeld. Een datalek met een hoog risico voor betrokkenen moet aan betrokkenen worden gemeld. Gezien de aard van onze dienstverlening als gerechtsdeurwaarder is er al snel sprake van een verhoogd risiconiveau. De risico-inschatting wordt verder gemaakt op de volgende criteria: • Categorie beveiligingsincident (beschikbaarheid, integriteit, vertrouwelijkheid) • Het aantal gegevenscategorieën dat getroffen is door het datalek • Gevoeligheid van de gegevens, individueel of in hun samenhang • Betrouwbaarheid van de partij(en) die toegang hebben gekregen tot de gegevens • Mate van identificeerbaarheid van betrokkenen • Zwaarte van de impact voor betrokkenen • Betrokkenen behoren tot kwetsbare groepen (waaronder minderjarigen) • Aantal getroffen personen De functionaris gegevensbescherming treedt in overleg met de AP om te bepalen of een melding aan betrokkenen moet worden gedaan. De functionaris gegevensbescherming stelt de directie op de hoogte van het standpunt van de AP. De directie handelt conform. Bij een melding aan betrokkenen wordt tenminste de volgende informatie verstrekt: • Beschrijving van het datalek, waaronder de categorie • Beschrijving van de mogelijke gevolgen van het datalek voor betrokkene • Beschrijving van de corrigerende maatregelen die door ons inmiddels zijn genomen om het datalek te herstellen, inclusief schadebeperkende maatregelen • Advies aan betrokkenen om verdere schade te voorkomen (indien van toepassing, een voorbeeld is het wijzigen van het wachtwoord van het debiteurenportal), zie bijlage A • Maatregelen die we gaan nemen om het datalek in de toekomst te voorkomen • Naam en contactgegevens van de functionaris gegevensbescherming voor meer informatie In bijzondere situaties waarbij er sprake is van een zeer hoog risico voor betrokkenen, besluit de directie om zonder advies van de AP over te gaan tot melding aan betrokkenen. Een dergelijk besluit wordt genomen op en na advies van de functionaris gegevensbescherming.
