Kort gezegd: Wie klanten na een datalek moet of wil informeren, beslist eerst met de functionaris voor gegevensbescherming en een advocaat of er een plicht bestaat volgens art. 34 AVG, en stelt vast of zakelijke klanten zelf verwerkingsverantwoordelijke zijn. Daarna volgen klantgroepen, veilige kanalen, een voorbereide klantenservice en een afsluitend bericht. Berichten bevatten geen inloglinks, zodat ze niet als sjabloon voor phishing dienen. Deze pagina is algemene informatie en geen juridisch advies.
De e-mail waar iedereen tegenop ziet
De server is opgeschoond, het lek gedicht, het forensisch onderzoek heeft eerste resultaten. Nu ligt er een vraag op tafel die veel bestuurders liever zouden vermijden: moeten we het onze klanten vertellen? En zo ja, hoe, zonder meer schade aan te richten dan het incident zelf?
De situatie rond PHP2Shell heeft deze vraag voor veel bedrijven opnieuw gesteld, ook zonder inbraak. Websites waren preventief offline, klanten vroegen na, en oplichters gebruiken zulke situaties volgens ervaring voor valse berichten. Hoe crisiscommunicatie in beginsel is opgebouwd, in welke volgorde en met welke inhoud, beschrijft Crisiscommunicatie na een aanval. Deze bijdrage gaat een stap dieper: de beslissing, de klantgroepen en de praktische uitvoering.
Klanten informeren na een datalek: plicht of beslissing?
Art. 34 AVG vereist dat betrokkenen onverwijld worden geïnformeerd als een inbreuk op de beveiliging van persoonsgegevens waarschijnlijk een hoog risico voor hun rechten en vrijheden met zich meebrengt. De kennisgeving beschrijft de aard van de inbreuk in duidelijke en eenvoudige taal en bevat minstens een contactpersoon, de waarschijnlijke gevolgen en de genomen of geplande maatregelen.
Art. 34 lid 3 noemt uitzonderingen: als de gegevens bijvoorbeeld door versleuteling onbegrijpelijk zijn voor onbevoegden, als vervolgmaatregelen het hoge risico waarschijnlijk wegnemen of als de kennisgeving onevenredige inspanning zou vergen; dan komt een openbare mededeling in de plaats. Of een van deze uitzonderingen geldt, is een juridische beoordeling per geval. Die hoort bij de functionaris voor gegevensbescherming en de advocaat, evenals de melding aan de toezichthouder, zie AVG-meldplicht: 72 uur na het incident.
Ook zonder plicht kan informatie zinvol zijn. Klanten die van het incident uit een andere bron horen, verliezen sneller vertrouwen dan klanten die het van u horen.
Blijft de vraag naar het tijdstip. Wie te vroeg informeert, moet uitspraken mogelijk corrigeren. Wie te lang wacht, riskeert dat klanten intussen schade lijden, bijvoorbeeld door phishing met buitgemaakte adressen. Een beproefde middenweg: vroeg meedelen wat vaststaat en wat klanten zelf kunnen doen, en uitdrukkelijk aankondigen dat verdere informatie volgt. „Onverwijld“ in de zin van art. 34 betekent niet wachten tot het onderzoek is afgerond.
Welke klanten u hoe bereikt
Niet alle klanten hebben hetzelfde bericht nodig. Onderscheid minstens drie groepen:
| Klantgroep | Uw rol | Wat dat voor de informatie betekent |
|---|---|---|
| Particuliere klanten met account of bestelling | meestal verwerkingsverantwoordelijke | kennisgeving volgens art. 34 beoordelen, begrijpelijke taal, concrete aanbevelingen |
| Zakelijke klanten wier gegevens u voor eigen doeleinden gebruikt | meestal verwerkingsverantwoordelijke | zakelijke informatie aan genoemde contactpersonen, duiding voor hun eigen plichten |
| Zakelijke klanten voor wie u gegevens in opdracht verwerkt | verwerker | onverwijlde informatie volgens art. 33 lid 2, ondersteuning bij hun meldingen |
De derde groep wordt vaak over het hoofd gezien. Beheert u bijvoorbeeld shops of portalen voor klanten, dan zijn die doorgaans zelf verwerkingsverantwoordelijke en moeten ze hun eigen meldplichten vervullen. Daarvoor hebben ze uw informatie snel en volledig nodig.
Kanalen kiezen zonder phishing te bevorderen
Het veiligste kanaal is dat wat klanten al kennen. Beproefd zijn:
- E-mail van het gebruikelijke afzenderadres, zonder inloglinks en zonder bijlagen, met de aanwijzing de website zelf op te roepen.
- Melding na het inloggen in het klantaccount, zodra het systeem weer veilig draait.
- Melding op de website, als openbare aanvulling of, waar art. 34 lid 3 dat voorziet, als openbare mededeling.
- Brief voor klanten zonder actueel mailadres of bij bijzonder gevoelige gegevens.
- Telefoon en klantenservice als aanspreekpunt voor vragen, met een nummer dat klanten al van uw website of factuur kennen.
Vermeld in elk bericht uitdrukkelijk dat u nooit per e-mail of telefoon vraagt naar wachtwoorden, codes of betaalgegevens. Oplichters versturen na bekende incidenten graag berichten die op die van u lijken.
Van beslissing tot afsluitend bericht
Zo kan het verloop in de praktijk eruitzien:
- Feiten vastleggen: wat bewezen is, wat waarschijnlijk, wat onbekend. Alleen het bewezene gaat naar buiten.
- Juridische beoordeling inwinnen: plicht volgens art. 34, rol tegenover zakelijke klanten, afstemming met de melding aan de toezichthouder.
- Klantgroepen en kanalen vaststellen, verzendlijst uit het eigen systeem halen, niet uit een mogelijk gemanipuleerde kopie.
- Klantenservice voorbereiden: interne vragen en antwoorden, duidelijke taalafspraak, doorverwijzing van lastige gevallen naar een aangewezen afdeling.
- Aanbevelingen voor klanten formuleren: bijvoorbeeld wachtwoord wijzigen als inloggegevens getroffen kunnen zijn, en letten op verdachte berichten.
- Versturen en documenteren: wie wanneer via welk kanaal is geïnformeerd.
- Opvolgen: nieuwe inzichten delen en een afsluitend bericht sturen zodra het onderzoek is afgerond.
Wie de contactwegen intern vooraf heeft vastgelegd, bespaart hierbij veel tijd, zie Noodcontacten: wie moet wanneer worden geïnformeerd?. Technische stappen die aan de informatie vooraf moeten gaan, vat de checklist na een hack samen.
Hoe helpt PHP SOS concreet?
- Wij leveren de technische feiten over het incident zo bewerkt dat functionaris voor gegevensbescherming en advocaat de plichten kunnen beoordelen.
- Wij controleren uw klantberichten op technische juistheid en op het feit dat ze aanvallers geen aanwijzingen geven.
- Wij zorgen ervoor dat verzendlijsten en klantaccounts uit een opgeschoond systeem komen voordat u verstuurt.
- Via incident response leveren wij de inzichten voor vervolg- en afsluitende berichten in het afgesproken ritme.
Conclusie: Goede klantinformatie is juridisch getoetst, per groep gescheiden, via veilige kanalen verstuurd en wordt afgemaakt. Deze pagina is algemene informatie en geen juridisch advies; de beslissing in het individuele geval neemt u met de functionaris voor gegevensbescherming en een advocaat.
Veelgestelde vragen
Wanneer moet ik klanten na een datalek informeren?
Volgens art. 34 AVG als de inbreuk waarschijnlijk een hoog risico voor de rechten en vrijheden van de betrokkenen inhoudt. Er zijn uitzonderingen, bijvoorbeeld bij doeltreffende versleuteling van de gegevens. De beoordeling maakt u met de functionaris voor gegevensbescherming en een advocaat; deze pagina is geen juridisch advies.
Wat geldt als ik gegevens verwerk in opdracht van mijn zakelijke klanten?
Dan zijn uw klanten meestal zelf verwerkingsverantwoordelijke. Volgens art. 33 lid 2 AVG informeert de verwerker de verwerkingsverantwoordelijke onverwijld nadat hem een datalek bekend is geworden. De melding aan de toezichthouder en aan de betrokkenen blijft de zaak van uw klant.
Mag ik klanten informeren terwijl er geen plicht is?
Ja. Vrijwillige informatie kan zinvol zijn, bijvoorbeeld als de website vanwege PHP2Shell preventief offline was of klanten vragen stellen. Belangrijk is alleen vaststaande feiten te noemen en geen voorbarige geruststelling te geven.
Hoe voorkom ik dat oplichters mijn bericht nabootsen?
Laat links naar inloggen en bijlagen in het bericht weg, verwijs naar uw bekende website en vermeld uitdrukkelijk via welke kanalen u nooit om wachtwoorden of betaalgegevens vraagt.