Risiko-oandreaune prioritearring fan notifikaasjes foar gegevensbreuk

Autoriteit Persoansgegevens

De AP brûkt dit algoritme om rapporten oer gegevensbreuk te klassifisearjen neffens earnst. Op grûn fan dizze klassifikaasje kinne ynspekteurs foarrang jaan oan serieuze rapporten. It algoritme befettet gjin persoanlike gegevens.

Lêst feroare op 11 oktober 2024 om 9:33 | Publikaasjestandaard 1.0

• Publicatiecategorie: Oare algoritmes
• Impacttoetsen: Fjild net ynfierd.
• Status: Yn gebrûk

Algemene ynformaasje

Tema

Rjocht

Begjindatum

01-2016

Kontaktgegevens

https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek

Link nei publykspagina

https://www.autoriteitpersoonsgegevens.nl/datalek-melden

Ferantwurde gebrûk

Doel en impact

It tafersjoch fan 'e AP op' e rapportaazjeferplichting foar gegevensbreuk is risiko-oandreaune. Guon rapporten oer gegevensbreuk binne sa serieus dat AP-ynspekteurs se driuwend moatte oanpakke. Om de earnst fan in gegevensbrek te bepalen, sjocht de AP nei it risiko op skea oan de slachtoffers fan de gegevensbrek. Hoe heger it risiko, hoe earder en hoe yntinsiver sille ynspekteurs de melding fan gegevenslekken behannelje. De AP hat in oantal kritearia opsteld om te soargjen dat ynspekteurs driuwend omgean mei gegevenslekken mei serieuze gefolgen.

Afwagings

Gegevenslekken kinne serieuze gefolgen hawwe foar slachtoffers. Dêrom moat in organisaasje dy't in datalek hat fluch hannelje: it datalekken fluch slute en ek slachtoffers gau warskôgje foar de gefolgen fan de datalek. Derneist moat de organisaasje de gegevensbreuk binnen 72 oeren melde by de AP. Dizze rapportaazjeplicht lit de AP kontrolearje oft de organisaasje de gegevensbrek foarsichtich omgiet. De AP ûntfangt jierliks ​​sawat 20.000 rapporten oer gegevensbreuk. Om driuwend reagearje te kinnen op meldingen fan de meast serieuze gegevenslekken en om de beskikbere kapasiteit fan de AP optimaal yn te setten, is prioritearring fan meldingen fan gegevenslekken nedich. Dizze prioriteit wurdt bepaald mei in algoritme. It is in ienfâldich algoritme wêryn ferskate eigenskippen fan in rapportaazje oer gegevensbreuk wurde weage. De wurking fan it algoritme is maklik foar ynspekteurs om te begripen: it is goed om te bepalen wêrom in bepaald rapport al of net in hege prioriteit hat. De AP brûkt gjin persoanlike gegevens en it resultearret net yn in direkt automatysk beslút.

Minskele tuskenkomst

Nei it prioritearjen fan de rapporten oer gegevensbreuk, behannelje ynspekteurs de rapporten. Dizze rapporten oer gegevensbreuk befetsje altyd minsklike yntervinsje.

Risikobehear

As ynspekteurs fan de AP meldingen fan gegevenslekken behannelje, jouwe se ek omtinken foar de kwaliteit fan de meldingen (bygelyks oft se folslein binne en oft se genôch relevante ynformaasje befetsje). Se kontrolearje ek de útkomsten fan it algoritme. Op grûn dêrfan kin de AP risiko-yndikatoaren oanpasse dy't brûkt wurde yn it algoritme as it nedich is. Fierders publisearret de AP alle jierren it gegevenslekrapport, wêryn't de AP ynsjoch jout yn alle ûntfongen gegevenslekmeldingen en de ôfhanneling dêrfan. Uteinlik brûkt it AP ek de kennis en ûnderfining opdien út de oare tafersjochtaken fan it AP om eventuele risiko's fan of ôfwikingen yn de prioritearring fan rapporten te spoaren.

Wettlike basis

• Artikel 33 GDPR

• Artikel 33a Wpg
• Artikel 26g Wjsg

Links nei wettlike basis

• Artikel 33 AVG: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Artikel 33a Wpg: https://wetten.overheid.nl/BWBR0022463/2022-10-01
• Artikel 26g Wjsg: https://wetten.overheid.nl/BWBR0014194/2023-03-01

Taljochting op impacttoetsen

It algoritme ferwurket gjin persoanlike gegevens. Boppedat is it effekt fan prioritearring troch it algoritme mei foarbepaalde kritearia net signifikant oars fan minsklike prioritearring. It algoritme is benammen nuttich om't it in protte rapporten fluch prioritearje kin, sadat serieuze rapporten gau ûnder de oandacht fan ynspekteurs brocht wurde. Dat is de reden dat de AP gjin ynfloedtest hat útfierd lykas in DPIA of IAMA.

Wurking

Gegevens

It giet om gegevens dy't organisaasjes ynfierd hawwe op it formulier foar gegevensbreuk op de AP-webside. It algoritme ferwurket gjin persoanlike gegevens dy't organisaasjes ynfiere, lykas kontaktpersoangegevens.

Technyske wurking

De AP brûkt in beslútbeam foar prioritearring. Op grûn fan de kennis en ûnderfining fan ynspekteurs binne bepaalde fjilden fan it meldformulier oanwiisd as ynput foar it algoritme. As de ynfierde wearde boppe in fêststelde limytwearde komt, sil in ynspekteur driuwend reagearje op it oanbelangjende rapport. Dizze ynspekteur bepaalt dan de te nimmen stappen.