Door Wouter Dammers | Securityrecht | 9 april 2024 | 10 min. leestijd
In een interessant vonnis van 26 maart 2024 oordeelt de voorzieningenrechter dat de Autoriteit Persoonsgegevens (AP) zich voor inlichtingen naar aanleiding van een datalek eerst moet richten tot de hostingprovider, en niet tot een derde zoals een ingeschakeld cybersecuritybedrijf. De AP weet dat het lek daar heeft plaatsgevonden, en dat daar een onderzoeksrapport aanwezig is. Er is een ander minder ingrijpend middel voorhanden dan om een derde te belasten met een inlichtingenvordering en een last onder dwangsom. Het vonnis is van groot belang voor de vraag wie moet voldoen aan inlichtingenvordering van de toezichthouder?
In het kort
In augustus 2023 werd hostingbedrijf Leaseweb getroffen door een cyberaanval. Leaseweb heeft daarop een melding van een datalek gedaan bij de Autoriteit Persoonsgegevens, en bij betrokkenen. De AP heeft Leaseweb daarop verzocht om meer inlichten te verstrekken over het datalek, waaronder een door een beveiligingsbureau opgesteld onderzoeksrapport. Leaseweb heeft daaraan niet (voldoende) voldaan. Daarop besloot de AP om haar pijlen te richten op het beveiligingsbedrijf zelf. Die partij was, ook nadat de AP dwangsommen oplegde, niet bereid om de vertrouwelijke gegevens te verstrekken. Het beveiligingsbureau verzoekt de rechtbank Midden-Nederland om het besluit van de AP te schorsen. Daarop maakt de rechtbank korte metten met de handelwijze van de toezichthouder. Volgens de rechter moet de toezichthouder eerst de druk op Leaseweb opvoeren, voordat ze onder dwang stukken opvraagt bij derden zoals het ingeschakelde beveiligingsbedrijf. In deze blog ligt ik toe wat er aan de hand was, en waarom de rechter hier volgens mij terecht oordeelt dat de AP haar boekje te buiten ging.
Datalek bij hostingprovider
Leaseweb is één van de grootste hostingbedrijven ter wereld. Het was in augustus 2023 getroffen door een cyberaanval. Leaseweb heeft daarop een melding van een datalek gedaan bij de toezichthouder, de Autoriteit Persoonsgegevens (AP), en bij haar klanten. Zij is daartoe op grond van de Algemene Verordening Gegevensbescherming (AVG, GDPR) verplicht omdat door de cyberaanval een klein aantal belangrijke systemen en internetservers offline gingen. De AP heeft in de maanden daarop herhaaldelijk om meer informatie verzocht bij de hostingprovider, maar kreeg die niet (voldoende).
Mogelijke gevolgen van de cyberaanval
De cyberaanval op Leaseweb kan verregaande gevolgen hebben voor de privacy van klanten. Omdat (soms gevoelige) persoonsgegevens kunnen zijn gelekt, kan dit ernstige gevolgen hebben voor de privacy van betrokkenen. Dat was in dit geval ook kennelijk het geval, omdat Leaseweb ook haar klanten heeft geïnformeerd over het datalek. Als gevolg van het datalek kunnen betrokkenen te maken krijgen met identiteitsfraude, phishing en andere vormen van cybercriminaliteit.
De mogelijkheden maatregelen van de AP
De AP kan verschillende stappen ondernemen om Leaseweb te dwingen om openheid te geven. De AP kan:
- De last onder dwangsom verhogen.
- Een boete opleggen.
- Leaseweb bevelen om bepaalde maatregelen te nemen om de privacy van klanten te beschermen.
Inlichtingenonderzoek bij cybersecuritybedrijf
Leaseweb had dus geen inlichtingen aan de AP verstrekt. Daarop richtte de AP haar pijlen op een door Leaseweb ingeschakeld beveiligingsbureau. Volgens het NRC was dit beveiligingsbureau Northwave. Dit bedrijf heeft een onderzoeksrapport opgesteld naar aanleiding van het beveiligingsincident.
Incident response
Hostingbedrijf weigert beveiligingsonderzoeksrapport aan de AP te verstrekken
De AP heeft eerst Leaseweb verzocht om dat onderzoeksrapport te verstrekken. Leaseweb heeft dit echter niet gedaan. Ze heeft enkel een brief van Northwave en een ‘appendix’ naar de toezichthouder gestuurd. Leaseweb stelt dat de brief het volledige onderzoeksrapport betreft, en stelt aan haar medewerkingsplicht te hebben voldaan.
Cybersecuritybedrijf weigert medewerking AP
Daarop richt de AP zich tot Northwave. Ook Northwave wordt verzocht om het rapport over het incident te verstrekken. Northwave weigert echter, om principiële redenen. Volgens Northwave moeten cybersecuritybedrijven in vertrouwen kunnen werken, zonder dwang van de AP. Eérst moet de AP al haar machts- en dwangsmiddelen op klanten uitoefenen omdat die partijen verantwoordelijk zijn voor de afhandeling van datalekken. Northwave beschuldigt de AP ervan dat ze haar gelijk een dwangsom oplegt, terwijl ze dat bij de klant niet geprobeerd zou hebben.
Rechter: toezichthouder moet zich eerst op de hostingprovider richten
Om dezelfde reden beslist de rechtbank Midden-Nederland op 26 maart in het voordeel van Northwave.
De rechtbank stelt allereerst vast dat partijen het erover eens zijn dat de inlichtingen die de AP bij Northwave vordert verband houdt met de toezichtsbevoegdheid die de AP heeft op de hostingprovider. De vraag is of het wel nodig is dat de AP ter uitvoering van die taak inlichtingen vordert bij een derde partij.
Northwave heeft daarop gesteld dat de inlichtingenvordering van de AP niet evenredig is. Het is de hostingprovider die het voorwerp van het onderzoek is. De AP moet zich dus tot de hostingprovider richten. Op grond van artikel 58 AVG en artikel 16 UAVG moet de AP zich in eerste instantie tot “de normadressaat” richten, oftewel de hostingprovider in dit geval. De AP kan zich pas tot andere partijen richten als daarvoor goede redenen zijn. De AP moet dus informatie opvragen bij degene op wie ze haar toezichthoudende bevoegdheden gebruikt.
De AP vond dat niet zinvol. Leaseweb had namelijk aangegeven alle gevraagde documenten te hebben overgelegd, terwijl dat niet het geval was. De AP wilde echter niet veel inzet en tijd kwijt aan het incident, omdat snelheid van belang zou zijn om betrokkenen goed te informeren over risico en schade. De AP vond het daarom gerechtvaardigd om de benodigde informatie via Northwave op te vragen, en. bij weigering een last onder dwangsom op te leggen.
De voorzieningenrechter volgt Northwave: de hostingprovider is de normadressaat. De AP moet zijn bevoegdheden uitoefenen jegens de hostingprovider. Dat heeft de AP niet uitputtend gedaan. Het is ook niet vastgesteld dat de AP Leaseweb een last onder dwangsom zou hebben opgelegd om de gevorderde informatie te verstrekken. Dat is volgens de rechter niet goed verklaarbaar, omdat de AP die aankondiging al wel had gedaan naar de hostingprovider. De rechter vervolgt:
“Zo lang niet vaststaat dat de hostingprovider bij een opgelegde last onder dwangsom niet wil meewerken aan de inlichtingenverplichting die zij heeft, vindt de voorzieningenrechter het voor de vervulling van de taak van de AP redelijkerwijs niet noodzakelijk om inlichtingen bij verzoekster te vorderen. Van belang hierbij is dat de AP weet waar het datalek heeft plaatsgevonden en op grond van de mededelingen van de hostingprovider weet heeft van de aanwezigheid van een onderzoeksrapport. De AP staat een ander minder ingrijpend middel ten aanzien van verzoekster ter beschikking, zodat het subsidiariteitsbeginsel zich thans ertegen verzet dat de AP zich met een inlichtingenvordering en een last onder dwangsom wendt tot verzoekster in plaats van tot de hostingprovider. Een grondslag voor het opleggen van een last onder dwangsom bij verzoekster ontbreekt derhalve vooralsnog.”
De rechter schorst daarom de werking van het besluit van de AP.
Wat betekent dit voor de praktijk?
Dit vonnis is zeer belangrijk voor de praktijk. Uiteraard is privacy en de bescherming van persoonsgegevens een mensenrecht dat een adequate bescherming verdient. Om die bescherming te kunnen waarborgen is ook een rol weggelegd voor de toezichthouder. De toezichthouder moet adequaat geïnformeerd worden over eventuele inbreuken op de bescherming van persoonsgegevens, om onnodige risico’s en schade te voorkomen. Een meldplicht datalekken is daarvoor een goed middel. Wanneer een toezichthouder meent dat de melder onvoldoende informatie heeft verstrekt, om haar taak adequaat te kunnen uitvoeren, dan moet de toezichthouder zich tot die melder richten.
Dat een getroffen partij zich laat bijstaan door experts, zoals een beveiligingsbureau moet toegejuicht en gestimuleerd worden. Datalekken betreft vaak een precair onderwerp. Vaak treft het de kern van de dienstverlening van partijen. Bedrijven en organisaties moeten het recht hebben om elkaar in goed vertrouwen te kunnen assisteren, zonder bang te hoeven zijn dat een toezichthouder die informatie te pas en te onpas bij ze opvraagt. Zou dat anders zijn, dan kunnen bedrijven elkaar niet in volste vertrouwen bijstaan. En dat zou, ironisch genoeg, juist de bescherming van persoonsgegevens niet ten goede komen.
De toezichthouder moet zich daarom blijven richten tot de normadressaat. Dat dit meer tijd of inzet voor de AP zou kosten, is onvoldoende reden om daarvan af te wijken.
Tips voor bedrijven bij een datalek
1. Zorg voor de juiste assistentie
- Schakel direct een advocaat in die gespecialiseerd is in ICT- en privacyrecht; Er gelden namelijk korte termijnen voor eventueel te treffen maatregelen.
- Schakel je cybersecurityverzekering in;
- Schakel een forensisch onderzoeksbureau of cybersecuritybedrijf in;
- Pak de relevante verwerkersovereenkomst of andere afspraken t.a.v. persoonsgegevens erbij, om te bepalen welke afspraken er gelden.
2. Bepaal of het datalek gemeld moet worden
- Is er sprake van een datalek dat gemeld moet worden aan de Autoriteit Persoonsgegevens (AP)?
- Wat is de impact van het datalek?
- Hoeveel mensen zijn er getroffen?
- Welke persoonsgegevens zijn er gelekt?
- Bepaal of betrokkenen geïnformeerd moeten worden over het datalek.
- Zo ja, geef ze de juiste informatie over de genomen stappen en de te nemen voorzorgsmaatregelen. Schakel hierbij zo nodig een communicatiebureau of persvoorlichter in.
4. Beveilig de getroffen systemen.
- Neem maatregelen om te voorkomen dat er opnieuw een datalek kan plaatsvinden.
- Doe echter alles in samenspraak met experts .Werk samen met een beveiligingsbedrijf om de getroffen systemen te beveiligen.
5. Bewaar bewijsmateriaal.
- Bewaar alle documentatie met betrekking tot het datalek.
- Zorg ervoor dat je goede afspraken maakt met derden over vertrouwelijkheid van gedeelde informatie en bevindingen met derden.
- Zorg dat je in de lead bent in het onderzoek dat de AP mogelijk kan verrichten naar aanleiding van het datalek.
6. Voldoe aan je medewerkingsplicht
- Voldoe aan je medewerkingsplicht richting de AP, om dwangsommen (en ongewenste publiciteit) te voorkomen.
- Voorkom dat je afhankelijk van derden bent in wat er wel of niet naar buiten wordt gebracht.
7. Houd je medewerkers op de hoogte.
- Informeer je medewerkers over het datalek en de genomen stappen.
- Train je medewerkers inzake cybersecurity.
8. Leer van je fouten.
- Analyseer de oorzaken van het datalek en neem maatregelen om te voorkomen dat het opnieuw gebeurt.
Meer tips lees je hier. Wil je nog meer weten? Bel of mail ons gerust.
