Vijf tips voor het beheersen van datalekken

IT-jurist LAWFOX By Wouter Dammers | aansprakelijkheid | 2 January 2017 | 3 min. reading time

In het kader van de IT-dienstverlening kunnen zich diverse risico’s voordoen. Als afnemer wil je de kans op de verwezenlijking van deze risico’s zoveel mogelijk verkleinen. Wanneer de risico’s zich toch voordoen dan wil je de gevolgen daarvan beperken. In deze blogserie geef ik steeds vijf tips om de risico’s te adresseren.

Eerder gaf ik al tips ter voorkoming van een mislukt IT-project, tips ter voorkoming van gebrekkige IT-dienstverlening en tips voor het waarborgen van continuïteit. In deze vierde blog besteed ik aandacht aan een ander veel voorkomend risico in IT-projecten: datalekken.

Zo kan het voorkomen dat de in IT-systemen opgeslagen data onvoldoende beveiligd is of niet vertrouwelijk blijven. Dit risico en de gevolgen daarvan kunnen worden beperkt door inachtneming van de volgende vijf tips.

Tip 1. Geen back doors

De leverancier kan worden verplicht om geen virussen, achterdeuren (‘back doors’) en dergelijke in de software te programmeren.

Tip 2. Beveiligingsmaatregelen

De leverancier kan (en in de meeste gevallen moet zelfs) worden verplicht om adequate beveiligingsmaatregelen te treffen voor de applicatie. Er moeten passende technische en organisatorische beveiligingsmaatregelen worden getroffen teneinde een passend beschermingsniveau van persoonsgegevens te kunnen waarborgen.

Tip 3. Vertrouwelijkheid

Partijen kunnen afspreken dat vertrouwelijke informatie, inclusief de opgeslagen data, vertrouwelijk moet worden gehouden. Deze verplichting kan ook worden opgelegd aan werknemers, toeleveranciers en andere eventuele derden. Daarbij kan ook worden afgesproken dat alle vertrouwelijke informatie van de andere partij niet openbaar mag worden gemaakt.

Tip 4. Controle

Het is verstandig (en meestal zelfs verplicht) om te controleren of de gemaakte afspraken ook daadwerkelijk worden nageleefd. Het is aan te raden om daarom af te spreken dat afnemer het recht heeft om terzake onderzoeken te (laten) uitvoeren.

Tip 5. Informatie

In het geval er toch onverhoopt een datalek heeft plaatsgevonden, wil je adequaat en tijdig geïnformeerd worden zodat je kan voldoen aan de wettelijke verplichtingen, zoals de meldplicht datalekken. Het is aan te raden hierover contractuele afspraken te maken. Ook de gevolgen van een datalek (zoals een sanctie, maar ook een verplichting tot herstel of verbetering van de beveiligingsmaatregelen) kunnen in de overeenkomst (vaak: een bewerkersovereenkomst) worden opgenomen.