GDPR - is dit wel of geen datalek

[LankHoar]

Zojuist kreeg ik een promotie e-mail van een zakelijke partner. Los van dat ik nooit toestemming heb gegeven om marketing mails te ontvangen, en enkel een korte mailwisseling heb gehad over het eventueel afnemen van hun service waarna besloten is dit niet te doen, valt me op dat ze hun hele (potentiële) klantenbestand in het "To" field hebben gezet. Dit betekent dat ik nu van 100en mensen hun e-mail adres hebben, zij het mijne, en we van elkaar weten dat we klant waren/zijn of interesse daartoe hadden (staat letterlijk zo genoemd in de e-mail).

Ongepast is het zeker, maar is dit wel of geen datalek, denkende aan de GDPR? Het is mij een beetje onduidelijk. Alvast bedankt!

[Mike78]

Ja volgen mij wel. Zie bijvoorbeeld : https://www.timdehoog.nl/...-e-mail-via-het-bcc-veld/

[Verwijderd]

Yup:

Bij een datalek gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens bij een organisatie. Of om vernietiging, verlies, wijziging of vrijkomen van persoonsgegevens.

Bron: https://autoriteitpersoon...-een-datalek-precies-5916

[eric.1]

Indien die e-mail adressen herleidbaar zijn naar een persoon, dan lijkt het me wel (ala [e-mail]).

Maar wanneer het allemaal info@bedrijf . nl adressen zijn dan lijkt me dit niet direct een datalek - aangezien dat geen persoonsgegeven hoeft te zijn.

[F_J_K]

Ja. Wel kan je afvragen of men er iets mee moet doen (anders dan intern zorgen dat het niet vaker gebeurt).

eric.1 schreef op dinsdag 11 december 2018 @ 14:32:
Indien die e-mail adressen herleidbaar zijn naar een persoon, dan lijkt het me wel (ala [e-mail]).

Maar wanneer het allemaal info@bedrijf . nl adressen zijn dan lijkt me dit niet direct een datalek - aangezien dat geen persoonsgegeven hoeft te zijn.

nadruk op hoeft. info@zzp'er of directie@kleinbedrijf ook. Maar de kans is klein dat het alleen info@ is, men probeert als het even kan persoonlijke adressen te gebruiken.

[LankHoar]

Het zijn nagenoeg allemaal naam.voornaam@bedrijf adressen, of variaties daarop. Zeker herleidbaar naar bedrijf en persoon. Bovendien heb ik nooit mijn consent gegeven voor marketing (geeft ook geen professionele indruk van het bedrijf dit overigens).

@F_J_K wat ze er mee moeten doen? Elk datalek moet dan toch bij de betreffende autoriteit gemeld worden, op straffe van een boete? Lijkt me dan nu ook op zijn plaats. En hun personeel beter opleiden om 1. Marketing consent te vragen en 2. Uit te leggen wat BCC is

[Mx. Alba]

Ja, dit is een datalek. En dat moet dus binnen 72 uur gemeld worden bij de autoriteiten. Zo niet dan zijn ze nogmaals in overtreding.

[F_J_K]

Nee hoor niet elk datalek hoeft te worden gemeld. Dat hangt af van de potentiele impact voor de betrokkenen. Bij zoiets zal die laag zijn.

Deze casus is expliciet als voorbeeld opgenomen in de richtsnoeren: https://autoriteitpersoon...meldplicht_datalekken.pdf blz 39. Waar natuurlijk geen zwart-wit antwoord staat, dat hangt af van de details.


Edit: en inderdaad zeker personeel nog eens wijzen op de BCC-knop. (Of het technisch afvangen als het vaker gebeurt). En ze moeten zelf wel goed bijhouden waarom het lek wel/niet is gemeld.

[ Voor 19% gewijzigd door F_J_K op 11-12-2018 15:15 ]

[NiGeLaToR]

Een reply-all met 'dank voor het klantenbestand' volstaat dan toch wel?

Maargoed, ene kant: mensenwerk maakt dat er foutjes gemaakt worden, andere kant, het is ook wel een keer klaar met de To:-foutjes en pauzeloos gebruik van e-mailadressen die je toevallig hebt verkregen.

[Wim-Bart]

F_J_K schreef op dinsdag 11 december 2018 @ 15:13:
Nee hoor niet elk datalek hoeft te worden gemeld. Dat hangt af van de potentiele impact voor de betrokkenen. Bij zoiets zal die laag zijn.

Deze casus is expliciet als voorbeeld opgenomen in de richtsnoeren: https://autoriteitpersoon...meldplicht_datalekken.pdf blz 39. Waar natuurlijk geen zwart-wit antwoord staat, dat hangt af van de details.


Edit: en inderdaad zeker personeel nog eens wijzen op de BCC-knop. (Of het technisch afvangen als het vaker gebeurt). En ze moeten zelf wel goed bijhouden waarom het lek wel/niet is gemeld.

Ik vind het helemaal niet laag in impact. Hier worden gewoon e-mail gegevens van personen gedeeld met anderen zonder dat er enige controle is op de verwerking. Er hoeft maar 1 totte appel tussen te zitten en het adres wordt zonder overleg verder verwerkt.

[Mx. Alba]

Wim-Bart schreef op dinsdag 11 december 2018 @ 15:31:
[...]

Ik vind het helemaal niet laag in impact. Hier worden gewoon e-mail gegevens van personen gedeeld met anderen zonder dat er enige controle is op de verwerking. Er hoeft maar 1 totte appel tussen te zitten en het adres wordt zonder overleg verder verwerkt.

Ligt er natuurlijk ook aan of het tien adressen of tienduizend zijn...

[Wim-Bart]

Mx. Alba schreef op dinsdag 11 december 2018 @ 15:45:
[...]


Ligt er natuurlijk ook aan of het tien adressen of tienduizend zijn...

Is dat de nuance? Wanneer mijn e-mail er tussen zou zitten maakt het totaal niet uit of er 9 of 9999 anderen er last van hebben. E-Mail adressen zijn heilige items, die verstrek je niet zo maar, zeker zakelijke niet. De implicaties van het veranderen van een e-mail adres omdat deze op straat ligt kunnen heel erg groot zijn. Zeker nu e-mail adressen veelal gebruikt worden bij authenticatie.

[Freee!!]

Gewoon even melden bij de betreffende authoriteiten, hangt dat bedrijf gelijk als ze het niet vlot genoeg zelf melden.

[F_J_K]

Wim-Bart schreef op dinsdag 11 december 2018 @ 15:52:
[...]
Is dat de nuance?

Dat, het soort nieuwsbrief (kantoorartikelen, HIV-remmers of bijbels: het onderwerp kan het bijzondere PG maken), etc. 1 mail kan te veel zijn om niet te melden, maar bij 100 hoeft er IMHO geen noodzaak te zijn om te melden aan de AP.

Wanneer mijn e-mail er tussen zou zitten maakt het totaal niet uit of er 9 of 9999 anderen er last van hebben. E-Mail adressen zijn heilige items, die verstrek je niet zo maar, zeker zakelijke niet. De implicaties van het veranderen van een e-mail adres omdat deze op straat ligt kunnen heel erg groot zijn. Zeker nu e-mail adressen veelal gebruikt worden bij authenticatie.

Dat zijn wet en autoriteit niet per se met je eens. Zie de link die ik gaf, het is geen absolutisme. Mailadres, zeker een werkadres, zie ik minder 'spannend' als pak-em-beet een verloren kopie van je medisch dossier.

Ik zou het ook jammer vinden als de AP geen tijd heeft om achter de grote boeven aan te gaan omdat alle tijd op gaat aan hele simpele gevallen.

offtopic:
Als het eng is als men je mailadres kent, dan wil je een ander mailadres gebruiken voor die authenticatie. Dat je adres gaat rondslingeren is haast een zekerheid.

Maar nogmaals: ongeacht of het lek moet worden gemeld, moet de verwerkingsverantwoordelijke het lek etc. netjes documenteren.

[Killjoy]

Wim-Bart schreef op dinsdag 11 december 2018 @ 15:31:
[...]

Ik vind het helemaal niet laag in impact. Hier worden gewoon e-mail gegevens van personen gedeeld met anderen zonder dat er enige controle is op de verwerking. Er hoeft maar 1 totte appel tussen te zitten en het adres wordt zonder overleg verder verwerkt.

Is het een datalek?
Jazeker. Het betreft persoonsgegevens die toegankelijk zijn geworden voor daartoe niet bevoegde personen. Dan is er altijd sprake van een datalek.

Is het een meldingsplichtig datalek?
Een datalek is niet meldingsplichtig wanneer je redelijkerwijs uit kan sluiten dat het lek ernstige nadelige gevolgen heeft voor de betrokkene.

In mijn optiek kun je dat niet uitsluiten. Zakelijke emailadressen zijn vaak ook gebruikersnaam voor bedrijfsapplicaties. En de adressen zijn prima te gebruiken voor spam, phishing of voor identiteitsfraude.

Er is dus sprake van een meldingsplichtig datalek. De verzender van de emails moet binnen 72 uur na constateren een melding doen bij de Autoriteit Persoonsgegevens en de betrokkenen.

[Freee!!]

Killjoy schreef op dinsdag 11 december 2018 @ 16:19:
[...]
De verzender van de emails moet binnen 72 uur na constateren een melding doen bij de Autoriteit Persoonsgegevens en de betrokkenen.

En hoe gaat de verzender dit zelf constateren

[LankHoar]

Freee!! schreef op dinsdag 11 december 2018 @ 16:41:
[...]

En hoe gaat de verzender dit zelf constateren

Ik heb ze al gemaild en kort op de GDPR gewezen. Ben benieuwd of ik een reactie krijg. Helaas (nja, helaas?) heb ik vanaf vrijdag vakantie, maar zal in januari zeker kijken of ze er iets mee gedaan hebben.

Houd er sowieso niet van om ongewenst reclame te krijgen, helemaal de wijze waarop. Vind het erg ongepast voor een bedrijf.

[Dynazap]

Zakelijke relaties mag je altijd mailen mits je een factuurrelatie hebt met die klant. Of het gewenst / netjes is valt te betwijfelen :-).

[unezra]

@LankHoar Hoe dan ook is het aan *hun* security officer dit te behandelen. Het enige dat jij volgens mij kunt doen, is hen op de hoogte stellen van en vragen of ze dit via hun eigen interne security officer willen oppakken.

[GlowMouse]

LankHoar schreef op dinsdag 11 december 2018 @ 14:17:
Zojuist kreeg ik een promotie e-mail van een zakelijke partner. Los van dat ik nooit toestemming heb gegeven om marketing mails te ontvangen, en enkel een korte mailwisseling heb gehad over het eventueel afnemen van hun service waarna besloten is dit niet te doen, valt me op dat ze hun hele (potentiële) klantenbestand in het "To" field hebben gezet.

http://www.ejure.nl/2011/05/zakelijke-spam/

Een ieder die elektronische contactgegevens voor elektronische berichten heeft verkregen in het kader van de verkoop van zijn product of dienst mag deze gegevens gebruiken voor het overbrengen van communicatie voor commerciële, ideële of charitatieve doeleinden met betrekking tot eigen gelijksoortige producten of diensten, mits bij de verkrijging van de contactgegevens aan de klant duidelijk en uitdrukkelijk de gelegenheid is geboden om kosteloos en op gemakkelijke wijze verzet aan te tekenen tegen het gebruik van die elektronische contactgegevens, en, indien de klant hiervan geen gebruik heeft gemaakt, hem bij elke overgebrachte communicatie de mogelijkheid wordt geboden om onder dezelfde voorwaarden verzet aan te tekenen tegen het verder gebruik van zijn elektronische contactgegevens. Artikel 12, derde lid, van de Algemene verordening gegevensbescherming is van overeenkomstige toepassing.

Als niet aan deze eisen is voldaan: https://www.acm.nl/nl/spamklacht

[Killjoy]

Freee!! schreef op dinsdag 11 december 2018 @ 16:41:
[...]

En hoe gaat de verzender dit zelf constateren

Doordat iemand, zoals TS dat heeft gedaan, hen erop wijst. Vandaar dat de Autoriteit Persoonsgegevens na een klacht bij hen ingediende klacht altijd zal vragen of je al contact hebt gehad met de betreffende partij.

Er zit namelijk een rare vertaling in de AVG. Waar gesproken wordt over een klacht bij de toezichthouder, wordt bedoeld het doen van een handhavingsverzoek.