:strip_icc():strip_exif()/u/173180/3697fb3e878f8f713acdb25693075896.jpeg?f=community)
Op dit moment in een wat bizarre situatie m.b.t. een datalek bij een klant van mij.
Ik doe voor een MKB bedrijf ondersteunende werkzaamheden aan de IT kant. Bij dit bedrijf kwam van een SaaS leverancier de melding dat er sprake was van een "beveiligingsincident dat mogelijk gastboekingsgegevens raakt" .
Na het doornemen van de mail was het wel duidelijk dat er 1 master database voor alle klanten was die via internet toegankelijk was geweest en waarbij onversleutelde data direct of indirect zonder in te loggen benaderbaar was. We moesten er vanuit gaan dat onze data binnen scope was. Een datalek dus.
Aangezien deze partij de verwerker is moet mijn klant dus binnen 72 uur melding maken bij de Autoriteit Persoonsgegevens. Aangezien de leverancier dit zelf al zegt gedaan te hebben
De Nederlandse Autoriteit Persoonsgegevens (Dutch Data Protection Authority) onverwijld geïnformeerd over dit incident, inclusief een duidelijke specificatie van de regio's en rechtsgebieden waar getroffen klanten en gerelateerde gastboekingsgegevens zich kunnen bevinden
zou je zeggen dat een simpele ticket wel de benodigde info hiervoor boven water kan toveren. Helaas blijkt dat onmogelijk te zijn.
De leverancier is ruim een jaar of wat geleden overgestapt naar een AI strategie lijkt het. Helpdesknummers en e-mails zijn opgeheven en er is een AI chatbot voor in de plaats gekomen die alle communicatie afgehandeld. Wanneer deze er niet uitkomt wordt er automatisch een ticket aangemaakt die door een "medewerker" wordt behandeld. Sinds ongeveer een jaar of wat is dit ook niet meer dan iemand die in een servicecenter in een ander land zit en die het door een andere AI gooit en vervolgens dit als antwoord verstuurd. Dat dit antwoord 9 van de 10 keer geen antwoord is, is onmogelijk binnen de leverancier duidelijk te maken. Tot nu toe is dit enorm lastig en vervelend geweest, maar er is tot nu toe geen wettelijk dwingende reden geweest om hier een echt punt van te maken. Tot nu toe.
Op dit moment heb ik 12 tickets gestuurd met de melding dat het spoed betreft, dat er een schriftelijke reactie moet komen op een 6 tal vragen die ik nodig heb om de AP afdoende te informeren. Een bizarre collectie aan reacties is er geweest, maar rode draad in het geheel is dat men alleen telefonisch wil reageren en niet schriftelijk. Voor mij is dit onacceptabel omdat ik ook een stukje bewijslast wil vastleggen in het geval van vervolgschade. Evengoed is het onmogelijk een onderbouwde reactie te krijgen.
Ik heb daarom melding gemaakt bij AP zonder alle informatie en aangegeven dat ik deze binnen 4 weken zal aanleveren. Inmiddels zijn we al 7 dagen verder, maar tot op heden heb ik nog niets ontvangen van de leverancier wat ergens op lijkt en vrees ik ook dat dit niet gaat komen.
Hoe kan ik deze partij dwingen om binnen 3 weken schriftelijk te reageren op ons verzoek? Op dit moment kom ik niet veel verder dan een advocaat te benaderen om die een aangetekende brief op te laten stellen en hen in gebreke te stellen. Zijn er nog andere tips? Een directieklacht zou kunnen, maar er is geen SLA en er is ook geen wettelijke reactie termijn daarvoor. Ik heb nog nooit zoiets meegemaakt maar ben ook een beetje door mijn opties heen.
Ik doe voor een MKB bedrijf ondersteunende werkzaamheden aan de IT kant. Bij dit bedrijf kwam van een SaaS leverancier de melding dat er sprake was van een "beveiligingsincident dat mogelijk gastboekingsgegevens raakt" .
Na het doornemen van de mail was het wel duidelijk dat er 1 master database voor alle klanten was die via internet toegankelijk was geweest en waarbij onversleutelde data direct of indirect zonder in te loggen benaderbaar was. We moesten er vanuit gaan dat onze data binnen scope was. Een datalek dus.
Aangezien deze partij de verwerker is moet mijn klant dus binnen 72 uur melding maken bij de Autoriteit Persoonsgegevens. Aangezien de leverancier dit zelf al zegt gedaan te hebben
De Nederlandse Autoriteit Persoonsgegevens (Dutch Data Protection Authority) onverwijld geïnformeerd over dit incident, inclusief een duidelijke specificatie van de regio's en rechtsgebieden waar getroffen klanten en gerelateerde gastboekingsgegevens zich kunnen bevinden
zou je zeggen dat een simpele ticket wel de benodigde info hiervoor boven water kan toveren. Helaas blijkt dat onmogelijk te zijn.
De leverancier is ruim een jaar of wat geleden overgestapt naar een AI strategie lijkt het. Helpdesknummers en e-mails zijn opgeheven en er is een AI chatbot voor in de plaats gekomen die alle communicatie afgehandeld. Wanneer deze er niet uitkomt wordt er automatisch een ticket aangemaakt die door een "medewerker" wordt behandeld. Sinds ongeveer een jaar of wat is dit ook niet meer dan iemand die in een servicecenter in een ander land zit en die het door een andere AI gooit en vervolgens dit als antwoord verstuurd. Dat dit antwoord 9 van de 10 keer geen antwoord is, is onmogelijk binnen de leverancier duidelijk te maken. Tot nu toe is dit enorm lastig en vervelend geweest, maar er is tot nu toe geen wettelijk dwingende reden geweest om hier een echt punt van te maken. Tot nu toe.
Op dit moment heb ik 12 tickets gestuurd met de melding dat het spoed betreft, dat er een schriftelijke reactie moet komen op een 6 tal vragen die ik nodig heb om de AP afdoende te informeren. Een bizarre collectie aan reacties is er geweest, maar rode draad in het geheel is dat men alleen telefonisch wil reageren en niet schriftelijk. Voor mij is dit onacceptabel omdat ik ook een stukje bewijslast wil vastleggen in het geval van vervolgschade. Evengoed is het onmogelijk een onderbouwde reactie te krijgen.
Ik heb daarom melding gemaakt bij AP zonder alle informatie en aangegeven dat ik deze binnen 4 weken zal aanleveren. Inmiddels zijn we al 7 dagen verder, maar tot op heden heb ik nog niets ontvangen van de leverancier wat ergens op lijkt en vrees ik ook dat dit niet gaat komen.
Hoe kan ik deze partij dwingen om binnen 3 weken schriftelijk te reageren op ons verzoek? Op dit moment kom ik niet veel verder dan een advocaat te benaderen om die een aangetekende brief op te laten stellen en hen in gebreke te stellen. Zijn er nog andere tips? Een directieklacht zou kunnen, maar er is geen SLA en er is ook geen wettelijke reactie termijn daarvoor. Ik heb nog nooit zoiets meegemaakt maar ben ook een beetje door mijn opties heen.
:strip_icc():strip_exif()/u/403106/3868954827-1_60x60.jpg?f=community)