De Autoriteit Persoonsgegevens (AP) deelt in dit bericht mee dat organisaties slachtoffers van datalekken onvoldoende informeren:

Mensen die slachtoffer zijn van een datalek, krijgen vaak onvoldoende informatie van de organisatie die het datalek heeft. Daardoor raken slachtoffers onvoldoende doordrongen van het risico op misbruik van hun persoonsgegevens. En weten zij niet goed wat zij zelf kunnen doen om de risico’s op bijvoorbeeld online oplichting te verkleinen.

Het is belangrijk dat benadeelden goed en snel geïnformeerd worden:

‘Een snel, informatief waarschuwingsbericht helpt jou om je te wapenen’, verklaart AP-voorzitter Aleid Wolfsen. ‘Welke gegevens van jou zijn gestolen? Wanneer? Wat kan je hier eventueel nog tegen doen? Datacriminelen worden steeds brutaler in het oplichten en afpersen van mensen. Dus worden waarschuwingsberichten na datalekken steeds belangrijker.’

Daarom geeft de AP tips, zoals concrete voorbeeldteksten voor waarschuwingsberichten over datalekken.

Onderzoek
Verder wordt verslag gedaan naar het onderzoek dat de AP heeft gedaan, lees ook de rapportage (pdf). De samenvatting van de bevindingen luidt:

• Organisaties zijn vaak veel te traag met hun waarschuwingsberichten. Gemiddeld versturen ze die pas ruim 3 weken nadat zij een datalek hebben ontdekt – terwijl snelheid juist is geboden.
• In bijna de helft van de berichten staat niet duidelijk wat er is gebeurd en welke gegevens er zijn gelekt. Meer dan de helft van alle berichten zijn bovendien niet helder genoeg geschreven.
• In waarschuwende e-mails ontbreekt het soms aan een alarmerende titel of introductie. Met als risico dat de ontvanger het bericht zelfs helemaal niet leest.