Als het tóch misgaat

Concepts

Het overkwam haar op een doodgewone dinsdagmiddag, en het ging zo snel dat ze het bijna niet merkte. Majorieke had de loonstroken van een hele afdeling klaargezet om door te sturen naar de leidinggevende, en ze typte de naam in het mailprogramma. Er sprong een adres op, ze klikte, ze drukte op verzenden. En toen, een halve tel later, zag ze het. De naam die was opgesprongen was niet de leidinggevende. Het was een andere collega met bijna dezelfde achternaam. De stroken van de hele afdeling, met alle lonen erop, waren net verstuurd naar iemand die ze nooit had mogen zien.

Haar maag draaide om. Ze staarde naar het scherm, naar het woordje "verzonden", en heel even hoopte ze dat ze zich vergiste. Ze vergiste zich niet.

"Willem," zei ze, en haar stem klonk anders dan ze wilde. "Willem, ik denk dat ik iets ergs heb gedaan."

Hij was binnen tien seconden bij haar bureau. Ze legde het uit, struikelend over haar woorden. De stroken. De verkeerde naam. Verzonden. Willem keek naar het scherm, en tot haar verbazing werd hij niet boos. Hij werd kalm. Heel kalm, op de manier waarop mensen kalm worden als er iets echt belangrijks aan de hand is.

"Goed," zei hij. "Adem even. En luister, want dit is precies het moment waarvoor je weet wat je moet doen. Dit heet een datalek. Persoonsgegevens zijn beland bij iemand die ze niet hoort te zien. En er is een regel voor wat je dan doet. Die heet de Meldplicht Datalekken. We gaan hem stap voor stap af."

*De Meldplicht Datalekken.* Ze had de naam nooit eerder gehoord, maar Willem zei hem alsof het een bekend pad was dat hij vaker had gelopen.

"Stap één," zei Willem. "Niet wegstoppen. Niet doen alsof het niet gebeurd is. Dat is het ergste wat je kunt doen, en het is ook precies waar de wet tegen is gemaakt. Vroeger probeerden bedrijven zoiets stil te houden. Nu moet het juist gemeld worden. Dus we melden het, intern, meteen. Wie is hier verantwoordelijk voor de gegevens?"

"Jij, denk ik," zei Majorieke. "Of Nadia. Of allebei."

"We halen Nadia erbij," zei Willem. "En als het nodig is, melden we het hogerop. Want het bedrijf heeft iemand die over dit soort dingen gaat. Maar eerst de schade beperken. Stap twee." Hij wees naar het scherm. "Kunnen we die mail nog terughalen? Sommige systemen kunnen dat, als het maar net is. Probeer het."

Majorieke klikte, zocht, vond de knop. Terughalen. Ze drukte erop, met bonzend hart. Het systeem dacht na. En toen verscheen er een melding: de mail was bij de ontvanger ongelezen teruggehaald. Ze slaakte een lange adem uit.

"Mazzel," zei Willem, maar hij glimlachte niet. "Heel veel mazzel. Maar we doen alsof die mazzel er niet was, want de volgende keer is hij er misschien niet. Stap drie: we leggen vast wat er is gebeurd. Hoe laat, naar wie, wat erin zat, en dat we het hebben teruggehaald. Op papier. Want zelfs een datalek dat goed afloopt, hoort genoteerd te worden. Het bedrijf moet kunnen laten zien dat het er goed mee is omgegaan."

"En als ik hem niet had kunnen terughalen?" vroeg Majorieke, want ze wilde het hele plaatje weten, niet alleen het stuk waar het goed ging.

"Dan was stap drie zwaarder geweest," zei Willem. "Dan hadden we moeten inschatten hoe erg het was. Stroken met lonen erop, dat is gevoelig, dat is een echt lek. Bij een ernstig lek moet het bedrijf het melden bij de toezichthouder, de officiële instantie die over privacy gaat. En soms moet je het zelfs aan de mensen zelf vertellen, aan de werknemers van wie de gegevens zijn gelekt, zodat zij weten dat het is gebeurd. Dat is geen prettige stap, maar het is een eerlijke. Mensen hebben er recht op te weten dat hun gegevens op straat zijn beland."

Majorieke knikte langzaam. Ze begon de logica te zien onder de schrik. "Dus de meldplicht is eigenlijk: verstop het niet, beperk de schade, leg het vast, en bij iets ernstigs meld het bij de toezichthouder en soms bij de mensen zelf."

"Dat is hem, in gewone woorden," zei Willem. "Onthoud het zo. De Meldplicht Datalekken is de regel dat je een lek niet stil mag houden. Je moet er iets mee doen, en bij ernstige lekken moet je het melden. De boetes daarop zijn fors, want de wet wil dat bedrijven het serieus nemen. Maar de boete is niet de reden. De reden is dat het over mensen gaat, over hun privégegevens, en die verdienen dat je het rechtzet als het misgaat."

Ze leunde achterover en voelde de spanning langzaam wegtrekken. Haar handen trilden nog een beetje. "Ik schrok me dood," zei ze.

"Goed," zei Willem rustig. "Dat hoort. Iemand die niet schrikt van zo'n mail, neemt het niet serieus genoeg. Maar laat de schrik je niet verlammen. De schrik zorgt dat je voortaan twee keer naar dat adres kijkt voor je op verzenden drukt. En als het tóch een keer misgaat, en dat gebeurt bij iedereen een keer, dan weet je nu het pad. Niet wegstoppen. Schade beperken. Vastleggen. En bij iets ernstigs: melden."

Hij stond op om Nadia te halen, want ook al was de mail teruggehaald, ze zouden het netjes vastleggen, precies zoals het hoorde. Majorieke keek nog een keer naar haar scherm, naar de mail die nu veilig terug was, en ze nam zich voor om voortaan altijd, altijd dat adres te controleren. Eén verkeerde naam. Zo dichtbij was het geweest.

> EXAMTIP: Een datalek is het belanden van persoonsgegevens bij iemand die ze niet mag zien (of het kwijtraken ervan). De Meldplicht Datalekken verplicht een bedrijf om een lek niet stil te houden: beperk de schade, leg vast wat er gebeurde, en meld een ernstig lek bij de toezichthouder en zo nodig bij de betrokken personen zelf. Op het niet-melden staan forse boetes.