Wetten voor het melden van gegevensinbreuken:een zelfverzekerde reactie produceren

Omdat het aantal gemelde datalekken elk jaar gestaag toeneemt, zijn ze zo vaak in het nieuws dat het moeilijk is om ze allemaal recht te houden. In 2017 had Equifax een enorme inbreuk en werden bijna 150 miljoen klantrecords (die bijna de helft van de Amerikaanse bevolking vertegenwoordigen) gestolen. In 2018 kreeg Marriott International te maken met een inbreuk waarbij honderden miljoenen klantgegevens – waaronder persoonlijke informatie, creditcardnummers en zelfs paspoortnummers – werden gecompromitteerd.

Datalekken treffen alle soorten organisaties:groot en klein, populair en weinig bekend. Terwijl de grote bedrijfsinbreuken het nieuws halen, hoor je zelden over kleinere bedrijven die vaak kwetsbaar zijn en in het vizier van cybercriminelen kunnen komen. De meeste hebben betrekking op een vorm van hacking, zoals phishing-aanvallen of malware, waarbij een aanvaller met succes toegang krijgt tot beschermde of privé-informatie.

Wetten voor het melden van datalekken – het is ingewikkeld

Wat gaat u doen als uw productiebedrijf een inbreuk ervaart? Moet u de politie meteen op de hoogte stellen? Klanten informeren? Is er nog iemand op de hoogte? Hoe lang heb je nog?

De antwoorden zijn ingewikkeld. Hoewel er geen uitgebreide federale wetten bestaan, heeft elke staat en elk territorium zijn eigen wet op de melding van gegevensinbreuken. Deze wetten vereisen dat iedereen die een overtreding lijdt of zelfs vermoedt, klanten op de hoogte te stellen van alles wat met persoonlijk identificeerbare informatie te maken heeft. De wetten schrijven ook voor dat de politie op de hoogte moet worden gesteld en dat er specifieke maatregelen moeten worden genomen om de situatie te verhelpen. Maar de staatswetten variëren aanzienlijk als het gaat om de soorten informatie die wordt behandeld, timing van meldingen en rapportagenormen. Wie hieraan moet voldoen en wat zelfs persoonlijke gegevens zijn, verschilt van staat tot staat. Naast de complexiteit veranderen ook de vereisten, waarbij sommige staten onlangs hun wetten hebben bijgewerkt.

Hoeveel tijd heb ik om een ​​datalek te melden?

De meeste wetten inzake gegevensmelding vereisen dat bedrijven klanten zonder onredelijke vertraging op de hoogte stellen. De tijdsduur verschilt per staat en per bedrijfstak. Bij het omgaan met een datalek hebben fabrikanten concurrerende verantwoordelijkheden - jegens hun bedrijf, anderen in de branche, klanten en wetshandhavers. Er zijn zelfs omstandigheden waarin de politie een inbreuk onderzoekt en deze tijdelijk moet worden verborgen.

Bereid u voor op gegevensinbreuken voordat ze plaatsvinden

Behandel plannen voor melding van datalekken zoals elk ander rampenplan - wacht niet! Aangezien er geen enkele, standaard reactie op een datalek is, moeten Amerikaanse fabrikanten de specifieke staats- en federale wetten begrijpen die op hen van toepassing zijn. Fabrikanten moeten rekening houden met de wetten in alle staten waar ze zaken doen.

Gelukkig zijn er verschillende uitstekende bronnen die fabrikanten kunnen raadplegen voor enige duidelijkheid. Verschillende organisaties vatten de wetten op het gebied van datalekken samen, waaronder de National Conference of State Legislatures, IT Governance en Perkins Coie.

Om ervoor te zorgen dat uw productiebedrijf de wetten inzake gegevensbescherming naleeft, moet u op de hoogte blijven van de huidige regelgeving voor uw staat en branche. Een datalek zal altijd een stressvolle gebeurtenis zijn. Als u zich bewust bent van uw verplichtingen en een plan heeft opgesteld, kan dit een deel van de stress verlichten en u helpen hoge boetes te voorkomen. Hier zijn enkele tips:

• Identificeer de staats- en branchewetten die van toepassing zijn op uw bedrijf
• Documenteer de vereisten voor de melding van gegevensinbreuken die van invloed zijn op uw bedrijf, samen met het(de) proces(sen) om in het ergste geval aan die vereisten te voldoen
• Maak een beleid rond de vereisten voor melding van inbreuken die van invloed zijn op uw bedrijf
• Als er overlappende voorschriften zijn, gebruik dan de strengste voor het beleid van uw bedrijf
• Maak van tevoren conceptmeldingsbrieven en e-mails
• Stel een duidelijke communicatiestrategie voor datalekken op en verstuur deze indien nodig van tevoren via de juridische en public relations-afdelingen van uw bedrijf

Het MEP National Network staat klaar om u te helpen

Voor hulp bij het begrijpen van de wetten op het melden van gegevensinbreuken in uw land en andere vragen over cyberbeveiliging, kunt u contact opnemen met een van de 51 MEP-centra, die zich in alle 50 staten en Puerto Rico bevinden, die deel uitmaken van het MEP National Network ^TM .