Datalekkage-meldingswetten: Een Sterke, Compliance-gerichte Responsstrategie Bouwen

Met het aantal gemelde datalekkages dat elk jaar stijgt, zijn ze zo vaak in het nieuws dat het moeilijk is om ze allemaal bij te houden. In 2017 lijdde Equifax een enorme inbraak, waarbij bijna 150 miljoen klantendossiers (bijna de helft van de Amerikaanse bevolking) gestolen werden. In 2018 ervoerde Marriott International een inbraak waarbij honderden miljoenen klantendossiers – inclusief persoonlijke informatie, creditcardnummers en zelfs paspoortnummers – gecompromitteerd raakten.

Datalekkages raken alle typen organisaties – groot en klein, bekend en onbekend. Terwijl de inbraken bij grote bedrijven het nieuws maken, hoort u zelden over kleinere bedrijven die vaak kwetsbaar zijn en zich in het vizier van cybercriminelen kunnen bevinden. De meeste omvatten een vorm van hacking, zoals phishing-aanvallen of malware, waarbij een aanvaller met succes toegang krijgt tot beschermde of privés informatie.

Datalekkage-meldingswetten – Het is Complex

Als uw productiebedrijf een inbraak ervaart, wat doet u dan? Moet u onmiddellijk de politie waarschuwen? Klanten informeren? Is er nog iemand anders te informeren? Hoeveel tijd heeft u?

De antwoorden zijn gecompliceerd. Hoewel er geen uitgebreide federale wetten bestaan, heeft elke staat en elk gebied zijn eigen wetgeving voor datalekkage-melding. Deze wetten vereisen dat iedereen die een inbraak lijdt, of zelfs maar verdacht, klanten informeert over alles wat betrekking heeft op persoonlijk identificeerbare informatie. De wetten vereisen ook het informeren van de politie en het nemen van specifieke stappen om de situatie te herstellen. Maar de wetten per staat verschillen aanzienlijk wat betreft de typen informatie die gedekt worden, de timing van meldingen en de rapportagestandaarden. Wie moet voldoen en wat persoonlijke data überhaupt uitmaakt, verschilt per staat. Ter verduidelijking: eisen veranderen ook, met sommige staten die hun wetten onlangs hebben bijgewerkt.

Hoeveel Tijd Heb Ik om een Datalekkage te Melden?

De meeste meldingswetten vereisen dat bedrijven klanten zonder onredelijke vertraging informeren. De lengte van de termijn verschilt per staat en industriesector. Bij een datalekkage hebben fabrikanten concurrerende verantwoordelijkheden – tegenover hun bedrijf, anderen in de sector, klanten en de politie. Er zijn zelfs omstandigheden waarbij de politie een inbraak onderzoekt en deze tijdelijk verborgen moet blijven.

Bereid U voor op Datalekkages Voordat Ze Gebeuren

Behandel datalekkage-meldingsplannen zoals elk ander noodgevallenplan – wacht niet! Aangezien er geen enkele, standaardrespons op een datalekkage bestaat, moeten Amerikaanse fabrikanten de specifieke staats- en federale wetten begrijpen die op hen van toepassing zijn. Fabrikanten moeten de wetten in alle staten overwegen waar zij zakendoen.

Gelukkig zijn er diverse uitstekende bronnen waar fabrikanten naar kunnen gaan voor duidelijkheid. Verschillende organisaties vatten de wetten per staat samen, waaronder de National Conference of State Legislatures, IT Governance en Perkins Coie.

Om ervoor te zorgen dat uw productiebedrijf voldoet aan wetten op gegevensbescherming, moet u op de hoogte blijven van de huidige regelgeving voor uw staat en sector. Een datalekkage zal altijd een stressvolle gebeurtenis zijn. Bewustzijn van uw verplichtingen en een plan klaar hebben kan de stress verminderen – en u helpen zware boetes te vermijden. Hier zijn enkele tips:

• Identificeer de staats- en sectorwetten die uw bedrijf dekken
• Documenteer de datalekkage-meldingsvereisten die uw bedrijf beïnvloeden, samen met het proces (of processen) om aan die vereisten te voldoen in een worst-case scenario
• Creëer een beleid rondom de datalekkage-meldingsvereisten die uw bedrijf beïnvloeden
• Als er overlappende regelgeving is, gebruik de meest strenge voor uw bedrijfsbeleid
• Maak concept-meldingsbrieven en e-mails van tevoren klaar
• Creëer een duidelijke communicatiestrategie voor datalekkages en laat deze vooraf door de juridische en PR-afdelingen van uw bedrijf keuren, indien nodig

Het MEP National Network Staat Klaar om U te Help

Voor hulp bij het begrijpen van de datalekkage-meldingswetten van uw staat en andere cybersecurity-vragen, kunt u contact opnemen met een van de 51 MEP-centra, gelegen in alle 50 staten en Puerto Rico, die deel uitmaken van het MEP National Network^TM.