Digitale beveiligingsnormen onder de AVG
Op 1 september 2021 kreeg een hacker toegang tot een web- en databaseserver van de Hogeschool van Arnhem en Nijmegen (HAN). De server bevatte duizenden persoonsgegevens, waaronder NAW-gegevens, pasfoto’s, medische informatie, wachtwoorden, Burgerservicenummers (BSN) en documentnummers van legitimatiebewijzen. De hacker eiste losgeld, maar de HAN weigerde te betalen. Het incident leidde tot een grootschalig datalek en vormde aanleiding voor onderzoek door de Autoriteit Persoonsgegevens.
Beoordeling door de toezichthouder
De toezichthouder richtte haar onderzoek niet alleen op het datalek zelf, maar vooral op de vraag of de persoonsgegevens bij de HAN adequaat waren beveiligd. Zij stelde vast dat de organisatie niet voldeed aan de wettelijke eisen voor gegevensbeveiliging onder de Algemene verordening gegevensbescherming (AVG). Zo waren bekende risico’s, zoals SQL-injectie, onvoldoende beheerst. Ook ontbrak effectieve logging en monitoring, waardoor eerdere inbraakpogingen onopgemerkt bleven. Daarnaast waren de toegangsrechten te breed, bleven oude applicaties persoonsgegevens bevatten en waren duizenden wachtwoorden onveilig opgeslagen.
Deze casus laat zien hoe bekende kwetsbaarheden, in combinatie met onvoldoende preventie, kunnen leiden tot een forse boete en reputatieschade. Toezichthouders kijken niet alleen naar beleid, maar vooral naar concrete implementatie, controle en structurele risicobeheersing. Dit is een belangrijke les voor elke organisatie die met persoonsgegevens werkt.
Waarom herstel na een datalek niet volstaat
Hoewel de HAN snel ingreep door middel van met technische upgrades, strengere toegangscontrole en een versterkt informatiebeveiligingsbeleid vond de toezichthouder dat de preventieve maatregelen ontoereikend waren. De boete maakt duidelijk dat herstel achteraf niet opweegt tegen structurele gebreken in gegevensbeveiliging.
Wat verwacht de Autoriteit Persoonsgegevens van organisaties?
De uitspraak laat zien dat digitale beveiliging verder gaat dan techniek. Toezichthouders verwachten een integrale aanpak, met blijvende aandacht voor:
- actuele risicobeoordelingen;
- zorgvuldig toegangsbeheer;
- veilige opslag van persoonsgegevens;
- monitoring van systemen;
- tijdig opschonen van verouderde toepassingen.
Een goed AVG-beleid vraagt om meer dan intenties. Het vereist structurele implementatie en blijvende investering. De Autoriteit Persoonsgegevens benadrukt bovendien dat snelle en transparante maatregelen na een incident essentieel zijn om de schade voor betrokkenen te beperken. Het besluit in de HAN-zaak is een duidelijke waarschuwing: digitale veiligheid vraagt om voortdurende aandacht, onderhoud en verantwoordelijkheid.
Meer weten over gegevensbeveiliging of de AVG?
Wilt u meer weten over gegevensbeveiliging, datalekken of de eisen van de AVG? Neem dan contact op met onze advocaten gespecialiseerd in privacyrecht. Zij denken graag met u mee over risico’s, verantwoordelijkheden en passende maatregelen.
