Wat de evenementenbranche moet weten over datalekken
Een datalek. Niemand die er ’s nachts wakker van wil liggen, maar de praktijk is duidelijk: ook de eventbranche ontkomt er niet aan. Van seizoenkaarthouders tot festivalbezoekers, gegevens gaan continu over tafel bij jouw events en dus ook het risico dat het misgaat. Jan de Wrede legt uit wat een datalek precies is, wat je moet doen als het toch gebeurt en (nog belangrijker) hoe je het voorkomt.
Persoonsgegevens verzamelen hoort tegenwoordig gewoon bij het organiseren van een event, van de inschrijving tot de badge bij de entree. Maar met die gegevens komt ook verantwoordelijkheid: je bent er wettelijk voor verantwoordelijk dat ze veilig blijven. Hieronder lees je waar je op moet letten, wat de regels zijn en hoe je een lek in de praktijk het beste aanpakt.
© AI-generated
Wat is een datalek eigenlijk?
Onder de AVG (de Algemene Verordening Gegevensbescherming, je kent ‘m wel) heet een datalek officieel een “inbreuk in verband met persoonsgegevens”. In mensentaal: een beveiligingsincident waarbij persoonsgegevens per ongeluk of onrechtmatig verloren gaan, gewijzigd worden, of in verkeerde handen vallen.
Een datalek is dus lang niet altijd een spannende hack. Ook die ene e-mail naar het verkeerde adres, of dat onbeveiligde Excelletje met deelnemersgegevens, telt gewoon mee. En juist bij events is het risico groot. Denk aan alle namen, e-mailadressen, betaalgegevens en soms zelfs locatie- of toegangsgegevens die je verzamelt voor jouw evenement. Een goudmijn aan data en dus ook een aantrekkelijk doelwit.
Twee recente voorbeelden om even bij stil te staan:
Bij Ajax kregen onbevoegden toegang tot delen van de systemen, waarbij e-mailadressen van seizoenkaarthouders en gegevens van mensen met een stadionverbod zichtbaar werden. Sommige gegevens konden zelfs worden aangepast. Ajax trok direct aan de bel: onderzoek gestart, betrokkenen geïnformeerd, melding gedaan bij de Autoriteit Persoonsgegevens.
Ook Festival Op de Ring belandde in het nieuws, nadat e-mailadressen van bezoekers zichtbaar werden doordat iedereen in de CC stond in plaats van de BCC. Een menselijke misser, maar juridisch gezien maakt dat geen verschil: een lek is een lek.
© AI-generated
Wat moet je doen als het toch misgaat?
Zodra je een (mogelijk) datalek ontdekt, is de eerste stap: de schade beperken. Toegang intrekken, wachtwoorden wijzigen, de boel dichttimmeren. Tegelijkertijd ga je uitzoeken wat er precies is gebeurd: welke gegevens zijn geraakt, hoeveel mensen zijn erbij betrokken en hoe kon dit gebeuren?
Daarna bepaal je hoe groot het risico eigenlijk is, aan de hand van drie vragen:
- Wat voor gegevens? E-mailadressen zijn wat anders dan kopieën van ID-bewijzen.
- Hoe groot is de schade? Gaat het om een handjevol mensen, of om je hele bezoekersbestand?
- Hoe goed was het beveiligd? Encryptie en andere maatregelen maken nogal een verschil.
Ook de kans op misbruik — denk phishing, identiteitsfraude, reputatieschade — telt mee in die afweging.
Levert dat een risico op voor de betrokkenen? Dan heb je 72 uur om melding te doen bij de Autoriteit Persoonsgegevens. Dat kan online via hun website. Is het risico hoog, dan moet je ook de betrokken personen zelf inlichten. Twijfel je? Leg dan vast welke afwegingen je hebt gemaakt en waarom — die documentatie kan later van belang zijn.
Tip: werk met een datalekprotocol. Daarin staat wie de beoordeling doet, wie beslist over de melding en wie de communicatie regelt. Zo kun je snel handelen op het moment dat het nodig is.
En let op: ook als je géén melding hoeft te doen, ben je verplicht om het lek te documenteren. Een simpel Excelletje volstaat — vastleggen wat er gebeurd is, welke maatregelen je hebt genomen en waarom je een bepaald risico wel of niet hebt aangenomen.
Vijf tips om een datalek te voorkomen
Voorkomen is beter dan genezen. Regel daarom deze vijf dingen goed intern:
- Minimaliseer data aan de voorkant. Wat je niet verzamelt, kun je ook niet kwijtraken. Houd inschrijfformulieren en apps beperkt en laat overbodige open velden achterwege (privacy by design).
- Regel je toegangscontrole. Werk met rolgebaseerde toegang en voorkom brede exports of openbare deelnemerslijsten.
- Beperk menselijke fouten. Blokkeer waar kan de CC-functie en bouw waarschuwingen in bij het delen van bestanden of links via e-mail.
- Check je leveranciers. Hoe gaan paymentproviders en andere partners om met data? Vraag naar certificeringen zoals ISO 27001 en ga na of ze (buitenlandse) subverwerkers inzetten. Sluit een verwerkersovereenkomst als een leverancier puur op jullie instructie persoonsgegevens verwerkt.
- Zorg dat je organisatie weet wat er moet gebeuren. Een datalekprotocol helpt je snel inschatten of je moet melden, en zorgt dat dit tijdig gebeurt.
Een datalek overkomt ook goede organisatoren. Het verschil zit ‘m in hoe goed je erop voorbereid bent.