13.1 Onverwijlde melding (art. 33 lid 2 AVG). Hysio meldt elk Datalek dat namens Verantwoordelijke verwerkte Klantdata betreft onverwijld na ontdekking aan Verantwoordelijke, in elk geval binnen vierentwintig (24) uur na ontdekking dat een Datalek waarschijnlijk is opgetreden, of zoveel eerder als zonder onevenredige inspanning mogelijk. Bij niet-bevestigde signalen die nader onderzoek vergen, informeert Hysio Verantwoordelijke binnen 24 uur over het signaal en het lopende onderzoek, en levert binnen vijf werkdagen een bevestigend of ontkrachtend bericht. Indien een melding niet alle informatie tegelijk kan bevatten, levert Hysio aanvullende informatie in opvolgende deelmeldingen.
13.1a Datalek-keten: sub-verwerker naar Hysio. Hysio verplicht zich contractueel jegens elke sub-verwerker (Google, Groq, Resend, Contabo) dat deze elk datalek-incident dat Klantdata betreft binnen 24 tot 48 uur na ontdekking aan Hysio meldt, zodat de in lid 1 genoemde 24-uurs-keten naar Verantwoordelijke gegarandeerd is. Hysio draagt er zorg voor dat deze meldtermijn bij sub-verwerkers is vastgelegd in de doorlegging-instrumenten van artikel 11 lid 4. Verantwoordelijke kan voor de eigen AP-melding rekenen op de in lid 1 genoemde informatie, zodat de wettelijke 72-uurs-termijn van art. 33 lid 1 AVG haalbaar is.
13.2 Inhoud van de melding (art. 33 lid 3 AVG). De melding bevat ten minste:
- a. de aard van het Datalek, inclusief categorieën en geschatte aantallen betrokkenen en getroffen registraties;
- b. contactgegevens van een Hysio-contactpersoon van wie meer informatie kan worden verkregen;
- c. de waarschijnlijke gevolgen van het Datalek;
- d. de getroffen of voorgestelde maatregelen ter inperking en mitigatie.
13.3 Melding aan AP en betrokkenen. Verantwoordelijke beoordeelt zelfstandig of melding aan de Autoriteit Persoonsgegevens (art. 33 lid 1 AVG, binnen tweeënzeventig uur) en aan betrokkenen (art. 34 AVG, bij hoog risico) verplicht is. Hysio voert deze meldingen niet zelfstandig uit voor verwerkingen waarvoor zij verwerker is.
13.4 Documentatieplicht (art. 33 lid 5 AVG). Hysio houdt een interne datalekregistratie bij, op verzoek beschikbaar voor Verantwoordelijke en de Autoriteit Persoonsgegevens.
13.5 Mitigatie en post-mortem. Hysio treft onmiddellijk redelijke inperkingsmaatregelen en levert op verzoek binnen veertien dagen na afronding een schriftelijke post-mortem met root-cause, maatregelen en preventieve opvolging.
13.6 Wkkgz-meldingen. Indien een Datalek tevens kwalificeert als calamiteit (Wkkgz art. 11), berust de meldplicht aan de IGJ uitsluitend bij Verantwoordelijke. Hysio levert desgevraagd informatie en bijstand binnen de meldtermijn.
13.7 Toegang door overheid of opsporing. Bij vorderingen van bevoegde autoriteiten werkt Hysio uitsluitend mee op basis van een geldig schriftelijk gerechtelijk bevel of dwingende wettelijke verplichting. Hysio informeert Verantwoordelijke onverwijld, tenzij een gag-order dat verbiedt; in dat geval voert Hysio een interne proportionaliteitstoets uit en informeert zodra juridisch mogelijk.
13.8 Kosten-allocatie bij datalekken. Voor Datalekken die bij Hysio of haar sub-verwerkers ontstaan brengt Hysio geen kosten in rekening bij Verantwoordelijke. Dit omvat meldingsondersteuning, post-mortem-rapportage, mitigerende maatregelen en redelijke ondersteuning bij melding aan de AP en, indien aan de orde, aan betrokkenen onder art. 34 AVG. Voor Datalekken die aantoonbaar bij Verantwoordelijke ontstaan (verlies of delen van inloggegevens, onbevoegde toegang aan praktijk-zijde, foutieve handmatige export) kan Hysio redelijke uren in rekening brengen tegen het tarief van artikel 18 lid 5, na voorafgaande tijdsraming bij verzoeken boven twee uur.