De Autoriteit Persoonsgegevens besteedt de komende tijd extra aandacht aan het protocol SSLv2, dat als doel heeft beveiligde verbindingen met onder meer websites te maken. Aanleiding voor de verscherpte aandacht is een lek in het protocol SSLv2 dat op 1 maart 2016 bekend is geworden.
Door deze kwetsbaarheid kunnen kwaadwillenden toegang krijgen tot vertrouwelijke inhoud van het netwerkverkeer, aldus de AP. Organisaties kunnen de inhoud van het netwerkverkeer versleutelen met de protocollen SSL of TLS (de opvolger van SSL). AP wijst erop dat het recent ontdekte lek het van groot belang maakt dat organisaties hun configuratie aanpassen.
De ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC (Nationaal Cyber Security Centrum) geven organisaties advies hoe zij met TLS passende maatregelen kunnen nemen. Als organisaties de configuratie niet aanpassen en gebruik maken van configuraties die bekende kwetsbaarheden bevatten, overtreden zij mogelijk artikel 13 van de Wet bescherming persoonsgegevens (Wbp). De eisen die de Wbp stelt aan de beveiliging zijn hoger naarmate de gegevens een gevoeliger karakter hebben (zoals financiële gegevens of medische gegevens in patiëntendossiers), of de context waarin deze worden gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen.
Datalekken moeten niet later dan 72 uur na de ontdekking gemeld worden. Dit staat in de Beleidsregels meldplicht datalekken van de Autoriteit Persoonsgegevens. Als organisaties niet kunnen uit sluiten dat de persoonsgegevens onrechtmatig zijn verwerkt, dan kan de Autoriteit Persoonsgegevens verlangen dat de organisatie de betrokkenen informeert over het datalek.
