AllUnited verlengt toestemmingsdeadline voor AP-melding

AllUnited verlengt de toestemmingsdeadline voor zijn gezamenlijke melding bij de Autoriteit Persoonsgegevens tot maandag 16 november om 07.00 uur, meldt het bedrijf op zijn incidentpagina.

Organisaties die nog geen akkoord gaven, moeten vóór die grens bepalen of een bevoegd bestuurslid AllUnited machtigt om namens hen te melden. In het formulier staat ook de aparte keuze om leden, oud-leden en andere relaties door AllUnited te laten informeren. De leverancier zegt de definitieve melding maandag in te dienen, terwijl de deelnemende organisatie juridisch verantwoordelijk blijft.

De toestemmingsroute liep al vertraging op

AllUnited bood woensdagavond 11 november aan om met toestemming van verenigingen, bonden en communities één melding bij de AP te doen. De eerste aanmelddeadline was vrijdagochtend 13 november om 10.00 uur. Wie de melding liever zelf deed, kreeg volgens de toenmalige instructie tot vrijdag 19.15 uur.

Donderdag was het toestemmingsformulier tijdelijk niet bereikbaar. AllUnited schreef dat Microsoft een toegevoegd veld niet had geaccepteerd; het formulier werkte ruim twintig minuten later weer. Op vrijdag liepen bevestigingsmails vertraging op door een wereldwijde Microsoft-storing die sinds donderdagavond duurde. AllUnited meldde vrijdagochtend dat aanmeldingen wel binnenkwamen en vroeg organisaties het formulier niet opnieuw in te vullen. De storing was volgens het bedrijf om 14.15 uur opgelost en de achtergebleven bevestigingen werden alsnog verstuurd.

Vrijdag om 10.50 uur meldde AllUnited dat de aanmeldtermijn na overleg met de AP was verlengd. In de update van 19.25 uur maakte het bedrijf de grens concreter: organisaties die vóór 19.00 uur hun bevestigingsmail hadden goedgekeurd, gaan mee in de melding. Wie toen nog geen akkoord had gegeven, kan dat gedurende het weekend alsnog doen, tot maandag 07.00 uur. AllUnited zegt de definitieve melding maandag met alle informatie in te dienen en plaatst die dag een nieuwe update. De FAQ onderaan dezelfde pagina noemt nog de oude deadline van vrijdag 13 november om 10.00 uur; de tijdlijnupdates bovenaan zijn later en noemen maandag 07.00 uur.

Een gemachtigde kan indienen, de organisatie blijft verantwoordelijk

De AP staat toe dat een verwerker namens klanten een datalek meldt als beide partijen dat schriftelijk vastleggen. Voor iedere klant moet de verwerker de machtiging kunnen aantonen. Wil een leverancier één melding namens veel klanten doen, dan moet die daarover vooraf contact opnemen met de AP. AllUnited zegt met de toezichthouder over de gezamenlijke route te hebben overlegd.

De AP beschrijft de voorwaarden voor een verwerker die één melding voor veel klanten wil doen. Een bevoegd bestuurslid vult het formulier in en legt vast dat de leverancier namens de organisatie mag optreden. Daarom vraagt AllUnited ook na de verlenging om een bevestiging van het akkoord.

De wettelijke meldplicht blijft bij de verwerkingsverantwoordelijke, ook wanneer de verwerker de melding verstuurt. De AP schrijft voor dat een meldplichtig datalek binnen 72 uur na kennisname wordt gemeld. AllUnited zegt dat het met de AP afspraken heeft gemaakt over deze gezamenlijke melding. De update noemt maandag 07.00 uur als uiterste tijd voor toestemming voor die route. Er staat niet dat de wettelijke termijn voor elke organisatie die zelf meldt daarmee automatisch verandert.

De melding en het ledenbericht zijn twee keuzes

Het formulier vraagt afzonderlijk of AllUnited de betrokkenen namens de organisatie mag informeren. Het bedrijf zegt die berichten dit weekend te versturen, maar alleen wanneer het akkoord van de organisatie binnen is. De toestemming om een AP-melding te doen betekent dus niet vanzelf dat AllUnited ook de ledenmail verstuurt.

De AP vraagt organisaties bij een hoog risico mensen zo snel mogelijk en duidelijk te informeren. Zo’n waarschuwing moet onder meer uitleggen wat er gebeurde, welke gegevens zijn geraakt, wat mensen kunnen verwachten en wat zij kunnen doen. De AllUnited-pagina zegt dat de organisatie juridisch verantwoordelijk blijft; de keuze om de leverancier een bericht te laten sturen verandert die rol niet.

Rugby Nederland meldde op 11 november dat het de AP zelf had geïnformeerd over het incident en clubs had ingelicht over vervolgstappen. Dat is een voorbeeld van een organisatie die al een eigen melding deed voordat AllUnited vrijdag de verlengde toestemmingsroute aankondigde. De AllUnited-gebruikers moeten daarom nagaan of hun eigen melding al is gedaan of dat zij de machtiging voor de gezamenlijke route nog willen afgeven.

Het aantal deelnemers is nog niet bekend

Een bericht van de Meppeler Courant meldde vrijdag dat ongeveer 350 sportclubs al een melding bij de AP hadden gedaan. Dat is een telling van meldingen, niet van het aantal organisaties dat AllUnited toestemming heeft gegeven of van het aantal bevestigde getroffen clubs. AllUnited zei donderdag dat al honderden organisaties akkoord waren, maar noemt in de vrijdagavondupdate geen actueel aantal deelnemers aan de gezamenlijke melding.

Op 9 november kopieerde een aanvaller ledengegevens uit AllUnited; de fout werd een dag later gedicht. De clubmeldingen tonen waarom de ledenmail per organisatie verschilt: PAC en V.O.C. noemden onder meer IBAN- en accountgegevens en tijdelijke wachtwoorden.

De verlenging geeft besturen dit weekend nog ruimte om voor de gezamenlijke route te kiezen. De grens van maandag 07.00 uur geldt voor het akkoord met AllUnited; de organisatie houdt haar eigen wettelijke verantwoordelijkheid. AllUnited zegt maandag een nieuwe update te plaatsen, maar heeft nog niet bekendgemaakt hoeveel organisaties aan de gezamenlijke melding deelnemen.