Datalek melden: wanneer moet het en hoe doe je het?

De AVG meldplicht datalekken (AVG art. 33 en 34) verplicht organisaties om datalekken onder bepaalde omstandigheden te melden bij de Autoriteit Persoonsgegevens (AP) en soms ook direct aan de getroffen personen. De regels klinken eenvoudig maar de praktijk is genuanceerd: niet elk incident is een meldplichtig datalek, en de beoordeling moet snel worden gemaakt.

Wat is een datalek?

Een datalek is elke inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking of toegang van persoonsgegevens (AVG art. 4 lid 12).

Concrete voorbeelden die WEL een datalek zijn:

Voorbeelden die GEEN datalek zijn:

Wanneer moet je melden bij de AP?

Je moet melden bij de Autoriteit Persoonsgegevens tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de rechten en vrijheden van betrokkenen (AVG art. 33 lid 1).

Factoren die bepalen of er een risico is:

Bij twijfel: meld. De AP sanctioneert niet-melden zwaarder dan onnodig melden.

Wanneer moet je ook de betrokkenen informeren?

Betrokkenen informeer je als het lek waarschijnlijk een hoog risico oplevert (AVG art. 34). Dit is een hogere lat dan de meldplicht aan de AP.

Voorbeelden waarbij betrokkenen MOETEN worden geïnformeerd:

• Gestolen klantendatabase met wachtwoorden en creditcardgegevens
• Medische gegevens gelekt naar onbevoegden
• Financiële gegevens die identiteitsfraude mogelijk maken

Uitzondering: als de getroffen data aantoonbaar versleuteld was met een sterk algoritme (AES-256), hoef je betrokkenen doorgaans niet te informeren.

De 72-uurstermijn: hoe werkt die in de praktijk?

De AP moet worden geïnformeerd zonder onnodig uitstel en waar mogelijk binnen 72 uur na het moment dat je kennis nam van het lek (AVG art. 33 lid 1).

Let op: de termijn loopt vanaf het moment dat je redelijkerwijs had kunnen weten dat er een datalek was, niet pas wanneer je alle details kent. Als een medewerker maandagochtend merkt dat data is gelekt, begint de termijn maandagochtend, ook al weet je nog niet precies hoeveel data.

Praktijkscenario: een juridisch adviseurskantoor met 12 medewerkers ontdekte op vrijdagmiddag om 16:00 dat een map met klantgegevens per abuis was gemaild aan een concurrent. De 72-uursklok begon lopen op vrijdag 16:00. Maandagochtend om 10:00 was er al 42 uur verstreken. De melding moest vóór maandag 16:00 worden gedaan. Ze haalden de termijn met een uur, maar alleen doordat een medewerker dat weekend de melding had voorbereid.

Als je de melding niet binnen 72 uur rond kunt krijgen, kun je een eerste melding doen met de informatie die je dan hebt. Aanvullende informatie mag je later toevoegen.

Stappenplan: wat te doen bij een datalek

Stap 1: constateer en documenteer (binnen 1 uur)

Zodra je een vermoeden hebt, noteer je: wat is er gebeurd, wanneer, wie heeft het ontdekt, welke systemen of data zijn betrokken en hoeveel personen zijn mogelijk getroffen?

Stap 2: beperk de schade (zo snel mogelijk)

Verander wachtwoorden, sluit toegang af, blokkeer accounts. Bij ransomware: isoleer getroffen systemen van het netwerk. Maak een eerste back-up van het aangetaste systeem als bewijs.

Stap 3: beoordeel of je moet melden (binnen 4 uur)

Zijn persoonsgegevens betrokken? Levert het lek een risico op voor betrokkenen? Bij twijfel: meld.

Stap 4: meld bij de AP (binnen 72 uur)

Gebruik het meldloket op autoriteitpersoonsgegevens.nl. Je hebt nodig: beschrijving van het lek, categorieën en aantallen betrokkenen, contactpersoon, gevolgen en maatregelen.

Stap 5: informeer betrokkenen indien nodig

Bij hoog risico: stuur betrokkenen direct en begrijpelijk bericht met wat er is gebeurd, wat de mogelijke gevolgen zijn en welke maatregelen je hebt genomen.

Stap 6: documenteer alles

Leg het lek, je beoordeling, de melding en de maatregelen vast in je datalekregister. Dit is verplicht (AVG art. 33 lid 5), ook als je besluit niet te melden.

Wat staat er op niet-melden?

De AP kan bij niet-melden of te laat melden een bestuurlijke boete opleggen tot €10 miljoen of 2% van de wereldwijde jaaromzet. In de praktijk zijn boetes voor MKB-bedrijven lager maar niet te verwaarlozen.

Gedocumenteerde AP-boetes voor datalekken in Nederland:

Naast boetes is reputatieschade bij klanten en partners een wezenlijk risico.

Het datalekregister: verplichte interne documentatie

Elke organisatie moet een datalekregister bijhouden (AVG art. 33 lid 5), ook voor datalekken die je besluit niet te melden aan de AP.

In het register leg je per incident vast:

• Datum en tijdstip van ontdekking
• Beschrijving van het incident
• Betrokken categorieën persoonsgegevens
• Geschat aantal betrokkenen
• Gevolgen en maatregelen
• Beslissing: wel of niet melden, en waarom
• Contactpersoon bij de AP indien gemeld

Combineer het datalekregister met je register van verwerkingsactiviteiten in één privacydocumentatie-map.

Melddrempel: wanneer meld je aan de AP?

Meldingsprocedure: de 72-uurs tijdlijn

Minimuminhoud AP-melding

Kosten datalekmelding

Veelgestelde vragen

Moet ik een datalek melden als de data versleuteld was?

Als de versleuteling sterk was (AES-256 of vergelijkbaar) en de sleutel niet is gelekt, is melden aan de AP vaak niet verplicht en is informeren van betrokkenen vrijwel nooit verplicht. Documenteer dit wel in je datalekregister.

Wat als het lek bij een verwerker plaatsvindt (hosting, boekhouder)?

De verwerker is verplicht jou onverwijld te informeren (AVG art. 33 lid 2). Jij blijft als verwerkingsverantwoordelijke verantwoordelijk voor de melding aan de AP. Controleer je verwerkersovereenkomst op afspraken over incidentmelding.

Kan ik een eerste melding doen en later aanvullen?

Ja. Als je niet alle informatie hebt binnen 72 uur, doe dan een eerste melding met wat je weet en voeg later informatie toe. Vermeld in de melding dat het een eerste, onvolledige melding is.

Wie doet de melding in ons bedrijf?

Wijs één persoon aan als datalekcoördinator. Bij grotere bedrijven is dit vaak de FG (functionaris gegevensbescherming) of de privacyverantwoordelijke. Leg dit vast in je incidentresponsplan.

---

Concrete AP-meldingscijfers: in 2023 ontving de AP 27.000 datalekmelding. 72% van alle meldingen werd gedaan binnen de verplichte 72-uur-termijn. Gemiddelde kosten van een niet-gemeld datalek bij ontdekking: €5.000-€50.000 aan boetes plus herstelkosten. Te laat melden: maximale boete €10 miljoen of 2% wereldomzet. Kosten van een juiste melding: intern 2-6 uur, extern advocaatkosten €500-€2.000 bij complexe gevallen. 65% van datalekken waarbij meldplicht speelt is veroorzaakt door een menselijke fout (verkeerd verstuurde e-mail, verloren laptop, phishing). Gemiddelde doorlooptijd AP-onderzoek na melding: 3-9 maanden.

Meldtermijn bij AP: 72 uur na ontdekking. Te laat melden: boete tot €10 miljoen of 2% wereldomzet. Bij goed gedocumenteerde procedure: gemiddeld 2-3 uur om de melding te completeren.

*Zie ook: AVG register van verwerkingen | Verwerkersovereenkomst | Bewaartermijnen persoonsgegevens | Privacyverklaring maken | AVG checklist | Incident response plan | NIS2 meldplicht*