Gepubliceerd op 19 oktober 2025 · Laatst bijgewerkt op 13 oktober 2026
U moet een datalek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen (artikel 33 AVG). Ook een lek dat u niet hoeft te melden, moet u intern vastleggen, met de reden waarom u niet meldt.
Levert het lek een hoog risico op, dan informeert u daarnaast de betrokkenen zelf (artikel 34 AVG). Hieronder leest u wat als datalek telt, hoe u het risico beoordeelt, wanneer de termijn begint en wat er gebeurt als u te laat meldt.
Inhoudsopgave
Wat is een datalek volgens de AVG?
Een datalek is elke inbreuk op de beveiliging waardoor persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren gaan, worden gewijzigd of bij onbevoegden terechtkomen. De Algemene verordening gegevensbescherming noemt dit een “inbreuk in verband met persoonsgegevens” (artikel 4 punt 12).
Er zijn drie vormen. Bij een inbreuk op de vertrouwelijkheid krijgt iemand toegang die dat niet mocht. Bij een inbreuk op de integriteit worden gegevens ongewild gewijzigd. Bij een inbreuk op de beschikbaarheid raken gegevens verloren of tijdelijk onbereikbaar, bijvoorbeeld doordat gijzelsoftware een systeem versleutelt. Ook dat laatste is een datalek, ook als er niets naar buiten is gegaan.
Opzet is niet nodig. Een verkeerd geadresseerde e-mail met salarisgegevens, een groepsmail met zichtbare adressen, een verloren usb-stick, een gestolen laptop of een medewerker die zonder reden een medisch dossier opent: het zijn allemaal inbreuken. Papieren dossiers vallen er net zo goed onder als digitale bestanden.
Wanneer bent u verplicht om te melden?
U meldt zodra het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Er hoeft geen hoog risico te zijn en er hoeft nog geen schade te zijn ontstaan.
Bij de beoordeling wegen vier factoren het zwaarst:
- het soort gegevens, en of er bijzondere persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG) bij zitten;
- het aantal betrokkenen;
- hoe eenvoudig de betrokkenen te herkennen zijn;
- de mogelijke gevolgen, zoals identiteitsfraude, financiële schade of stigmatisering.
Een burgerservicenummer met naam en adres, een kopie van een identiteitsbewijs, inloggegevens, bankgegevens of een medisch dossier leiden vrijwel altijd tot een meldplicht. Het BSN mag u volgens artikel 46 van de Uitvoeringswet AVG alleen gebruiken als een wet dat voorschrijft, juist omdat het identiteitsfraude vergemakkelijkt.
Het risico kan laag zijn als de gegevens deugdelijk waren versleuteld en de sleutel niet is uitgelekt, als de gegevens al openbaar waren, of als een betrouwbare ontvanger het bestand aantoonbaar heeft verwijderd. De context blijft beslissend: een lijst met e-mailadressen is weinig gevoelig, tenzij uit de lijst blijkt dat de betrokkenen cliënt zijn van een schuldhulpverlener of een verslavingskliniek.
Wanneer begint de termijn van 72 uur?
De termijn begint zodra u redelijke zekerheid hebt dat zich een beveiligingsincident met persoonsgegevens heeft voorgedaan. Hij begint dus niet pas als uw onderzoek klaar is.
Een korte, voortvarende verificatie om vast te stellen of er echt iets is misgegaan, is toegestaan. Laat een melding van een medewerker niet dagen liggen: wat een medewerker weet, wordt in de regel aan de organisatie toegerekend. Ontdekt u nu dat een map al maanden openstond, dan meldt u nu; de lange duur weegt wel mee in de risicobeoordeling.
Lukt melden binnen 72 uur niet, meld dan alsnog en licht de vertraging toe (artikel 33 lid 1 AVG). U mag ook in fasen melden: binnen de termijn wat u weet, en daarna aanvullen (artikel 33 lid 4 AVG). Een te late melding is beter dan geen melding.
Wanneer moet u ook de betrokkenen informeren?
Bij een waarschijnlijk hoog risico informeert u de betrokkenen zonder onnodige vertraging en in eenvoudige taal (artikel 34 AVG). De drempel ligt dus hoger dan bij de melding aan de toezichthouder.
Artikel 34 lid 3 AVG kent drie uitzonderingen. U hoeft de betrokkenen niet te informeren als de gegevens voor onbevoegden onbegrijpelijk waren, bijvoorbeeld door versleuteling. Ook niet als u achteraf maatregelen hebt genomen waardoor het hoge risico zich waarschijnlijk niet meer voordoet. En niet als dat een onevenredige inspanning vergt; dan volstaat een openbare mededeling die even doeltreffend is.
Vermeld in het bericht de aard van het lek, de waarschijnlijke gevolgen, de genomen maatregelen, wat de betrokkene zelf kan doen (zoals een wachtwoord wijzigen of de bank waarschuwen) en een aanspreekpunt. Wanneer u een functionaris moet aanstellen, leest u in ons artikel over de verplichte functionaris gegevensbescherming.
Hoe pakt u een datalek in de eerste uren aan?
Begin met het stoppen van het lek en leg daarna de feiten vast. Pas dan beoordeelt u of u moet melden.
- Beperk de schade: sluit toegang af, blokkeer accounts, haal bestanden offline of isoleer een systeem. Vraag een onbedoelde ontvanger schriftelijk om verwijdering en een bevestiging.
- Leg vast: tijdstip van ontdekking, vermoedelijke oorzaak, soorten gegevens, aantal betrokkenen en genomen maatregelen. Die vastlegging is verplicht (artikel 33 lid 5 AVG).
- Beoordeel het risico en beslis over melding aan de Autoriteit Persoonsgegevens en over het informeren van betrokkenen.
- Ga na welke andere meldingen nodig zijn: aangifte bij de politie bij diefstal of afpersing, de cyberverzekeraar binnen de polistermijn, en de eigen toezichthouder in gereguleerde sectoren.
Wat er speelt bij gijzelsoftware en digitale afpersing, leest u in ons artikel over phishing en ransomware.
Wat moet er in de melding staan?
U meldt via het meldformulier van de Autoriteit Persoonsgegevens. Artikel 33 lid 3 AVG noemt vier onderdelen die er in elk geval in moeten.
- De aard van het lek, met waar mogelijk de soorten en het aantal betrokkenen en gegevens.
- Naam en contactgegevens van de functionaris gegevensbescherming of een ander aanspreekpunt.
- De waarschijnlijke gevolgen.
- De maatregelen die u hebt genomen of voorstelt om het lek aan te pakken en de gevolgen te beperken.
Schrijf feitelijk en volledig. Een te laag aantal betrokkenen of een te gunstige inschatting valt later op en verzwakt uw positie. Is iets nog onbekend, zeg dat dan en meld wanneer u aanvult. De melding is geen erkenning van aansprakelijkheid, maar kan wel in een latere civiele procedure op tafel komen.
Wie meldt bij een datalek bij een leverancier?
U meldt als verwerkingsverantwoordelijke, niet uw leverancier. De verwerker moet u zonder onredelijke vertraging informeren (artikel 33 lid 2 AVG), en vanaf dat moment loopt uw termijn.
Leg daarom in de verwerkersovereenkomst vast binnen hoeveel uur de verwerker meldt, welke informatie hij aanlevert, hoe hij buiten kantooruren bereikbaar is en dat hij meewerkt aan onderzoek en communicatie. Spreek af dat hij niet zelf met de toezichthouder of de pers communiceert. Artikel 32 AVG verplicht u en de verwerker allebei tot passende beveiliging; uitbesteden ontslaat u niet van uw eigen verantwoordelijkheid. Meer over de bijbehorende registraties leest u in ons artikel over het verwerkingsregister, de DPIA en de datalekregistratie.
Wat gebeurt er als u niet of te laat meldt?
Niet of te laat melden is een zelfstandige overtreding. Daarvoor geldt het boetemaximum van artikel 83 lid 4 AVG: € 10 miljoen of, voor een onderneming, 2% van de wereldwijde jaaromzet als dat hoger is.
Het vaak genoemde maximum van € 20 miljoen of 4% geldt voor andere overtredingen, zoals verwerken zonder grondslag (artikel 83 lid 5 AVG). De Autoriteit Persoonsgegevens kijkt bij de sanctie onder meer naar ernst en duur, het aantal betrokkenen, verwijtbaarheid, de beveiliging en de medewerking. Naast een boete kan zij een last onder dwangsom of een berisping opleggen of een verwerking laten stoppen. Een onderzoek blijft zelden bij het lek: ook uw verwerkingsregister, verwerkersovereenkomsten, bewaartermijnen en beveiliging komen in beeld.
Daarnaast kunnen betrokkenen schadevergoeding vorderen (artikel 82 AVG). Het Hof van Justitie oordeelde in de zaak Österreichische Post (HvJ EU 4 mei 2023, C-300/21, ECLI:EU:C:2023:370) dat een schending alleen niet genoeg is: de betrokkene moet schade en het verband met de schending aantonen. Een ondergrens voor de ernst van immateriële schade geldt daarbij niet.
Welke meldplicht geldt naast de AVG?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitvoering van de Europese NIS2-richtlijn. Essentiële en belangrijke entiteiten moeten daaronder significante incidenten melden, los van de vraag of er persoonsgegevens zijn geraakt.
Die melding verloopt in drie stappen: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding met een eerste beoordeling van ernst en gevolgen, en binnen een maand een eindverslag met oorzaak en herstelmaatregelen. Onder de Cyberbeveiligingswet meldt u aan uw CSIRT en aan de bevoegde autoriteit (de toezichthouder van uw sector), via het meldportaal van het NCSC. Eén incident kan dus twee meldingen vergen: bij de Autoriteit Persoonsgegevens en volgens de route van de Cyberbeveiligingswet. Ga vooraf na of uw organisatie onder de wet valt; tijdens een incident kost die vraag kostbare uren. Over schadevergoeding en verzekering na een aanval leest u meer in ons artikel over rechten van slachtoffers van cyberaanvallen.
Hoe voorkomt u datalekken?
Artikel 32 AVG verplicht tot beveiliging die past bij het risico. De meeste lekken ontstaan door een verkeerde e-mail, een verkeerd ingestelde gedeelde map of een klik op een phishinglink, dus organisatie telt even zwaar als techniek.
- Beperk toegangsrechten tot wat iemand voor zijn werk nodig heeft en trek ze bij uitdiensttreding direct in.
- Gebruik tweefactorauthenticatie en versleutel gevoelige bestanden en laptops.
- Installeer beveiligingsupdates tijdig en test periodiek het herstel van offline back-ups.
- Leg een incidentprotocol vast met rollen en beslismomenten, en oefen het.
- Houd het interne datalekregister actueel.
Waar let u op bij personeelsgegevens?
Personeelsdossiers bevatten salarisgegevens, verzuimregistratie en kopieën van identiteitsbewijzen, en lekken daarom vaak met een hoog risico. Een werkgever verwerkt alleen wat nodig is en bewaart het niet langer dan nodig; zie ons artikel over het bewaren van personeelsdossiers.
Toestemming van een werknemer is door de gezagsverhouding in de regel geen geldige grondslag. Voor bijvoorbeeld het controleren van e-mail of internetgebruik steunt u op het gerechtvaardigd belang, getoetst aan noodzaak en evenredigheid. De ondernemingsraad heeft instemmingsrecht bij een regeling over personeelsvolgsystemen (artikel 27 lid 1 sub l WOR). Een overzicht van de bredere verplichtingen vindt u in ons artikel over de privacywetgeving in Nederland.
Wat kunnen wij voor u doen bij een datalek?
- Binnen de termijn van 72 uur beoordelen of u moet melden en of u betrokkenen moet informeren.
- De melding aan de Autoriteit Persoonsgegevens en het bericht aan betrokkenen opstellen.
- Uw verwerkersovereenkomsten en incidentprotocol herzien.
- Nagaan of de Cyberbeveiligingswet op uw organisatie van toepassing is.
- U bijstaan in een onderzoek of handhavingstraject van de toezichthouder en bij schadeclaims, als onderdeel van onze praktijk ICT-recht.
Samengevat
- Meld een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij een risico voor betrokkenen onwaarschijnlijk is (artikel 33 AVG).
- Leg ieder datalek intern vast, ook als u niet meldt.
- Bij een hoog risico informeert u ook de betrokkenen (artikel 34 AVG).
- U blijft meldplichtig als het lek bij uw verwerker ontstond.
- Niet melden kan een boete opleveren tot € 10 miljoen of 2% van de wereldwijde jaaromzet.
Veelgestelde vragen
Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?
Nee, alleen als het waarschijnlijk een risico oplevert voor betrokkenen. Is dat onwaarschijnlijk, bijvoorbeeld bij goed versleutelde gegevens, dan registreert u het lek intern en onderbouwt u waarom u niet meldt (artikel 33 lid 5 AVG).
Telt de termijn van 72 uur ook in het weekend?
Ja. De AVG spreekt van 72 uur, niet van werkdagen. Zorg daarom dat iemand buiten kantooruren bereikbaar is om een melding te beoordelen.
Moet ik betrokkenen informeren als ik bij de toezichthouder meld?
Niet automatisch. Melden bij de Autoriteit Persoonsgegevens is verplicht bij een waarschijnlijk risico; betrokkenen informeren pas bij een waarschijnlijk hoog risico (artikel 34 AVG).
Kan een betrokkene schadevergoeding eisen na een datalek?
Ja, op grond van artikel 82 AVG, maar alleen als hij werkelijke schade en het verband met de inbreuk aantoont. Ook immateriële schade kan worden vergoed.
