Gepubliceerd op 30 augustus 2026 · Laatst bijgewerkt op 11 september 2026
Dit artikel geeft een algemeen juridisch kader naar Nederlands en Europees recht. Het is geen advies over een concrete situatie. Of een incident meldingsplichtig is, hangt af van het risico voor de betrokkenen en van de feiten die u op dat moment kent.
Inhoudsopgave
De meldplicht bij een datalek: het korte antwoord
Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert (artikel 33 AVG). Elk datalek gaat in het interne register, ook de niet-gemelde; bij hoog risico informeert u ook de betrokkenen.
Er is iets misgegaan met persoonsgegevens. De eerste vraag is niet of u moet melden, maar wanneer de klok is gaan lopen.
De termijn van 72 uur uit artikel 33 AVG begint op het moment dat u redelijkerwijs kon vaststellen dat er sprake is van een inbreuk. Niet op het moment dat het onderzoek klaar is, en niet op het moment dat de directie is bijgepraat. Dat verschil van een paar dagen is in de praktijk het verschil tussen een gewone melding en een melding die zelf onderwerp van onderzoek wordt.
De eerste 72 uur
| Wanneer | Wat u doet |
|---|---|
| Uur 0 tot 4 | Vaststellen wat er is gebeurd, de toegang dichtzetten en het incident vastleggen met tijdstippen |
| Uur 4 tot 24 | Beoordelen om welke gegevens en hoeveel betrokkenen het gaat, en of er sprake is van een risico voor hun rechten en vrijheden |
| Uur 24 tot 72 | Melden bij de toezichthouder als dat risico er is; een melding met nog onvolledige gegevens mag, aanvullen kan later |
| Na de melding | Beoordelen of ook de betrokkenen zelf moeten worden geïnformeerd op grond van artikel 34 AVG |
Niet elk incident is een meldingsplichtig datalek. Een versleutelde laptop die verdwijnt, is dat doorgaans niet. Een verkeerd geadresseerde e-mail met bijzondere gegevens is dat vrijwel altijd wel. Wat telt is het risico voor de betrokkenen, niet de omvang van het incident of de gêne van de organisatie. Beoordeelt u dat een melding niet nodig is, leg die afweging dan schriftelijk vast met de feiten waarop u haar baseerde. Dat document is uw verweer.
Als u de termijn heeft gemist
Een te late melding is geen reden om niet meer te melden. Artikel 33 AVG voorziet er uitdrukkelijk in: meldt u later dan 72 uur, dan geeft u aan waarom. Een onderbouwde reden voor de vertraging is een aanzienlijk beter uitgangspunt dan een melding die suggereert dat alles op tijd was.
Wat in die onderbouwing werkt: het incident was aanvankelijk niet als datalek herkenbaar, of de omvang kon pas na forensisch onderzoek worden vastgesteld. Wat niet werkt: interne besluitvorming, afstemming met communicatie, of de wens om eerst de oorzaak te repareren.
Boete en aansprakelijkheid: twee verschillende risico’s
Het boeterisico loopt via artikel 83 AVG en richt zich op de organisatie. Bepalend zijn de aard en ernst van de inbreuk, de mate van verwijtbaarheid, de genomen maatregelen en de mate van medewerking. De Autoriteit Persoonsgegevens volgt daarbij de geharmoniseerde Europese boeterichtsnoeren, met vaste berekeningsstappen op basis van de concernomzet en de ernst van de inbreuk. Een organisatie die aantoonbaar heeft nagedacht, gedocumenteerd en meegewerkt, komt er meetbaar anders uit dan een organisatie die het incident klein probeerde te houden.
Daarnaast staat de civiele aansprakelijkheid van artikel 82 AVG. Dat is de route van de individuele betrokkene en van de collectieve claim, en zij staat volledig los van de vraag of de toezichthouder optreedt. Wel is in de rechtspraak van het Hof van Justitie uitgemaakt dat een enkele inbreuk of louter verlies van controle geen automatisch recht op vergoeding geeft: de betrokkene moet daadwerkelijk geleden immateriële schade onderbouwen, ook als die gering is. Voor organisaties beperkt dat het risico; voor gedupeerden betekent het dat de onderbouwing het verschil maakt.
Wat u vandaag kunt regelen
Eén meldpunt binnen de organisatie, met een vaste vervanger. Een incidentregister dat ook de niet-gemelde incidenten vastlegt, inclusief de motivering. En een afspraak vooraf met uw IT-leverancier over de termijn waarbinnen die u informeert, want in de meeste dossiers zit het tijdverlies niet bij de verantwoordelijke maar bij de verwerker die te laat aan de bel trekt. Zie daarvoor ons artikel over de verwerkersovereenkomst.
Veelgestelde vragen
Wanneer begint de termijn van 72 uur?
Op het moment dat u redelijkerwijs kon vaststellen dat er sprake is van een inbreuk. Niet wanneer het onderzoek klaar is en niet wanneer de directie is bijgepraat.
Moet ik elk beveiligingsincident melden?
Nee. Bepalend is of er een risico is voor de rechten en vrijheden van betrokkenen. Beoordeelt u dat een melding niet nodig is, leg die afweging dan schriftelijk vast; dat document is uw verweer.
Wat als ik de 72 uur heb gemist?
Meld alsnog, en geef aan waarom het later is geworden. Artikel 33 AVG voorziet daar uitdrukkelijk in. Een onderbouwde reden is een beter uitgangspunt dan een melding die suggereert dat alles op tijd was.
Heeft een betrokkene automatisch recht op schadevergoeding na een datalek?
Nee. Een enkele inbreuk of louter verlies van controle geeft geen automatisch recht op vergoeding; er moet daadwerkelijk geleden immateriële schade worden onderbouwd, ook als die gering is.
Juridische hulp nodig?
Speelt er een incident en twijfelt u over de melding, of ontvangt u een claim na een datalek, laat dan meekijken zolang de feiten nog vers zijn. Onze IT-recht advocaat staat voor u klaar.
