Meldplicht datalek: wanneer meldt u binnen 72 uur en wat riskeert u?

Gepubliceerd op 30 augustus 2026 · Laatst bijgewerkt op 7 oktober 2026

Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 AVG). Is het risico hoog, dan informeert u ook de betrokkenen zelf. Hieronder leest u het juridisch kader: wanneer de klok gaat lopen, wat u per fase doet en welke boete en claims u riskeert.

Wanneer moet u een datalek melden?

Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 AVG). Elk datalek noteert u in het interne register, ook als u niet meldt; bij een hoog risico informeert u daarnaast de betrokkenen zelf (artikel 34 AVG).

Er is iets misgegaan met persoonsgegevens. De eerste vraag is niet of u moet melden, maar wanneer de klok is gaan lopen.

De termijn van 72 uur begint op het moment dat u redelijkerwijs kon vaststellen dat er sprake is van een inbreuk. Niet op het moment dat het onderzoek is afgerond, en niet op het moment dat de directie is bijgepraat. Dat is vaak het verschil tussen een gewone melding en een melding die zelf onderwerp van onderzoek wordt.

Wat doet u in de eerste 72 uur?

Eerst stelt u vast wat er is gebeurd en sluit u het lek; uiterlijk binnen 72 uur meldt u bij de Autoriteit Persoonsgegevens als er een risico is voor de betrokkenen.

Niet elke storing is een meldingsplichtig datalek. Een versleutelde laptop die verdwijnt, is dat doorgaans niet. Een verkeerd geadresseerde e-mail met bijzondere persoonsgegevens is dat vrijwel altijd wel. Bepalend is het risico voor de betrokkenen, niet de omvang van het incident. Besluit u dat een melding niet nodig is, leg die afweging dan schriftelijk vast met de feiten waarop u haar baseerde: dat document is uw verweer.

Wat doet u als u de termijn van 72 uur heeft gemist?

Een te late melding is geen reden om niet meer te melden. Artikel 33 AVG voorziet daar uitdrukkelijk in: meldt u later dan 72 uur, geef dan aan waarom. Een onderbouwde reden voor de vertraging is een beter uitgangspunt dan een melding die doet alsof alles op tijd was.

Wat in die onderbouwing werkt: het incident was aanvankelijk niet als datalek herkenbaar, of de omvang kon pas na forensisch onderzoek worden vastgesteld. Wat niet werkt: interne besluitvorming, afstemming met communicatie, of de wens om eerst de oorzaak te herstellen.

Boete of schadevergoeding: welke risico’s loopt u?

Het boeterisico loopt via artikel 83 AVG en richt zich op de organisatie. Bepalend zijn de aard en ernst van de inbreuk, de mate van verwijtbaarheid, de genomen maatregelen en de medewerking aan het onderzoek. De Autoriteit Persoonsgegevens volgt daarbij de geharmoniseerde Europese boeterichtsnoeren, met berekeningsstappen op basis van de concernomzet en de ernst van de inbreuk. Een organisatie die aantoonbaar heeft nagedacht, gedocumenteerd en meegewerkt, komt er meetbaar anders vanaf dan een organisatie die het incident probeerde klein te houden.

Daarnaast staat de civiele aansprakelijkheid van artikel 82 AVG: de route van de individuele betrokkene en van de collectieve claim, los van de vraag of de toezichthouder optreedt. Het Hof van Justitie heeft geoordeeld dat een enkele inbreuk of louter verlies van controle geen automatisch recht op schadevergoeding geeft: de betrokkene moet daadwerkelijk geleden immateriële schade onderbouwen, ook als die gering is. Voor organisaties beperkt dat het risico; voor gedupeerden betekent het dat de onderbouwing het verschil maakt.

Wat kunt u vandaag al regelen?

Regel één vast meldpunt binnen de organisatie, met een vaste vervanger. Houd een incidentregister bij dat ook de niet-gemelde incidenten vastlegt, inclusief de motivering. Maak vooraf een afspraak met uw IT-leverancier over de termijn waarbinnen die u informeert: in de meeste dossiers zit het tijdverlies niet bij de verantwoordelijke, maar bij de verwerker die te laat aan de bel trekt. Zie ook ons artikel over de verwerkersovereenkomst.

Waar let u als organisatie op?

• Noteer het tijdstip waarop u het lek redelijkerwijs kon vaststellen; vanaf dan loopt de termijn van 72 uur.
• Leg elk incident vast in uw datalekregister, ook als u niet meldt (artikel 33 lid 5 AVG).
• Controleer in uw verwerkersovereenkomst binnen welke termijn de verwerker u moet informeren.
• Beoordeel of het risico hoog is en u de betrokkenen moet informeren (artikel 34 AVG).

Waar let u als betrokkene op?

• Vraag de organisatie welke gegevens zijn gelekt en welke maatregelen zij heeft genomen.
• Leg vast welke gevolgen u ondervindt, zoals phishingberichten of misbruik van uw gegevens; schadevergoeding vereist onderbouwde schade (artikel 82 AVG).
• Dien bij een onvoldoende reactie een klacht in bij de Autoriteit Persoonsgegevens.

Wat kunnen wij voor u doen bij een datalek?

Bij de melding en het verweer staat onze IT-recht advocaat u bij.

• Wij beoordelen binnen de termijn van 72 uur of het incident meldingsplichtig is en leggen die afweging vast (artikel 33 AVG).
• Wij stellen de melding aan de Autoriteit Persoonsgegevens op, of de onderbouwing van een te late melding.
• Wij beoordelen of u de betrokkenen moet informeren en stellen die mededeling op (artikel 34 AVG).
• Wij voeren het verweer in een onderzoek of boeteprocedure van de Autoriteit Persoonsgegevens (artikel 83 AVG).
• Wij beoordelen een schadeclaim van betrokkenen of een collectieve actie (artikel 82 AVG).
• Wij toetsen uw verwerkersovereenkomst op meldtermijnen en aansprakelijkheid.

Samengevat

• Meld een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij er waarschijnlijk geen risico is voor de betrokkenen (artikel 33 AVG).
• Leg elk incident vast in uw interne register, ook als u niet meldt.
• Is het risico hoog? Informeer dan ook de betrokkenen zelf (artikel 34 AVG).
• Bent u te laat? Meld alsnog en onderbouw de vertraging.
• Boete (artikel 83 AVG) en schadevergoeding (artikel 82 AVG) zijn twee aparte routes, elk met eigen regels.

Veelgestelde vragen