Aansprakelijkheid bij datalekken: wie betaalt de schade?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 8 september 2026

Aansprakelijkheid bij datalekken ligt in beginsel bij de verwerkingsverantwoordelijke: artikel 82 AVG geeft iedereen die door een inbreuk materiele of immateriele schade lijdt recht op vergoeding. De verwerker is alleen aansprakelijk voor zijn eigen verplichtingen of bij handelen buiten de instructies. Daarnaast kan de Autoriteit Persoonsgegevens een bestuurlijke boete opleggen.

Wanneer is er sprake van een datalek?

Een datalek is in de terminologie van de AVG een inbreuk in verband met persoonsgegevens: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Het gaat dus niet alleen om diefstal door buitenstaanders. Ook een e-mail met bijlage naar de verkeerde ontvanger, een verloren telefoon, een verkeerd ingestelde map in de cloud of een medewerker die dossiers raadpleegt zonder dat zijn functie dat rechtvaardigt, valt eronder.

Belangrijk is dat verlies van beschikbaarheid ook telt. Wordt uw systeem versleuteld door ransomware en hebt u geen bruikbare back-up, dan zijn de gegevens verloren voor de betrokkenen en is dat een datalek, ook als niemand ze heeft ingezien. Diezelfde redenering geldt bij een gewiste database of een onherstelbaar beschadigd archief.

Niet elk incident is een lek en niet elk lek hoeft te worden gemeld. Bepalend is of de inbreuk een risico oplevert voor de rechten en vrijheden van de betrokkenen. Die beoordeling maakt u zelf, maar u moet haar wel kunnen verantwoorden. Leg daarom elk incident vast in een intern register, ook de incidenten die u niet meldt, met de reden waarom u dat niet deed.

Welke meldplichten gelden er na een datalek?

De verwerkingsverantwoordelijke meldt een datalek bij de Autoriteit Persoonsgegevens, onverwijld en zo mogelijk binnen tweeenzeventig uur na ontdekking (artikel 33 AVG). Die klok begint te lopen op het moment dat u redelijkerwijs kon vaststellen dat er een inbreuk was, niet pas als het forensisch onderzoek is afgerond. Weet u nog niet alles, meld dan met de gegevens die u hebt en vul later aan.

Levert het lek waarschijnlijk een hoog risico op voor de betrokkenen, dan moet u ook hen informeren (artikel 34 AVG), in duidelijke en eenvoudige taal, met de aard van het lek, de waarschijnlijke gevolgen en de maatregelen die u treft. Die plicht vervalt onder meer als de gegevens zo waren versleuteld dat ze voor onbevoegden onbegrijpelijk blijven. Een verwerker meldt niet zelf bij de toezichthouder: hij waarschuwt onverwijld de verwerkingsverantwoordelijke, en de verwerkersovereenkomst hoort daarvoor een concrete termijn te bevatten.

Te laat melden is een zelfstandige overtreding, los van de vraag of de beveiliging tekortschoot. In de praktijk is dat een van de meest voorkomende redenen voor handhaving. Hoe u zich tegen zo’n verwijt verweert, werken wij uit in ons artikel over de meldplicht datalek en het verweer daartegen.

Wat doet u in de eerste dagen na ontdekking?

De eerste stap is indammen, niet uitzoeken. Sluit de toegang af, isoleer besmette systemen en zet compromitteerde accounts vast. Doe dat zonder bewijs te vernietigen: maak forensische kopieen voordat u opschoont, want zonder logbestanden kunt u later niet aantonen wat er wel en niet is gebeurd, en dat werkt zowel bij de toezichthouder als in een civiele procedure tegen u.

Breng daarna in kaart welke categorieen persoonsgegevens zijn geraakt en van hoeveel mensen, hoe lang de toegang heeft bestaan en of de gegevens ook daadwerkelijk zijn ingezien of gekopieerd. Die feiten bepalen of er een hoog risico is en dus of u de betrokkenen moet informeren. Leg de afweging schriftelijk vast met de gegevens die u op dat moment had, ook als u later tot een ander oordeel komt.

Meld vervolgens tijdig bij de toezichthouder, zoals de Algemene verordening gegevensbescherming voorschrijft, ook als het beeld nog onvolledig is. Aanvullen mag; te laat melden niet. Stem de communicatie naar klanten, medewerkers en pers af op wat u feitelijk weet, en beloof geen zekerheden over de omvang zolang het onderzoek loopt. Onjuiste geruststelling levert later een zelfstandig verwijt op.

Betrek ten slotte de contractuele kant meteen. Ligt de oorzaak bij een leverancier, stel hem dan direct schriftelijk aansprakelijk en vraag om zijn incidentrapportage; wacht daarmee niet tot uw eigen onderzoek klaar is. Meld het incident ook bij uw verzekeraar binnen de polistermijn, want te late melding is een klassieke reden voor dekkingsverval. En leg vanaf dag een de kosten vast: onderzoek, herstel, communicatie en juridische bijstand vormen samen de schade die u later wilt verhalen.

Wie is aansprakelijk: de verwerkingsverantwoordelijke of de verwerker?

De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking en draagt daarmee de hoofdverantwoordelijkheid. Hij moet passende technische en organisatorische maatregelen treffen (artikel 32 AVG) en mag alleen werken met verwerkers die voldoende garanties bieden. De verwerker verwerkt uitsluitend in opdracht en op instructie.

Artikel 82 AVG vertaalt die rolverdeling naar aansprakelijkheid. De verwerkingsverantwoordelijke is aansprakelijk voor schade door een verwerking die inbreuk maakt op de verordening. De verwerker is dat alleen wanneer hij de specifiek op verwerkers gerichte verplichtingen niet is nagekomen, of wanneer hij buiten of tegen de rechtmatige instructies van de verwerkingsverantwoordelijke heeft gehandeld. Ontheffing volgt pas als een partij aantoont op geen enkele wijze verantwoordelijk te zijn voor het schadeveroorzakende feit; de bewijslast ligt dus bij de aangesproken organisatie, niet bij de betrokkene.

Zijn meerdere partijen betrokken, dan zijn zij tegenover de betrokkene hoofdelijk aansprakelijk voor de volledige schade. Onderling verhaal verloopt daarna naar ieders aandeel in de verantwoordelijkheid, en daar wordt de verwerkersovereenkomst beslissend. Wie die overeenkomst niet of te summier heeft geregeld, staat in dat interne verhaal zwak. Wat er minimaal in hoort, zetten wij uiteen in onze uitleg over het opstellen van een verwerkersovereenkomst.

Bij gezamenlijke verwerkingsverantwoordelijkheid moeten partijen onderling vastleggen wie welke verplichting nakomt, waaronder de informatieplicht en de afhandeling van verzoeken van betrokkenen. Die afspraak beperkt de aansprakelijkheid naar buiten toe niet: de betrokkene mag elk van hen aanspreken.

Wanneer krijgt een gedupeerde schadevergoeding?

Artikel 82 AVG geeft recht op vergoeding van materiele en immateriele schade. Materiele schade is het tastbare verlies: kosten van nieuwe identiteitsdocumenten, bankkosten na fraude, gemiste inkomsten. Immateriele schade ziet op het leed zelf, zoals de spanning en het verlies van controle over eigen gegevens.

Het Hof van Justitie heeft de grenzen daarvan afgebakend. In de zaak Osterreichische Post van 4 mei 2023 (C-300/21) besliste het Hof dat een inbreuk op de AVG op zichzelf geen recht op vergoeding geeft: de betrokkene moet concrete schade aantonen en aannemelijk maken dat die uit de inbreuk voortvloeit. Tegelijk mag een lidstaat geen ondergrens van ernst stellen, zodat ook beperkte immateriele schade voor vergoeding in aanmerking komt. In latere rechtspraak is aanvaard dat de gegronde vrees voor misbruik van gelekte gegevens onder omstandigheden zelfstandig schade kan vormen.

In de Nederlandse praktijk betekent dit dat de drempel niet ligt bij de ernst maar bij het bewijs. Wie enkel meldt dat zijn naam en e-mailadres zijn gelekt zonder verdere gevolgen, krijgt doorgaans niets. Wie kan onderbouwen dat medische of financiele gegevens zijn verspreid, dat daarop phishing volgde en dat dit tot aantoonbare klachten of kosten heeft geleid, staat aanzienlijk sterker. Verzamel daarom vroeg bewijs: de mededeling van de organisatie, correspondentie, en documentatie van de gevolgen.

Bij grote lekken loopt de afwikkeling vaak via een collectieve actie op grond van artikel 3:305a BW. Een stichting of vereniging treedt dan op voor een groep gedupeerden, wat de kosten per persoon drukt maar ook betekent dat u de regie over de zaak grotendeels uit handen geeft. Beoordeel voordat u zich aansluit wie de stichting vertegenwoordigt en hoe de vergoeding en de kosten worden verdeeld.

Een laatste punt dat vaak wordt vergeten: het datalek raakt ook uw eigen personeel. Gaat het om gegevens van medewerkers, dan gelden dezelfde meldplichten en heeft de ondernemingsraad belang bij de opvolging, omdat regelingen over de verwerking van personeelsgegevens onder het instemmingsrecht van artikel 27 WOR vallen. Betrek de ondernemingsraad daarom vroeg wanneer u naar aanleiding van een incident nieuwe controle- of beveiligingsmaatregelen invoert. Een maatregel die na een lek haastig wordt doorgevoerd zonder instemming, kan later opnieuw ter discussie komen te staan en levert dan een tweede probleem op boven op het eerste.

Welke boetes kan de Autoriteit Persoonsgegevens opleggen?

Naast civiele aansprakelijkheid staat de bestuursrechtelijke handhaving. De Autoriteit Persoonsgegevens kan bij overtreding van de AVG een bestuurlijke boete opleggen die volgens de Rijksoverheid kan oplopen tot twintig miljoen euro of, voor grote ondernemingen, vier procent van de wereldwijde jaaromzet. Daarnaast beschikt de toezichthouder over lichtere middelen, zoals een berisping, een verwerkingsverbod of een last onder dwangsom.

Bij het bepalen van de sanctie weegt de toezichthouder onder meer de aard, ernst en duur van de inbreuk, het aantal betrokkenen, de mate van verwijtbaarheid, de getroffen maatregelen en de medewerking tijdens het onderzoek. Een organisatie die het lek zelf tijdig meldt, de betrokkenen informeert en aantoonbaar maatregelen treft, staat wezenlijk anders dan een die het incident stilhoudt.

Een boete sluit een civiele claim niet uit en andersom. Beide sporen lopen naast elkaar, met verschillende maatstaven: de toezichthouder toetst de naleving van de verordening, de civiele rechter beoordeelt schade en causaal verband. Dat maakt het verstandig om de verdediging in beide sporen op elkaar af te stemmen, omdat wat u tegenover de toezichthouder verklaart later in een civiele procedure kan worden gebruikt.

Kunt u als ondernemer schade verhalen op uw leverancier?

Ja, maar via een andere route dan de AVG. Wordt uw ICT-leverancier, hostingpartij of administratiekantoor gehackt en lijdt uw onderneming daardoor schade, dan is dat in de eerste plaats een contractuele kwestie: is de leverancier tekortgeschoten in de nakoming van de overeenkomst, en wat zegt die overeenkomst over aansprakelijkheid?

Let daarbij op de exoneratie. Veel ICT-contracten beperken de aansprakelijkheid tot de contractwaarde over een bepaalde periode en sluiten gevolgschade uit. Zo’n beding is niet altijd houdbaar: bij opzet of bewuste roekeloosheid en soms bij grove nalatigheid kan een beroep erop onaanvaardbaar zijn. Naast wanprestatie kan onrechtmatige daad in beeld komen wanneer de leverancier elementaire beveiligingsnormen heeft veronachtzaamd. De praktische stappen beschrijven wij in ons artikel over een datalek bij uw leverancier of accountant.

Verzuim niet de formaliteiten. Stel de leverancier schriftelijk in gebreke, stel een redelijke termijn voor herstel en leg de omvang van uw schade vast met facturen en urenstaten. Wie pas maanden later klaagt, loopt tegen de klachtplicht aan en verzwakt zijn positie aanzienlijk.

Hoe beperkt u de aansprakelijkheid vooraf?

Artikel 32 AVG vraagt om passende technische en organisatorische maatregelen, afgestemd op de risico’s en de stand van de techniek. Passend is geen absolute norm: een klein administratiekantoor hoeft niet wat een ziekenhuis moet. Wel moet u kunnen laten zien dat u de afweging bewust hebt gemaakt en periodiek herziet. Denk aan versleuteling, meervoudige authenticatie, gescheiden toegangsrechten, geteste back-ups en tijdige updates, plus een incidentprocedure die mensen kennen en geoefend hebben.

Organisatorisch telt de administratie mee. Een verwerkingsregister, een gegevensbeschermingseffectbeoordeling waar die verplicht is en een bewaartermijnenbeleid beperken niet alleen de kans op een lek, maar ook de omvang ervan: gegevens die u niet meer hebt, kunnen niet lekken. De verplichtingen die daarbij het vaakst blijven liggen, bespreken wij in ons artikel over verwerkingsregister, DPIA en datalek.

Voor een deel van de organisaties komt daar het cyberbeveiligingsrecht bovenop. De Europese NIS2-richtlijn stelt zorg- en meldplichten aan essentiele en belangrijke entiteiten en wordt in Nederland omgezet in de Cyberbeveiligingswet. Valt uw organisatie daaronder, dan gelden er meldplichten die naast die van de AVG staan en die een eigen termijn en toezichthouder kennen. Wat dat betekent, leest u in ons artikel over NIS2 en de Cyberbeveiligingswet.

Tot slot de verzekering. Klassieke aansprakelijkheidspolissen dekken zelden de kosten van een cyberincident; een cyberpolis doet dat doorgaans wel, maar stelt voorwaarden aan de basisbeveiliging. Bestuurlijke boetes zijn bovendien niet altijd verzekerbaar. Lees de polis voordat u zich veilig waant, en toets of de gestelde eisen ook werkelijk zijn geimplementeerd. Wie breder wil kijken naar de verhouding tussen beveiliging en aansprakelijkheid, vindt dat in ons artikel over cybersecurity en aansprakelijkheid.

Veelgestelde vragen

Advies over aansprakelijkheid bij datalekken

Na een datalek loopt de klok: de melding, de communicatie met betrokkenen en de eerste verklaringen tegenover de toezichthouder bepalen vaak de uitkomst van alles wat daarna komt. De advocaten IT-recht van Law & More in Eindhoven begeleiden organisaties bij melding, onderzoek en verweer, en staan gedupeerden bij die schade willen verhalen. Neem gerust contact op om uw situatie voor te leggen.