Aansprakelijkheid bij een datalek: wie betaalt de schade?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 13 oktober 2026

Bij een datalek is in beginsel de verwerkingsverantwoordelijke aansprakelijk: iedereen die door een schending van de AVG materiële of immateriële schade lijdt, kan vergoeding vragen (artikel 82 AVG), ook als de fout bij een leverancier lag. De verwerker is alleen aansprakelijk als hij zijn eigen AVG-plichten schond of buiten de instructies handelde, en een gedupeerde moet altijd concrete schade aantonen.

Alleen wie bewijst dat hij op geen enkele wijze verantwoordelijk is voor het lek, ontkomt aan de vergoeding (artikel 82 lid 3 AVG). Daarnaast kan de Autoriteit Persoonsgegevens (AP) een boete opleggen, en kan een ondernemer zijn eigen schade via het contract verhalen op een leverancier die tekortschoot.

Wanneer is er sprake van een datalek?

Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of onbevoegde verstrekking van of toegang tot persoonsgegevens (artikel 4 onder 12 AVG). Het gaat dus niet alleen om hacks.

• Vertrouwelijkheid: iemand ziet gegevens die hij niet mag zien, zoals bij een e-mail met bijlage aan de verkeerde ontvanger of een verkeerd ingestelde cloudmap.
• Integriteit: gegevens worden zonder bevoegdheid gewijzigd.
• Beschikbaarheid: de gegevens zijn niet meer bruikbaar, bijvoorbeeld na een ransomware-aanval zonder bruikbare back-up.

Ook een verloren onversleutelde laptop of een medewerker die zonder reden een dossier inziet, is een datalek. Leg elk incident vast in een intern register met de feiten, de gevolgen en de maatregelen, ook als u niet meldt (artikel 33 lid 5 AVG).

Wie is aansprakelijk: verwerkingsverantwoordelijke of verwerker?

De verwerkingsverantwoordelijke bepaalt doel en middelen van de verwerking en draagt de eindverantwoordelijkheid. Uitbesteden aan een verwerker, zoals een hostingpartij, IT-beheerder of salarisadministrateur, verschuift die verantwoordelijkheid niet.

De verantwoordelijke moet passende technische en organisatorische maatregelen nemen (artikel 32 AVG) en mag alleen werken met een verwerker die voldoende garanties biedt, op basis van een verwerkersovereenkomst met de onderwerpen uit artikel 28 lid 3 AVG. De verwerker is volgens artikel 82 lid 2 AVG alleen aansprakelijk als hij de specifiek op verwerkers gerichte plichten niet nakwam, of buiten of tegen de rechtmatige instructies handelde. Gebruikt de verwerker de gegevens voor eigen doelen, dan wordt hij daarvoor zelf verantwoordelijke (artikel 28 lid 10 AVG).

Zijn meerdere partijen verantwoordelijk, dan kan de gedupeerde ieder van hen voor de hele schade aanspreken; daarna verhalen zij onderling naar ieders aandeel (artikel 82 lid 4 en 5 AVG). Bij gezamenlijke verwerkingsverantwoordelijkheid leggen partijen onderling vast wie welke plicht vervult, maar dat beperkt de aansprakelijkheid naar buiten niet (artikel 26 AVG). Wat in de overeenkomst hoort, leest u bij het opstellen van een verwerkersovereenkomst.

Is een accountant verwerker of verantwoordelijke?

Dat hangt af van de opdracht. Voert de accountant uw administratie in uw opdracht, dan is hij vaak verwerker; bij een wettelijke controle van de jaarrekening handelt hij volgens zijn eigen beroepsregels en is hij doorgaans zelf verantwoordelijke, met een eigen meldplicht.

Ben ik aansprakelijk als hackers het lek veroorzaakten?

Dat kan. Volgens het Hof van Justitie betekent een lek door cybercriminelen niet automatisch dat de maatregelen ontoereikend waren, maar moet de verantwoordelijke zelf bewijzen dat zijn beveiliging passend was (HvJ EU 14 december 2023, C-340/21). Slaagt dat bewijs niet, dan volgt aansprakelijkheid, ook als een derde het lek veroorzaakte.

Wanneer krijgt een gedupeerde schadevergoeding?

Als hij concrete materiële of immateriële schade aantoont die uit de inbreuk voortvloeit. Een AVG-schending op zichzelf geeft geen recht op vergoeding, maar er geldt ook geen ondergrens van ernst (HvJ EU 4 mei 2023, C-300/21, Österreichische Post, ECLI:EU:C:2023:370).

Materiële schade is het tastbare verlies: kosten van nieuwe identiteitsdocumenten, bankkosten na fraude of gemiste inkomsten. Immateriële schade ziet op spanning en verlies van controle over de eigen gegevens. Ook de gegronde vrees voor misbruik van gelekte gegevens kan op zichzelf schade zijn (HvJ EU 14 december 2023, C-340/21).

In de praktijk ligt de drempel dus bij het bewijs. Wie alleen meldt dat zijn naam en e-mailadres zijn gelekt zonder verdere gevolgen, krijgt doorgaans weinig of niets. Wie kan onderbouwen dat medische of financiële gegevens, een burgerservicenummer of een kopie identiteitsbewijs zijn verspreid en dat daarop phishing of fraude volgde, staat veel sterker.

Bij grote lekken loopt de afwikkeling vaak via een collectieve actie van een stichting of vereniging (artikel 3:305a BW). Dat drukt de kosten per persoon, maar u geeft de regie grotendeels uit handen. Wat slachtoffers van een cyberaanval verder kunnen doen, leest u bij slachtoffers van cyberaanvallen.

Welke meldplichten spelen mee bij de aansprakelijkheid?

De verantwoordelijke meldt een lek binnen 72 uur na ontdekking bij de AP, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 lid 1 AVG). Bij een hoog risico informeert hij ook de betrokkenen zelf (artikel 34 AVG).

Een verwerker meldt het lek niet bij de AP, maar zonder onredelijke vertraging aan de verantwoordelijke (artikel 33 lid 2 AVG). Te laat melden is een zelfstandige overtreding, los van de vraag of de beveiliging tekortschoot. Hoe de melding werkt en hoe u zich tegen een verwijt van te laat melden verweert, leest u bij de meldplicht datalek en het verweer daartegen.

Sinds 15 augustus 2026 geldt bovendien de Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn. Essentiële en belangrijke entiteiten melden een significant incident binnen 24 uur met een vroegtijdige waarschuwing, binnen 72 uur met een incidentmelding en binnen een maand met een eindverslag, naast de AVG-melding. Zie NIS2 en de Cyberbeveiligingswet.

Welke boete kan de Autoriteit Persoonsgegevens opleggen?

Voor schending van de beveiligings- en meldplichten tot € 10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is (artikel 83 lid 4 AVG). Voor schending van de basisbeginselen en de rechten van betrokkenen is het maximum € 20 miljoen of 4% (artikel 83 lid 5 AVG).

De AP weegt onder meer de ernst en duur van de overtreding, het aantal betrokkenen, de verwijtbaarheid, de genomen maatregelen en de medewerking (artikel 83 lid 2 AVG). Daarnaast kan zij lichtere middelen inzetten, zoals een berisping, een verwerkingsverbod of een last onder dwangsom. Een boete sluit een civiele claim niet uit; wat u tegenover de AP verklaart, kan later in een civiele procedure worden gebruikt.

Kunt u als ondernemer uw schade verhalen op uw leverancier?

Ja, via de overeenkomst. Schoot de leverancier tekort in de afgesproken beveiliging, dan verhaalt u uw eigen schade op grond van wanprestatie (artikel 6:74 BW); zonder overeenkomst blijft de onrechtmatige daad over (artikel 6:162 BW).

U kunt onder meer vorderen: kosten van forensisch IT-onderzoek en herstel, kosten van melding en nazorg, vergoedingen die u aan betrokkenen heeft betaald, omzetverlies en redelijke kosten om schade en aansprakelijkheid vast te stellen (artikel 6:96 lid 2 BW). Of u een AP-boete kunt doorschuiven naar de verwerker, is onzeker, omdat die boete uw eigen tekortkoming bestraft.

Geldt de aansprakelijkheidsbeperking in het contract?

Tussen bedrijven in beginsel wel. Een beroep erop is onaanvaardbaar naar maatstaven van redelijkheid en billijkheid bij opzet of bewuste roekeloosheid van de leverancier of zijn leidinggevenden (artikel 6:248 lid 2 BW).

Staat de beperking in algemene voorwaarden, dan kan een kleinere onderneming die soms vernietigen als ze niet behoorlijk ter hand zijn gesteld of onredelijk bezwarend zijn (artikelen 6:233 en 6:234 BW); grotere ondernemingen kunnen dat niet (artikel 6:235 BW). Tegenover de gedupeerden werkt de beperking niet. Meer leest u over beperking van aansprakelijkheid in b2b-contracten.

Welke termijnen gelden?

Bij een tekortkoming moet u binnen bekwame tijd na ontdekking klagen, anders kunt u uw rechten verliezen (artikel 6:89 BW). Een vordering tot schadevergoeding verjaart vijf jaar na de dag waarop u met de schade en de aansprakelijke partij bekend werd (artikel 3:310 BW); contracten bevatten soms een kortere vervaltermijn.

Zijn bestuurders of medewerkers persoonlijk aansprakelijk?

Alleen bij een ernstig verwijt. Een bestuurder is tegenover de vennootschap aansprakelijk bij onbehoorlijke taakvervulling (artikel 2:9 BW) en tegenover derden alleen als hem persoonlijk een ernstig verwijt treft (artikel 6:162 BW), bijvoorbeeld als hij bewust structurele beveiligingsrisico’s negeert.

Onder de Cyberbeveiligingswet moeten bestuurders van essentiële en belangrijke entiteiten de beveiligingsmaatregelen goedkeuren, op de uitvoering toezien en een opleiding volgen. Een medewerker die een bestand verkeerd verstuurt, is tegenover de gedupeerde geen aansprakelijke partij onder de AVG; tegenover de werkgever is hij alleen aansprakelijk bij opzet of bewuste roekeloosheid (artikel 7:661 BW). Zie ook bestuurdersaansprakelijkheid.

Hoe beperkt u de aansprakelijkheid vooraf?

Met aantoonbaar passende beveiliging en goede contracten. Volgens de verantwoordingsplicht moet u kunnen aantonen dat u de AVG naleeft (artikel 5 lid 2 AVG); documenteer daarom uw risicoanalyse en de gekozen maatregelen.

• Versleutel gevoelige gegevens en apparaten en gebruik meerfactorauthenticatie.
• Beperk toegangsrechten tot wat een functie vereist en controleer de logbestanden.
• Bewaar back-ups gescheiden van het netwerk en test het herstel.
• Spreek met verwerkers een meldtermijn af die korter is dan 72 uur, auditrechten en een aansprakelijkheidsregeling die past bij het risico.
• Bewaar gegevens niet langer dan nodig; wat u niet meer heeft, kan niet lekken.

Een gewone bedrijfsaansprakelijkheidsverzekering sluit cyberschade vaak uit; een cyberpolis dekt doorgaans herstel- en onderzoekskosten en claims van derden, maar stelt eisen aan de basisbeveiliging. De verplichtingen die mkb-bedrijven vaak vergeten, leest u bij verwerkingsregister, DPIA en datalek.

Waar let u als organisatie op?

• Leg elk incident vast in het datalekregister, met de reden als u niet meldt.
• Beslis binnen 72 uur over melding bij de AP en, bij een hoog risico, over informeren van betrokkenen.
• Maak forensische kopieën voordat u systemen opschoont, zodat u later kunt aantonen wat er gebeurde.
• Stel een leverancier die het lek veroorzaakte direct schriftelijk aansprakelijk en vraag om zijn incidentrapport.
• Meld het incident binnen de polistermijn bij uw verzekeraar en houd vanaf dag één de kosten bij.

Waar let u als gedupeerde op?

• Bewaar de mededeling van de organisatie over het lek.
• Vraag op grond van artikel 15 AVG welke gegevens van u zijn gelekt.
• Leg concrete gevolgen vast, zoals phishing, fraude, kosten of klachten; zonder aantoonbare schade volgt geen vergoeding.
• Ga bij een collectieve actie na wie de stichting vertegenwoordigt en hoe vergoeding en kosten worden verdeeld.

Wat kunnen wij voor u doen bij aansprakelijkheid voor een datalek?

• Binnen de 72-uurstermijn beoordelen of u moet melden bij de AP en betrokkenen moet informeren.
• Schadeclaims van gedupeerden onder artikel 82 AVG beoordelen en beantwoorden, en uw verhaal op de verwerker voeren.
• Uw leverancier aansprakelijk stellen, de exoneratie toetsen en zo nodig procederen.
• Uw verweer voeren in een onderzoek of boetetraject van de AP, inclusief bezwaar en beroep.
• Verwerkersovereenkomsten en IT-contracten opstellen en toetsen, als uw ICT-recht advocaat.

Samengevat

• De verwerkingsverantwoordelijke is in beginsel aansprakelijk (artikel 82 AVG), ook bij een fout van de verwerker; die laatste alleen bij schending van eigen plichten of instructies.
• Wie aangesproken wordt, moet bewijzen dat zijn beveiliging passend was of dat hij op geen enkele wijze verantwoordelijk is.
• Een gedupeerde moet concrete schade aantonen, maar er geldt geen ondergrens (HvJ EU C-300/21).
• De AP kan boetes opleggen tot € 10 of € 20 miljoen, of 2% of 4% van de wereldwijde jaaromzet.
• Eigen schade verhaalt een ondernemer via het contract op de leverancier; let op exoneratie, klachtplicht en verjaring.

Veelgestelde vragen

Kan iemand schadevergoeding krijgen alleen omdat er een datalek was?

Nee. De gedupeerde moet concrete schade aantonen en het verband met de inbreuk. Ook beperkte immateriële schade, zoals gegronde vrees voor misbruik, kan wel voor vergoeding in aanmerking komen.

Moet mijn leverancier het lek zelf bij de AP melden?

Nee, als hij verwerker is meldt hij het aan u en beslist u over de melding (artikel 33 AVG). Is de leverancier zelf verantwoordelijke, dan meldt hij wel zelf.

Wat als er geen verwerkersovereenkomst is?

Dan heeft u artikel 28 AVG zelf geschonden, wat tot een boete kan leiden. De leverancier blijft wel gebonden aan de AVG en aan zijn zorgplicht als opdrachtnemer (artikel 7:401 BW).

Dekt een gewone bedrijfsaansprakelijkheidsverzekering een datalek?

Meestal niet volledig. Een cyberpolis dekt doorgaans wel incidentkosten en claims van derden; boetes van de AP zijn vaak niet verzekerd.

Moet ik de ondernemingsraad betrekken bij nieuwe maatregelen na een lek?

Vaak wel. Een regeling over de verwerking van personeelsgegevens of over personeelsvolgsystemen valt onder het instemmingsrecht van de ondernemingsraad (artikel 27 lid 1 WOR).