Gepubliceerd op 19 oktober 2025 · Laatst bijgewerkt op 8 september 2026
U moet een datalek melden bij de Autoriteit Persoonsgegevens zodra het waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen, en wel uiterlijk tweeenzeventig uur nadat u van de inbreuk kennis hebt genomen. Dat staat in artikel 33 van de Algemene verordening gegevensbescherming. Is dat risico onwaarschijnlijk, dan hoeft u niet te melden, maar moet u de afweging wel vastleggen.
Die laatste zin wordt in de praktijk het vaakst vergeten. De AVG kent naast de meldplicht een documentatieplicht die voor elk datalek geldt, ook voor de lekken die u niet meldt. Hieronder leest u wat juridisch als datalek telt, hoe u de risicobeoordeling maakt, welke termijnen gelden, wanneer u ook de betrokkenen zelf moet informeren en wat er gebeurt als u te laat bent.
Inhoudsopgave
Wat is een datalek volgens de AVG?
De Algemene verordening gegevensbescherming spreekt niet van een datalek maar van een inbreuk in verband met persoonsgegevens. Artikel 4 van de verordening omschrijft dat als een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens.
Uit die definitie volgen drie verschijningsvormen. Bij een vertrouwelijkheidsinbreuk krijgt iemand toegang tot gegevens die dat niet mocht. Bij een integriteitsinbreuk worden gegevens gewijzigd zonder dat dat de bedoeling was. Bij een beschikbaarheidsinbreuk raken gegevens verloren of tijdelijk ontoegankelijk, bijvoorbeeld doordat een systeem is versleuteld door gijzelsoftware. Ook die laatste vorm is een datalek, ook al is er niets naar buiten gegaan.
Opzet is geen voorwaarde. Een verkeerd geadresseerde e-mail met salarisgegevens, een groepsmail waarin het adressenveld in plaats van de blindkopie is gebruikt, een verloren usb-stick, een gestolen laptop of een medewerker die een medisch dossier opent dat niet voor hem bestemd was: het zijn alle inbreuken in de zin van de verordening. Papieren dossiers vallen er net zo goed onder als digitale bestanden.
Wanneer bent u verplicht om te melden?
De meldplicht ontstaat wanneer de inbreuk waarschijnlijk een risico oplevert voor de rechten en vrijheden van natuurlijke personen. Dat is een lage drempel: er hoeft geen hoog risico te zijn en er hoeft nog geen schade te zijn ingetreden. Alleen wanneer een risico onwaarschijnlijk is, mag u van melding afzien.
Bij die beoordeling wegen vier factoren het zwaarst. Om welk soort gegevens gaat het, en zitten daar bijzondere categorieen bij zoals gezondheidsgegevens, biometrie of gegevens over levensovertuiging, of strafrechtelijke gegevens. Hoeveel betrokkenen zijn geraakt. Hoe eenvoudig zijn die betrokkenen aan de hand van de gelekte gegevens te identificeren. En welke gevolgen kunnen zij ondervinden, van identiteitsfraude en financiele schade tot stigmatisering of verlies van vertrouwelijkheid.
Bepaalde combinaties verhogen het risico onmiddellijk. Een burgerservicenummer samen met naam- en adresgegevens, een kopie van een identiteitsbewijs, inloggegevens, bankgegevens of een medisch dossier vragen vrijwel altijd om een melding. Omgekeerd kan het risico laag zijn wanneer de gegevens deugdelijk waren versleuteld en de sleutel niet is gecompromitteerd, wanneer de gegevens al openbaar waren, of wanneer het bestand bij een bekende en betrouwbare ontvanger terechtkwam die het aantoonbaar heeft vernietigd. Ook dan blijft de context beslissend: een e-mailadres van een nieuwsbriefabonnee weegt anders dan het e-mailadres van een patient van een verslavingskliniek.
Wanneer gaan de tweeenzeventig uur precies lopen?
Vanaf het moment dat u redelijkerwijs zekerheid hebt dat zich een beveiligingsincident heeft voorgedaan dat tot een inbreuk op persoonsgegevens heeft geleid. De verordening spreekt van het moment waarop de verwerkingsverantwoordelijke van de inbreuk kennis heeft genomen, niet van het moment waarop het onderzoek is afgerond. Wachten met de klok tot alles is uitgezocht is dus geen optie.
Tegelijk begint de termijn niet bij het eerste vage signaal. Een korte verificatiefase om vast te stellen of er werkelijk iets is misgegaan, is toegestaan, mits die fase kort is en aantoonbaar voortvarend is doorlopen. Een organisatie die een melding van een medewerker dagenlang laat liggen, kan zich later niet beroepen op onwetendheid: kennis van iemand binnen de organisatie wordt aan de organisatie toegerekend.
Lukt melden binnen de termijn niet, dan mag u alsnog melden, maar moet u toelichten waarom het langer duurde. Ook een gefaseerde melding is toegestaan: u meldt binnen de termijn wat u weet en vult de melding daarna aan zodra het onderzoek verder is. Een te late melding is beter dan geen melding, want het achterwege laten van de melding is een zelfstandige overtreding.
Wanneer moet u ook de betrokkenen zelf informeren?
Wanneer de inbreuk waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Artikel 34 AVG verplicht u die personen dan onverwijld en in duidelijke en eenvoudige taal te informeren, zodat zij zelf maatregelen kunnen nemen: een wachtwoord wijzigen, hun bank waarschuwen of alert zijn op phishing. De drempel ligt hier dus hoger dan bij de melding aan de toezichthouder.
De verordening kent drie uitzonderingen. U hoeft de betrokkenen niet te informeren wanneer u passende technische en organisatorische beschermingsmaatregelen had getroffen die de gegevens onbegrijpelijk maken voor onbevoegden, bijvoorbeeld deugdelijke versleuteling. Ook niet wanneer u naderhand maatregelen hebt genomen waardoor het hoge risico zich waarschijnlijk niet meer zal voordoen. En niet wanneer de mededeling onevenredige inspanning zou vergen; dan volstaat een openbare mededeling waarmee de betrokkenen even doeltreffend worden geinformeerd.
Bericht de betrokkenen in begrijpelijke taal en zonder juridisch jargon. Vermeld de aard van de inbreuk, de waarschijnlijke gevolgen, de maatregelen die u hebt genomen en waar zij terecht kunnen met vragen, zoals bij uw functionaris voor gegevensbescherming. Wanneer u zo een functionaris moet aanstellen, leest u in ons artikel over de verplichte functionaris gegevensbescherming.
Hoe pakt u een datalek in de eerste uren aan?
Begin met beperken, niet met melden. Sluit de toegang af, trek rechten in, blokkeer een account, haal een bestand offline of isoleer een systeem. Elke minuut waarin het lek doorloopt, vergroot de omvang en daarmee het risico voor betrokkenen en de verwijtbaarheid richting de toezichthouder. Roep de laptop of de e-mail terug wanneer dat technisch kan, en vraag een onbedoelde ontvanger schriftelijk om vernietiging en om een bevestiging daarvan.
Leg daarna vast wat er is gebeurd: het tijdstip van ontdekking, de vermoedelijke oorzaak, welke categorieen persoonsgegevens zijn geraakt, hoeveel betrokkenen het betreft en welke maatregelen zijn getroffen. Die vastlegging is niet alleen intern nuttig maar wettelijk verplicht, en zij vormt het bewijs waarmee u tegenover de Autoriteit Persoonsgegevens aantoont dat u zorgvuldig hebt gehandeld.
Maak vervolgens de risicobeoordeling en beslis over de melding en over het informeren van betrokkenen. Bepaal daarbij ook of andere meldplichten spelen: bij diefstal of afpersing een aangifte bij de politie, bij een cyberverzekering een melding aan de verzekeraar binnen de polistermijn, en in gereguleerde sectoren een melding aan de eigen toezichthouder. Wat er speelt bij gijzelsoftware en digitale afpersing, beschrijven wij in ons artikel over phishing en ransomware.
Wat moet er in de melding aan de Autoriteit Persoonsgegevens staan?
De melding gaat via het meldformulier van de Autoriteit Persoonsgegevens en moet in elk geval vier dingen bevatten. Ten eerste de aard van de inbreuk, met waar mogelijk de categorieen en het aantal betrokkenen en de categorieen en het aantal betrokken persoonsgegevens. Ten tweede de naam en de contactgegevens van de functionaris voor gegevensbescherming of van een ander aanspreekpunt. Ten derde de waarschijnlijke gevolgen van de inbreuk. En ten vierde de maatregelen die u hebt genomen of voorstelt te nemen om de inbreuk aan te pakken en de nadelige gevolgen te beperken.
Schrijf die melding feitelijk en volledig. Onderschatting van het aantal betrokkenen of een te rooskleurige inschatting van de gevolgen valt op zodra het onderzoek vordert, en ondermijnt uw positie bij het vervolg. Is een deel van de informatie nog onbekend, zeg dat dan met zoveel woorden en meld wanneer u de aanvulling verwacht.
Houd er rekening mee dat de melding zelf geen erkenning van aansprakelijkheid is, maar wel een document dat later in een civiele procedure boven tafel kan komen. Laat de melding daarom nalezen door iemand die zowel de techniek als het juridische kader begrijpt, en houd de interne feitenreconstructie strikt gescheiden van speculatie over schuld.
Wie meldt er bij een datalek van een leverancier?
De verwerkingsverantwoordelijke, dus u, en niet uw leverancier. Werkt u met een verwerker, bijvoorbeeld een hostingpartij, een salarisverwerker of een softwareleverancier, dan moet die verwerker u zonder onredelijke vertraging informeren zodra hij kennis krijgt van een inbreuk. Vanaf dat moment loopt uw termijn en beoordeelt u of melding nodig is.
Dat maakt de verwerkersovereenkomst een operationeel document en niet slechts een formaliteit. Leg daarin vast binnen hoeveel uur de verwerker moet melden, welke informatie hij bij die melding aanlevert, welk contactkanaal daarvoor geldt buiten kantooruren, en dat hij meewerkt aan uw onderzoek en aan de communicatie richting betrokkenen. Neem ook op dat de verwerker niet zelfstandig meldt bij de toezichthouder of communiceert met de pers.
Controleer daarnaast periodiek of de afgesproken beveiligingsmaatregelen daadwerkelijk worden nageleefd. Artikel 32 AVG verplicht zowel u als de verwerker tot passende technische en organisatorische maatregelen, en het uitbesteden van de verwerking ontslaat u niet van uw eigen verantwoordelijkheid. Welke registraties en beoordelingen daar verder bij horen, zetten wij uiteen in ons artikel over het verwerkingsregister, de DPIA en de datalekregistratie.
Wat gebeurt er als u niet of te laat meldt?
Dan begaat u een zelfstandige overtreding. Voor schending van de artikelen 33 en 34 AVG geldt het boetemaximum van artikel 83 lid 4 van de verordening: tot tien miljoen euro of, voor een onderneming, tot twee procent van de totale wereldwijde jaaromzet in het voorafgaande boekjaar, waarbij het hoogste bedrag geldt. Het hogere maximum van twintig miljoen euro of vier procent geldt voor andere overtredingen, zoals verwerken zonder grondslag, en niet voor de meldplicht zelf.
De Autoriteit Persoonsgegevens weegt bij het bepalen van de sanctie onder meer de aard, de ernst en de duur van de inbreuk, het aantal betrokkenen, de mate van verwijtbaarheid, de getroffen beveiligingsmaatregelen en de mate waarin de organisatie heeft meegewerkt. Naast een boete kan zij een last onder dwangsom opleggen, een berisping geven of een verwerking tijdelijk of definitief laten staken.
Daarnaast is er de civiele kant. Artikel 82 AVG geeft betrokkenen recht op vergoeding van materiele en immateriele schade. Het Hof van Justitie van de Europese Unie heeft in zijn arrest van 4 mei 2023 in de zaak Osterreichische Post (C-300/21) beslist dat de enkele schending van de verordening daarvoor niet volstaat: de betrokkene moet daadwerkelijk schade aantonen en het verband met de inbreuk. Dat beperkt massaclaims, maar sluit ze niet uit, zeker niet wanneer gevoelige gegevens zijn gelekt.
Houd er ten slotte rekening mee dat een onderzoek van de toezichthouder zelden bij het incident alleen blijft. Zodra de Autoriteit Persoonsgegevens naar aanleiding van een melding vragen stelt, komen ook uw verwerkingsregister, uw verwerkersovereenkomsten, uw bewaartermijnen en uw beveiligingsmaatregelen in beeld. Een goed gedocumenteerd dossier is daarom niet alleen verweer tegen het verwijt over het lek, maar ook tegen het bredere verwijt dat de organisatie haar verplichtingen structureel niet nakwam.
Welke meldplicht geldt er naast de AVG?
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, waarmee de Europese NIS2-richtlijn is omgezet. Die wet richt zich niet op persoonsgegevens maar op de continuiteit en de weerbaarheid van essentiele en belangrijke entiteiten, en zij kent een eigen meldplicht voor significante incidenten. Valt uw organisatie eronder, dan kan een en hetzelfde incident dus twee meldingen vergen: een bij de Autoriteit Persoonsgegevens en een langs de route van de Cyberbeveiligingswet.
Die tweede route verloopt in drie stappen. Binnen vierentwintig uur doet u een vroegtijdige waarschuwing waarin u aangeeft of het incident vermoedelijk kwaadwillig is en of er grensoverschrijdende gevolgen zijn. Binnen tweeenzeventig uur volgt een uitgebreider bericht met een eerste inschatting van ernst en gevolgen. Binnen een maand levert u een eindrapport met de oorzaak en de genomen herstelmaatregelen. De melding loopt via het centrale meldpunt, waarna zij zowel het bevoegde computercrisisteam als de toezichthouder bereikt.
Ga daarom vooraf na of uw organisatie onder de reikwijdte van deze wet valt, want de sectoren en drempelwaarden zijn ruimer dan onder de oude regeling. Wie beide meldplichten pas tijdens een incident ontdekt, verliest kostbare uren. Voor slachtoffers van een aanval spelen daarnaast vragen over schadevergoeding en verzekering; daarover schreven wij in ons artikel over rechten van slachtoffers van cyberaanvallen.
Hoe voorkomt u datalekken en beperkt u de gevolgen?
De AVG verplicht in artikel 32 tot een beveiligingsniveau dat past bij het risico. Dat betekent in de praktijk: toegangsrechten die zijn beperkt tot wat iemand voor zijn werk nodig heeft en die bij uitdiensttreding direct vervallen, tweefactorauthenticatie op accounts die persoonsgegevens ontsluiten, versleuteling van gevoelige bestanden en van draagbare apparatuur, tijdig geinstalleerde beveiligingsupdates, en back-ups die offline staan en waarvan het herstel periodiek is getest.
Minstens zo belangrijk is de organisatorische kant. De meeste datalekken ontstaan niet door een geraffineerde aanval maar door een verkeerd geadresseerde e-mail, een verkeerd ingestelde gedeelde map of een gebruiker die op een phishinglink klikt. Voorlichting en herkenbare interne procedures leveren daar meer op dan techniek alleen. Zorg dat iedere medewerker weet bij wie hij een vermoeden meldt en dat die melding zonder drempel kan.
Leg de aanpak vast in een incidentprotocol met vaste rollen, contactgegevens en beslismomenten, en oefen dat protocol. En houd het interne datalekregister actueel: het is een wettelijke verplichting, het onderbouwt uw keuze om niet te melden en het maakt patronen zichtbaar waarmee u herhaling voorkomt.
Welke gegevens maken een datalek ernstig?
De verordening kent twee categorieen die bij een lek vrijwel altijd tot een melding leiden. Artikel 9 AVG beschermt bijzondere categorieen van persoonsgegevens: gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, en genetische gegevens, biometrische gegevens ter unieke identificatie, gezondheidsgegevens en gegevens over seksueel gedrag of seksuele gerichtheid. Artikel 10 AVG stelt aparte eisen aan gegevens over strafrechtelijke veroordelingen en strafbare feiten.
Daarnaast is het burgerservicenummer in Nederland bijzonder gevoelig. De Uitvoeringswet AVG staat gebruik ervan alleen toe wanneer een wettelijke bepaling dat voorschrijft, juist omdat het nummer identiteitsfraude vergemakkelijkt. Een lek waarbij burgerservicenummers samen met naam- en adresgegevens naar buiten komen, levert daarom bijna altijd een hoog risico op en verplicht dus niet alleen tot melding bij de toezichthouder maar ook tot het informeren van betrokkenen.
Bij gewone persoonsgegevens is de context beslissend. Een lijst met e-mailadressen is op zichzelf weinig gevoelig, maar wanneer uit de lijst blijkt dat de betrokkenen client zijn bij een schuldhulpverlener, is de gevoeligheid opeens groot. Beoordeel daarom niet alleen welke velden zijn gelekt, maar ook welke conclusie een ontvanger uit de combinatie kan trekken. Datzelfde geldt voor profielgegevens over inkomen, prestaties of voorkeuren, die zich bij uitstek lenen voor misbruik.
Wat betekent dit voor persoonsgegevens van werknemers?
Personeelsgegevens vormen een dossier met een verhoogd risicoprofiel: salarisgegevens, verzuimregistratie, kopieen van identiteitsbewijzen en soms functioneringsverslagen. Een verkeerd verzonden salarisbestand of een ten onrechte toegankelijke gedeelde map is dan ook een van de meest voorkomende datalekken bij werkgevers. De regel is dat een werkgever alleen die gegevens verwerkt en bewaart die hij nodig heeft, en niet langer dan nodig; wat daarbij is toegestaan, beschrijven wij in ons artikel over het bewaren van personeelsdossiers.
Een hardnekkig misverstand is dat de werkgever zich op toestemming van de werknemer kan beroepen. Vanwege de gezagsverhouding is toestemming in een arbeidsrelatie in beginsel niet vrij gegeven en dus geen geldige grondslag. Voor bijvoorbeeld het monitoren van e-mail of internetgebruik ligt de grondslag daarom bij het gerechtvaardigd belang, dat pas standhoudt na een toets aan noodzakelijkheid, proportionaliteit en subsidiariteit. Bovendien heeft de ondernemingsraad instemmingsrecht bij een regeling over personeelsvolgsystemen op grond van artikel 27 van de Wet op de ondernemingsraden.
Dat werkt door in de datalekpraktijk. Een organisatie die haar controlebeleid nooit heeft vastgelegd of nooit aan de ondernemingsraad heeft voorgelegd, komt bij een incident twee keer in de problemen: eerst vanwege het lek en daarna vanwege de verwerking die tot het lek leidde. Loop uw verwerkingen van personeelsgegevens daarom periodiek na; een overzicht van de bredere verplichtingen vindt u in ons artikel over de privacywetgeving in Nederland.
Veelgestelde vragen
Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?
Nee. Alleen wanneer het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Is dat onwaarschijnlijk, bijvoorbeeld bij deugdelijk versleutelde gegevens waarvan de sleutel niet is gecompromitteerd, dan hoeft u niet te melden. U moet het datalek dan wel registreren en de afweging schriftelijk onderbouwen, want de bewijslast daarvoor ligt bij u.
Wanneer begint de termijn van tweeenzeventig uur?
Op het moment waarop u redelijke zekerheid hebt dat een beveiligingsincident heeft geleid tot een inbreuk op persoonsgegevens, niet wanneer het onderzoek klaar is. Een korte verificatiefase mag, mits u aantoonbaar voortvarend handelt. Kennis van een medewerker telt als kennis van de organisatie.
Hoe hoog kan de boete voor het niet melden zijn?
Voor overtreding van de meldplicht geldt het maximum van artikel 83 lid 4 AVG: tien miljoen euro of twee procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag telt. Het vaak genoemde maximum van twintig miljoen euro of vier procent hoort bij andere overtredingen, zoals verwerken zonder geldige grondslag.
Moet ik betrokkenen informeren als ik bij de toezichthouder meld?
Niet automatisch. De melding aan de Autoriteit Persoonsgegevens is verplicht bij een waarschijnlijk risico; het informeren van betrokkenen pas bij een waarschijnlijk hoog risico. Er zijn drie uitzonderingen, waaronder deugdelijke versleuteling en maatregelen achteraf die het hoge risico wegnemen. Twijfelt u, informeer dan wel: het beperkt de schade en het verwijt.
Wat als mijn leverancier het datalek veroorzaakte?
U blijft als verwerkingsverantwoordelijke degene die meldt. De verwerker moet u onverwijld informeren, waarna uw termijn gaat lopen. Regel in de verwerkersovereenkomst harde termijnen en een bereikbaarheidsregeling buiten kantooruren, anders verliest u de eerste en belangrijkste uren aan telefoontjes.
Kan een betrokkene schadevergoeding eisen na een datalek?
Ja, op grond van artikel 82 AVG, maar niet automatisch. Het Hof van Justitie heeft beslist dat de enkele schending van de verordening onvoldoende is: er moet daadwerkelijk schade zijn, en die schade moet verband houden met de inbreuk. Immateriele schade kan wel degelijk voor vergoeding in aanmerking komen, zonder dat daarvoor een ondergrens van ernst geldt.
Wat als het datalek al maanden geleden is ontstaan?
De termijn gaat lopen vanaf uw kennisname, niet vanaf het ontstaan van de inbreuk. Ontdekt u nu dat een map al maanden ten onrechte toegankelijk was, dan meldt u dus nu, binnen tweeenzeventig uur. Wel weegt de lange periode mee in de risicobeoordeling en bij de vraag of uw beveiliging voldeed aan artikel 32 AVG. Onderzoek daarom ook wie in die periode toegang heeft gehad en leg dat vast; logbestanden zijn hier vaak het enige bewijs.
Hulp bij een datalek of een onderzoek van de toezichthouder
De eerste dag van een datalek bepaalt meestal de rest van het dossier: hoe snel het lek is gedicht, hoe zorgvuldig de feiten zijn vastgelegd en of de melding op tijd en volledig was. Wie dat op orde heeft, staat sterk, ook wanneer achteraf blijkt dat er iets is misgegaan in de beveiliging.
Onze advocaten ICT-recht beoordelen of u moet melden, stellen de melding en de communicatie aan betrokkenen op, herzien uw verwerkersovereenkomsten en staan u bij in een onderzoek of handhavingstraject van de Autoriteit Persoonsgegevens. Neem gerust contact op zodra u een incident vermoedt; in dit dossier telt snelheid.
