Er is een datalek, maar wat moet ik nu doen? In veel gevallen ben je verplicht dit te melden bij de Autoriteit Persoonsgegevens. De AVG vereist dat je binnen 72 uur in actie komt zodra persoonsgegevens zijn gelekt, vernietigd of onbedoeld toegankelijk zijn geworden. Doe je dit niet of te laat, dan kun je rekenen op boetes en mogelijk toezicht door de autoriteit. Alleen wie snel, zorgvuldig en transparant handelt, voldoet aan de wet en beperkt de schade voor zowel de betrokkenen als de organisatie.
- 1. Wat is een datalek?
- 2. Gevolgen van een datalek voor organisaties
- 3. Eerste maatregelen na datalek
- 4. Het datalek melden bij de Autoriteit Persoonsgegevens (AP)
- 5. Betrokkenen informeren over het datalek
- 6. Registratie en documentatie van datalekken
- 7. Lessen trekken en toekomstige datalekken voorkomen
- 8. De 10 belangrijkste take aways
1. Wat is een datalek?
Wat is een datalek? Leer wat een gegevensinbreuk is, hoe je het herkent en waarom snelle actie noodzakelijk is. Voorkom schade door direct te handelen.
Zodra persoonsgegevens in verkeerde handen vallen, worden gewijzigd of ontoegankelijk raken, spreken we van een gegevensinbreuk. Of het nu komt door een hack, menselijke fout of technische storing, de impact is vaak groot. Wie weet wat een datalek inhoudt, kan sneller en slimmer reageren.
Definitie van een datalek volgens de AVG
De Algemene Verordening Gegevensbescherming (AVG) hanteert een duidelijke definitie. Een datalek is een beveiligingsincident waarbij persoonsgegevens:
- Beschikbaar komen voor onbevoegden
- Worden gewijzigd of vernietigd zonder toestemming
- Niet meer beschikbaar zijn wanneer ze dat wel moeten zijn
Het gaat dus niet alleen om gestolen data, maar ook om verlies of wijziging. Denk aan een laptop die wordt gestolen met klantgegevens erop, of een systeemstoring waardoor data verloren gaat. Zelfs het verkeerd versturen van een e-mail met persoonsgegevens valt hieronder.
Hack met ransomware: ook een datalek?
Een ransomware-aanval blokkeert toegang tot bestanden. Vaak wordt gedacht dat dit geen datalek is omdat er niets ‘weg’ is. Toch is dat onjuist. Zodra gegevens tijdelijk of permanent onbeschikbaar zijn, is er volgens de AVG sprake van een datalek.
Ransomware valt meestal onder:
- Beschikbaarheidsverlies: bestanden zijn versleuteld en niet meer te gebruiken
- Vertrouwelijkheidsschending: de aanvaller had toegang tot de data, ook al is niet duidelijk wat ermee is gebeurd
Als de hacker gegevens ook heeft gekopieerd of doorgestuurd, is het zelfs een datalek met verhoogd risico. Dit betekent dat er naast een melding bij de Autoriteit Persoonsgegevens vaak ook een meldplicht aan de betrokkenen geldt.
Soorten datalekken: vertrouwelijkheid, integriteit en beschikbaarheid
Een datalek kan drie vormen aannemen. De AVG onderscheidt:
1. Verlies van vertrouwelijkheid
Persoonsgegevens komen terecht bij mensen die daar geen toegang toe mogen hebben.
Voorbeelden:
- Verkeerd geadresseerde e-mails met persoonsgegevens
- Gehackte systemen waarbij data is ingezien
- Gestolen laptops of USB-sticks zonder encryptie
2. Verlies van integriteit
De gegevens worden onbedoeld gewijzigd of gemanipuleerd.
Voorbeelden:
- Een medewerker past per ongeluk klantinformatie aan
- Data wordt gewijzigd door een verkeerde import
- Aanval waarbij gegevens worden vervalst
3. Verlies van beschikbaarheid
De gegevens zijn tijdelijk of blijvend niet toegankelijk.
Voorbeelden:
- Ransomware die bestanden versleutelt
- Crashes zonder back-up
- Verlies van een systeem of database
Deze driedeling helpt organisaties om snel te bepalen welke risico’s er spelen en hoe zwaar het incident moet worden opgevat.
Veelvoorkomende datalekken in de praktijk
De meeste datalekken ontstaan niet door geavanceerde hacking, maar door menselijke fouten of onzorgvuldigheid. Het risico wordt vaak onderschat.
Voorbeelden die regelmatig voorkomen:
- Medewerker mailt een Excelbestand met klantgegevens naar een verkeerd adres
- Documenten worden achtergelaten op een printer in een gedeelde ruimte
- Een verloren smartphone zonder schermvergrendeling bevat toegang tot mailbox of CRM
- Webapplicatie laat gevoelige data zien door verkeerde autorisatie-instellingen
Ook bij kleine bedrijven en zzp’ers komen dit soort incidenten voor. Zodra het persoonsgegevens betreft, zijn de regels van de AVG van toepassing.
Waarom snel handelen bij een datalek noodzakelijk is
Snel en correct reageren voorkomt grotere schade. De meldplicht aan de Autoriteit Persoonsgegevens vereist dat een datalek binnen 72 uur na ontdekking wordt gemeld. Te laat melden of helemaal niet melden kan leiden tot boetes.
Risico’s bij traag reageren:
- Gegevens worden verder verspreid of misbruikt
- Betrokkenen lopen risico op schade, zoals identiteitsfraude
- Juridische en financiële gevolgen stapelen zich op
- Vertrouwen van klanten en partners verdwijnt
Ook als je het lek zelf al hebt opgelost, moet je kunnen aantonen wat er is gebeurd en welke maatregelen je hebt genomen. Goede documentatie is daarbij onmisbaar.
Datalek door hacking: andere aanpak?
Een hack zorgt vaak voor paniek, maar moet vooral systematisch worden aangepakt. Een gestructureerde incident response helpt je overzicht te houden.
Bij hacking met een datalek is het belangrijk om:
- Direct het getroffen systeem te isoleren
- Logbestanden veilig te stellen voor onderzoek
- Na te gaan welke gegevens precies zijn benaderd of gekopieerd
- IT-forensische specialisten in te schakelen als eigen kennis ontbreekt
De Autoriteit Persoonsgegevens verwacht dat je als organisatie kunt uitleggen wat er is gebeurd, wanneer het is ontdekt en welke gegevens zijn getroffen. Die uitleg moet snel beschikbaar zijn, ook al is het onderzoek nog niet volledig afgerond.
Wat kun je nú al regelen?
Wachten tot het misgaat is geen strategie. Voorbereiding maakt het verschil tussen schade beperken of schade vergroten. Zorg voor een basisaanpak die altijd werkt.
Checklist voor voorbereiding:
- Stel een intern meldprotocol op voor datalekken
- Wijs één verantwoordelijke aan voor gegevensbescherming
- Geef medewerkers herkenbare voorbeelden van datalekken
- Versleutel laptops, USB-sticks en mobiele apparaten
- Gebruik sterke wachtwoorden en schakel meerfactorauthenticatie in
- Zorg voor back-ups die getest en versleuteld zijn
Een simpele misser kan grote gevolgen hebben. Organisaties die voorbereid zijn, handelen sneller en beperken niet alleen de schade, maar ook de juridische en financiële impact.
2. Gevolgen van een datalek voor organisaties
Een datalek raakt niet alleen de beveiliging van je systemen, maar ook je portemonnee, je geloofwaardigheid en je juridische positie. Of het nu gaat om een kleine administratiefout of een grootschalige hack: organisaties worden steeds vaker verantwoordelijk gehouden voor schade die ontstaat door gebrekkige gegevensbescherming. De impact is vaak groter dan vooraf gedacht.
Boetes en sancties bij datalekken (AVG)
De AVG maakt geen onderscheid tussen grote bedrijven of kleine organisaties: wie persoonsgegevens verwerkt, moet zich houden aan de regels. Overtreed je die regels, dan riskeer je een boete van de Autoriteit Persoonsgegevens (AP).
Boetes worden opgelegd bij onder andere:
- Het niet (tijdig) melden van een datalek bij de AP
- Onvoldoende beveiligingsmaatregelen rondom persoonsgegevens
- Structurele nalatigheid in het beschermen van privacy
- Het niet informeren van betrokkenen bij een lek met hoog risico
De maximale boete bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van wat hoger is. In Nederland varieert het boetebedrag vaak tussen de duizenden en honderdduizenden euro’s, afhankelijk van ernst en context.
Voorbeelden van situaties waarin boetes zijn opgelegd:
- Onversleuteld medisch dossier kwijtgeraakt
- Misbruik van toegangsrechten door medewerkers
- Lek door verouderde software zonder updates
Het niet naleven van de meldplicht wordt extra zwaar bestraft, vooral als blijkt dat er bewust informatie is achtergehouden.
Aansprakelijkheid en schadeclaims na een datalek
Naast toezicht en boetes door de overheid kunnen ook betrokkenen zelf schadevergoeding eisen. Artikel 82 van de AVG stelt dat iedere persoon recht heeft op schadevergoeding bij materiële of immateriële schade door een datalek.
Organisaties kunnen aansprakelijk worden gesteld bij:
- Identiteitsfraude of phishing als gevolg van het lek
- Financiële schade bij klanten of werknemers
- Verlies van zakelijke kansen door verspreiding van vertrouwelijke informatie
- Emotionele schade door schending van privacy
De bewijslast ligt deels bij de organisatie. Kun je niet aantonen dat je voldoende maatregelen hebt genomen, dan sta je juridisch zwakker.
Verzekeringen zoals cyber risk-polissen kunnen een deel van de schade dekken, maar die bieden geen bescherming tegen reputatieschade of verlies van vertrouwen.
Reputatieschade en verlies van vertrouwen bij klanten
Een datalek leidt vrijwel altijd tot reputatieschade, vooral als je communicatie traag of onduidelijk is. Klanten en relaties willen weten wat er met hun gegevens is gebeurd, en vooral: wat je eraan doet.
Gevolgen voor je imago:
- Klanten stappen over naar concurrenten die betrouwbaarder lijken
- Media-aandacht zorgt voor negatieve publiciteit
- Bestaande klanten worden wantrouwend en kopen minder
- Nieuwe samenwerkingen vallen weg door gebrek aan vertrouwen
Zeker bij gevoelige gegevens zoals financiële data of medische dossiers is het vertrouwen moeilijk terug te winnen. Open en tijdige communicatie helpt om erger te voorkomen.
Voorbeelden van reputatieschade:
- Een softwarebedrijf dat klantdata lekt en pas na weken reageert
- Een webshop die geen melding maakt van een hack, waarna klanten massaal klachten indienen
- Een zorgorganisatie die niet uitlegt welke gegevens zijn getroffen en hoe slachtoffers zich kunnen beschermen
Consumenten letten steeds scherper op hoe organisaties met hun gegevens omgaan. Transparantie is geen keuze meer, maar noodzaak.
Juridische en operationele gevolgen van een datalek
Een datalek heeft ook praktische impact binnen je organisatie. Naast juridische procedures moet je vaak ook intern veranderingen doorvoeren.
Mogelijke gevolgen:
- Extra controles en audits vanuit toezichthouders
- Tijdrovende interne onderzoeken naar de oorzaak
- Herziening van je beveiligingsbeleid en procedures
- Trainingen of disciplinaire maatregelen richting personeel
- Vertraging in bedrijfsprocessen of dienstverlening
Bij grote incidenten komen er ook externe partijen bij kijken, zoals advocaten, IT-forensisch onderzoekers en communicatieadviseurs. Dit kost geld en leidt vaak tot langdurige nasleep.
Risico’s voor ondernemers en kleinere organisaties
Ook zzp’ers en mkb’ers zijn niet uitgesloten. Juist kleinere organisaties onderschatten de impact, terwijl zij vaak onvoldoende beveiligd zijn. Het ontbreken van heldere processen en technische beveiliging maakt hen kwetsbaarder voor fouten en aanvallen.
Specifieke risico’s voor kleinere bedrijven:
- Geen juridisch team om direct actie te ondernemen
- Minder capaciteit om meldplicht of onderzoek uit te voeren
- Verlies van opdrachten bij vertrouwensbreuk met opdrachtgevers
- Hoge kosten voor herstel en juridische ondersteuning
De schade kan relatief zwaarder uitpakken dan bij grote bedrijven. Eén datalek kan voldoende zijn om het voortbestaan in gevaar te brengen.
Praktische tips om de impact te beperken
Soms kun je een incident niet voorkomen, maar wel de schade verkleinen. Hoe je omgaat met een datalek bepaalt mede hoe groot het effect is.
Wat je direct kunt doen:
- Zorg voor een standaard procedure bij een datalek
- Meld het lek op tijd bij de AP om boetes te vermijden
- Informeer betrokkenen eerlijk en tijdig
- Documenteer elke stap van je reactieproces
- Herzie je beveiliging na elk incident
Een heldere communicatieaanpak voorkomt misverstanden en paniek. Een open houding richting klanten kan het vertrouwen helpen behouden, zelfs als er iets is misgegaan.
3. Eerste maatregelen na datalek
Datalek ontdekt? Dit zijn de eerste maatregelen die je direct moet nemen na een hack of gegevensinbreuk. Snel handelen voorkomt grotere schade.
Zodra je een datalek ontdekt, telt elke minuut. Of het nu gaat om een hack, verloren laptop of fout verzonden e-mail: je moet direct schakelen. Niet alleen om de schade te beperken, maar ook om te voldoen aan de AVG. Veel organisaties handelen te traag of ongestructureerd, met boetes en reputatieschade als gevolg. Een goede eerste respons is een vast onderdeel van informatiebeveiliging.
Breng de situatie in kaart (overzicht van het incident)
Voordat je actie onderneemt, moet je weten wat er aan de hand is. Sla je meteen alarm zonder feiten, dan ontstaat chaos.
Stel direct vast:
- Wat is er precies gebeurd? (bijvoorbeeld hack, phishing, verloren device)
- Wanneer is het incident ontdekt?
- Welke systemen of data zijn geraakt?
- Wie heeft toegang gehad of zou dat kunnen hebben?
- Gaat het om persoonsgegevens? Zo ja, welke?
Gebruik logbestanden, monitoringtools of security dashboards om dit te achterhalen. Als je die niet hebt, wordt het lastig om te bewijzen wat er is gebeurd.
Een compleet overzicht is nodig om te bepalen of het daadwerkelijk om een datalek gaat, en zo ja, hoe ernstig. Ook de Autoriteit Persoonsgegevens zal deze informatie opvragen.
Beperk de schade en beveilig systemen onmiddellijk
Als je systemen zijn gehackt, wacht dan niet met ingrijpen. Hoe langer je wacht, hoe groter de schade.
Directe acties die je kunt nemen:
- Isoleren van besmette of verdachte systemen
- Uitschakelen van toegang op afstand (remote access)
- Blokkeren van accounts met verdachte activiteit
- Wachtwoorden wijzigen, zeker van beheerders en gevoelige systemen
- Updates of patches uitvoeren als een kwetsbaarheid is misbruikt
Vergeet ook back-ups niet. Controleer of ze nog intact zijn en zet ze apart, los van geïnfecteerde netwerken. Dat is belangrijk om later gegevens te kunnen herstellen zonder opnieuw risico te lopen.
Onderzoek welke gegevens zijn getroffen en hoe het lek is ontstaan
Weet je welke data geraakt zijn, dan kun je beter inschatten welke maatregelen nodig zijn. Dit bepaalt ook of je het datalek moet melden bij de Autoriteit Persoonsgegevens en de betrokkenen.
Belangrijke vragen in dit onderzoek:
- Zijn er persoonsgegevens gelekt of alleen technische data?
- Gaat het om gevoelige data zoals BSN, financiële gegevens of medische info?
- Hoe heeft de aanvaller toegang gekregen? (bijvoorbeeld phishing, softwarelek)
- Hoe lang heeft het incident geduurd?
- Zijn de gegevens gekopieerd, verwijderd of alleen ingezien?
Als je deze antwoorden niet zelf kunt vinden, schakel dan zo snel mogelijk hulp in.
Schakel interne of externe experts in voor incident response
Niet elke organisatie heeft de kennis in huis om een incident goed aan te pakken. Bij grotere of complexe hacks is het verstandig om specialisten in te schakelen. Denk aan IT-forensisch onderzoekers of een incident response team.
Wat een expert kan doen:
- Analyse van logbestanden en netwerkactiviteit
- Vaststellen van de exacte oorzaak van de hack
- Beoordelen welke data is geraakt
- Begeleiden van herstelwerkzaamheden
- Rapport opstellen voor de Autoriteit Persoonsgegevens of verzekering
Goede informatiebeveiliging is meer dan alleen antivirussoftware. Het gaat ook om hoe je reageert op incidenten. Incident response hoort standaard in je beveiligingsbeleid te zitten, met duidelijke rollen en verantwoordelijkheden.
Interne communicatie: hou je team geïnformeerd
Tijdens een incident moet je team weten wat er speelt en wat van hen verwacht wordt. Geen geruchten, maar duidelijke instructies.
Zorg dat medewerkers weten:
- Wat ze wél en níet mogen communiceren naar buiten
- Wie aanspreekpunt is bij vragen of meldingen
- Wat de impact is op dagelijkse werkzaamheden
- Welke systemen tijdelijk niet beschikbaar zijn
Laat vooral niet iedereen zelf contact zoeken met klanten of media. Eén centraal communicatiepunt voorkomt misverstanden en reputatieschade.
Documenteer alle stappen vanaf het eerste moment
Alles wat je doet tijdens en na het incident moet worden vastgelegd. Niet alleen voor je eigen overzicht, maar ook voor audits, meldingen aan de AP of juridische procedures.
Leg minimaal vast:
- Tijdstip van ontdekking van het datalek
- Beschrijving van het incident en getroffen systemen
- Acties die zijn ondernomen en door wie
- Communicatie intern en extern
- Adviezen van externe experts
- Eindbeoordeling en status
Deze documentatie is verplicht volgens artikel 33(5) AVG en helpt bij het aantonen dat je adequaat hebt gehandeld.
Verbind dit met je bredere informatiebeveiliging
Een incident staat nooit op zichzelf. Vaak legt het zwakke plekken bloot in je bestaande aanpak. Daarom is het belangrijk om dit moment te koppelen aan je bredere strategie rond informatiebeveiliging.
Gebruik dit moment om te controleren:
- Zijn je technische maatregelen nog voldoende?
- Is je wachtwoordbeleid streng genoeg?
- Worden updates en patches op tijd uitgevoerd?
- Is er een up-to-date back-upstrategie?
- Weten medewerkers hoe ze phishing herkennen?
Zodra het incident onder controle is, ga je over op evaluatie en structurele verbeteringen.
4. Het datalek melden bij de Autoriteit Persoonsgegevens (AP)
Een datalek ontdek je niet altijd direct. Maar zodra je het wél weet, begint de klok te tikken. De AVG verplicht organisaties om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP), tenzij het lek geen risico vormt voor de rechten en vrijheden van betrokkenen. Die beoordeling moet je snel en onderbouwd maken. Te laat of onvolledig melden kan leiden tot forse boetes!
Wanneer moet je een datalek melden aan de AP?
Niet elk datalek hoeft gemeld te worden, maar als er kans is op schade voor betrokkenen, moet je in actie komen. De meldplicht geldt voor verwerkers en verwerkingsverantwoordelijken, van zzp’er tot multinational.
Je bent verplicht te melden als:
- Er sprake is van verlies van vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens
- De getroffen gegevens mogelijk kunnen leiden tot schade (zoals identiteitsfraude, reputatieschade of financiële schade)
- Je geen passende technische of organisatorische beveiligingsmaatregelen had om het risico te beperken
Voorbeelden van meldplichtige situaties:
- Een laptop met klantgegevens wordt gestolen en was niet versleuteld
- Een onbevoegde medewerker krijgt toegang tot personeelsdossiers
- Een server met klantdata wordt versleuteld door ransomware
- E-mails met gevoelige informatie worden naar de verkeerde ontvanger gestuurd
Twijfel je? Dan wordt geadviseerd om wél te melden. De AP straft te laat melden zwaarder dan melden terwijl het achteraf niet nodig was.
Inhoud van de melding en de 72-uurs termijn
De meldplicht gaat in vanaf het moment dat je het datalek ontdekt of redelijkerwijs had kunnen ontdekken. Je hebt dan 72 uur om het incident te melden bij het Meldloket Datalekken van de AP.
De melding moet bevatten:
- Een omschrijving van het datalek
- Aantal betrokkenen en de categorieën persoonsgegevens
- Gevolgen van het datalek
- Maatregelen die je hebt genomen of nog gaat nemen
- Naam en contactgegevens van je Functionaris Gegevensbescherming (FG), als die er is
- Of je ook de betrokkenen al hebt geïnformeerd
Let op: je hoeft het onderzoek niet volledig afgerond te hebben. Je mag een eerste melding doen en later aanvullen zodra je meer weet. Maar wacht niet met de eerste stap. Meld bij twijfel met de informatie die je hebt, en werk de melding later bij.
Uitzonderingen: wanneer is melden niet verplicht?
In sommige gevallen hoef je het datalek niet te melden aan de AP. Dat geldt alleen als er waarschijnlijk geen risico is voor de rechten en vrijheden van natuurlijke personen.
Je hoeft niet te melden als:
- De gelekte gegevens versleuteld of anderszins onbruikbaar zijn gemaakt
- De toegang tot de gegevens tijdig is geblokkeerd en er geen sprake was van dataverlies
- De gegevens geen risico vormen (bijvoorbeeld interne testdata zonder echte persoonsgegevens)
Let op: de bewijslast ligt bij jou. Je moet goed kunnen uitleggen waarom je hebt besloten níet te melden. Documenteer die beslissing dus altijd in je datalekkenregister.
Praktijkvoorbeelden van meldplicht
1. Ransomware zonder back-up
Een mkb-bedrijf wordt getroffen door ransomware. Klantdata op de server zijn versleuteld en niet langer beschikbaar. Er is geen recente back-up. In dit geval is melden verplicht, want de beschikbaarheid van persoonsgegevens is aangetast.
2. Verloren smartphone met klantgegevens
Een medewerker verliest zijn zakelijke telefoon met toegang tot de mailbox. De telefoon had geen pincode of encryptie. Er is sprake van verlies van vertrouwelijkheid. De AP moet worden geïnformeerd.
3. Verkeerd geadresseerde e-mail
Een e-mail met medische informatie wordt per ongeluk naar een verkeerde ontvanger gestuurd. Omdat het om gevoelige gegevens gaat, is er sprake van hoog risico. Het datalek moet gemeld worden én de betrokkenen moeten geïnformeerd worden.
4. USB-stick kwijt, maar versleuteld
Een medewerker raakt een USB-stick kwijt met klantgegevens, maar de stick is versleuteld met sterke encryptie. Omdat de data onbruikbaar is voor derden, is melden in dit geval niet verplicht. Wél moet je het incident intern documenteren.
Zorg voor een meldplan als onderdeel van informatiebeveiliging
Een snelle en correcte melding is alleen mogelijk als je voorbereid bent. Zorg dat melden van een datalek een vast onderdeel is van je informatiebeveiligingsbeleid.
Minimale voorbereiding:
- Bepaal wie verantwoordelijk is voor het doen van de melding
- Zorg dat alle medewerkers weten dat ze een incident intern moeten melden
- Gebruik een standaard meldformulier om snel gegevens te verzamelen
- Hou contactgegevens van de Autoriteit Persoonsgegevens en het meldloket bij de hand
- Controleer regelmatig of je meldproces nog actueel is
Met deze basis kun je binnen 72 uur handelen zonder paniek of fouten. Een goede melding beperkt niet alleen boetes, maar versterkt ook je geloofwaardigheid richting klanten en partners.
5. Betrokkenen informeren over het datalek
Een datalek raakt niet alleen je systemen, maar ook echte mensen. Als hun gegevens op straat liggen, hebben ze het recht om dat te weten. De AVG verplicht je om betrokkenen te informeren als het lek een hoog risico vormt voor hun privacy. Dat betekent niet alleen een melding doen bij de Autoriteit Persoonsgegevens, maar ook duidelijke communicatie richting de slachtoffers. Hoe je dat aanpakt, bepaalt mede hoe groot de schade wordt.
Wanneer moet je betrokkenen informeren? (hoog risico criteria)
Je bent verplicht om de getroffen personen op de hoogte te stellen wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden.
Voorbeelden van hoog risico situaties:
- Gegevens kunnen leiden tot identiteitsfraude (zoals BSN of kopieën van ID’s)
- Er is toegang geweest tot medische of financiële gegevens
- Login- of accountgegevens zijn gestolen
- Er is kans op misbruik via phishing of oplichting
- Data is publiek toegankelijk geworden (bijvoorbeeld via een gelekte database)
Je hoeft betrokkenen niet te informeren als:
- De gegevens zijn versleuteld of anderszins onbruikbaar gemaakt
- Je direct maatregelen hebt genomen waardoor het risico is weggenomen
- Het informeren onevenredig veel inspanning vraagt, en je in plaats daarvan een algemene bekendmaking doet (zoals op een website of in een advertentie)
Toch geldt: wees liever te transparant dan te afwachtend. Veel organisaties herstellen vertrouwen juist door open te communiceren, ook als dat niet verplicht is.
Hoe communiceer je een datalek aan getroffen personen?
De manier waarop je betrokkenen informeert, is net zo belangrijk als de inhoud. Je boodschap moet helder, eerlijk en bruikbaar zijn. Geen juridisch jargon of vaag taalgebruik.
Goede communicatie is:
- Direct en begrijpelijk, zonder vaagheden
- Gericht op de impact voor de ontvanger
- Voorzien van concrete instructies wat iemand zelf kan doen
- Verstuurd via het juiste kanaal (e-mail, brief, of telefonisch bij zeer gevoelige gevallen)
Slecht voorbeeld:
“Er is mogelijk een incident geweest met gegevens van klanten. Het is onduidelijk wat er precies is gebeurd.”
→ Onduidelijk, geen actie, geen vertrouwen.
Goed voorbeeld:
“Op 28 augustus is ons klantensysteem getroffen door een cyberaanval. Daarbij is toegang verkregen tot namen, adressen en IBAN-nummers. Uw wachtwoord is niet geraakt, maar we raden aan alert te zijn op ongewenste e-mails of verdachte betalingen.”
Wees eerlijk over wat je weet, maar beloof niets wat je niet kunt waarmaken. Laat zien dat je verantwoordelijkheid neemt.
Inhoud van de notificatie: wat moeten slachtoffers weten?
De AVG stelt eisen aan wat je precies moet vertellen aan de betrokkenen. De melding moet duidelijk maken wat er is gebeurd en welke gevolgen dit kan hebben.
Vermeld in elk geval:
- Wat er is gebeurd (in duidelijke taal)
- Wanneer het is gebeurd en wanneer het ontdekt is
- Welke gegevens zijn getroffen
- Wat de mogelijke risico’s zijn voor de persoon in kwestie
- Welke maatregelen jij hebt genomen
- Wat de persoon zelf kan doen om schade te beperken
- Hoe diegene contact met je kan opnemen bij vragen
Zorg dat mensen zich gehoord voelen en bied ze een duidelijke route voor ondersteuning. Vaak kun je met een speciaal telefoonnummer of hulppagina veel frustratie voorkomen.
Advies aan slachtoffers om schade te beperken
Een goede datalekmelding stopt niet bij informeren. Geef ook bruikbaar advies waarmee betrokkenen zich kunnen beschermen tegen mogelijk misbruik.
Veelvoorkomende adviezen zijn:
- Wijzig je wachtwoord (zeker als hetzelfde wachtwoord ook op andere plekken wordt gebruikt)
- Wees alert op phishing: mails die proberen persoonlijke gegevens los te krijgen
- Controleer je bankafschriften op ongebruikelijke transacties
- Maak een melding bij de bank of relevante instanties als je denkt dat gegevens worden misbruikt
- Gebruik tweestapsverificatie (MFA) waar mogelijk voor extra beveiliging
Soms is het zinvol om betrokkenen extra diensten aan te bieden, zoals een jaar gratis monitoring op identiteitsmisbruik. Zeker bij gevoelige gegevens kan dit helpen om vertrouwen te herstellen.
Onderdeel van informatiebeveiligingsstrategie
Het informeren van betrokkenen is geen losstaande actie. Het hoort bij een complete strategie voor informatiebeveiliging waarin je verantwoordelijkheid neemt, zowel intern als extern.
Integreer in je beleid:
- Een standaardprocedure voor notificatie bij een datalek
- Templates voor meldingen (e-mail en brief) die snel aangepast kunnen worden
- Training voor medewerkers over communicatie bij incidenten
- Samenwerking met juridische en PR-teams om fouten te voorkomen
6. Registratie en documentatie van datalekken
Een datalek melden is één ding. Kun je niet aantonen wat er precies is gebeurd en hoe je hebt gereageerd, dan ben je alsnog kwetsbaar. Volgens de AVG ben je verplicht om elk datalek intern te registreren, ook als het niet meldingsplichtig is bij de Autoriteit Persoonsgegevens. Goed documenteren is dus geen extraatje, maar een basisverplichting binnen je informatiebeveiliging.
Een degelijk datalekkenregister is ook onmisbaar bij audits, klachtenprocedures, verzekeringsclaims en toetsing aan normen zoals ISO 27001.
Het bijhouden van een datalekkenregister
Artikel 33, lid 5 van de AVG verplicht iedere organisatie om datalekken intern vast te leggen. Deze documentatie moet beschikbaar zijn voor de Autoriteit Persoonsgegevens, als bewijs van je verantwoordelijkheid en zorgvuldigheid.
Waarom een datalekkenregister noodzakelijk is:
- Voldoen aan de AVG (bewijs van naleving)
- Inzicht krijgen in terugkerende problemen of kwetsbaarheden
- Mogelijke patronen herkennen (bijvoorbeeld phishing of fouten bij verzending)
- Voorbereid zijn op vragen of controles van toezichthouders
- Onderbouwing bij juridische claims of boetes
Zelfs kleine incidenten, zoals een fout verzonden e-mail zonder directe gevolgen, moeten worden geregistreerd. Dat toont aan dat je elk incident serieus neemt en dat informatiebeveiliging structureel is ingebed.
Welke informatie leg je vast bij een datalek?
Je hoeft geen roman te schrijven, maar je registratie moet wel compleet zijn. De Autoriteit Persoonsgegevens wil kunnen zien dat je hebt nagedacht over risico’s en maatregelen.
Minimaal opnemen in je datalekdocumentatie:
- Datum en tijdstip van ontdekking van het datalek
- Beschrijving van het incident (wat is er gebeurd?)
- Oorzaak van het lek (bijvoorbeeld menselijke fout, hack, technisch probleem)
- Welke gegevens zijn getroffen en hoeveel personen betrokken zijn
- Beoordeling van het risico voor betrokkenen (laag, gemiddeld, hoog)
- Acties die zijn ondernomen om het lek te stoppen en schade te beperken
- Wel of geen melding aan de Autoriteit Persoonsgegevens en betrokkenen (met motivatie)
- Maatregelen ter voorkoming van herhaling
Maak dit onderdeel van je standaardproces bij incident response. Hoe sneller je registreert, hoe betrouwbaarder de informatie is.
Voorbeeld van een goede datalekregistratie
Voorbeeld:
- Datum: 12 augustus 2025
- Tijdstip ontdekking: 09:40 uur
- Omschrijving: HR-medewerker heeft een e-mail met een salarisspecificatie per ongeluk naar de verkeerde collega gestuurd
- Aantal betrokkenen: 1 persoon
- Type gegevens: NAW, salarisgegevens, personeelsnummer
- Risico-inschatting: Laag
- Maatregelen: Onmiddellijk contact opgenomen met ontvanger, e-mail verwijderd uit inbox
- Melding aan AP: Niet gedaan, vanwege laag risico en beperkte impact
- Interne actie: HR-team geïnformeerd, extra controle bij verzending ingevoerd
Met dit niveau van detail toon je aan dat je incidenten serieus neemt en dat er wordt geleerd van fouten.
Voorbereid zijn op controle van de AP
De Autoriteit Persoonsgegevens kan op elk moment vragen om inzage in je datalekkenregister. Dit gebeurt vaak:
- Tijdens een onderzoek na een melding
- Bij klachten van betrokkenen
- Als je eerder bent beboet of gewaarschuwd
- In het kader van een periodieke audit of handhaving
Zorg dat je register:
- Up-to-date is
- Overzichtelijk en volledig is ingevuld
- Beveiligd is opgeslagen, met beperkte toegang
- Aansluit bij je bredere informatiebeveiligingsbeleid
Wie werkt met normen zoals ISO 27001, heeft vaak al een systeem voor incidentregistratie. Koppel je datalekkenregistratie hieraan, zodat alles op één plek beheerd wordt. ISO 27001 vereist dat je aantoonbaar kunt omgaan met beveiligingsincidenten, inclusief privacy-incidenten zoals datalekken.
Maak registratie een vast onderdeel van je informatiebeveiliging
Datalekken documenteren moet geen losse handeling zijn, maar een vast onderdeel van je security-aanpak.
Integreer het in je organisatie door:
- Een standaardformulier of -systeem in te richten
- Medewerkers te trainen in het melden en registreren van incidenten
- Verantwoordelijken aan te wijzen voor beoordeling en opvolging
- Regelmatig audits uit te voeren op de volledigheid van het register
- Incidenten periodiek te analyseren en rapporteren aan het management
Door registratie serieus aan te pakken, vergroot je je weerbaarheid. Het voorkomt herhaling, geeft inzicht en bewijst dat je grip hebt op privacy- en beveiligingsrisico’s.
7. Lessen trekken en toekomstige datalekken voorkomen
Een datalek is vervelend, maar ook een kans. Elk incident laat zien waar je beveiliging of processen tekortschieten. Wie die signalen negeert, loopt onnodig risico op herhaling. Preventie begint met het serieus nemen van je eigen fouten én het structureel versterken van je informatiebeveiliging. In dit hoofdstuk ontdek je hoe je datalekken voorkomt, leert van eerdere incidenten en je organisatie weerbaarder maakt.
Evaluatie na een datalek: wat ging mis en wat leren we ervan?
Zodra een datalek is afgehandeld, is het tijd voor reflectie. Niet alleen om aan te tonen dat je hebt gehandeld volgens de AVG, maar ook om intern te verbeteren. Veel organisaties slaan deze stap over, en blijven zo kwetsbaar.
Stel na elk incident de volgende vragen:
- Waardoor is het incident ontstaan (mens, proces of techniek)?
- Hoe snel is het ontdekt?
- Is er adequaat gereageerd of waren er vertragingen?
- Welke maatregelen hadden het incident kunnen voorkomen?
- Was er voldoende kennis aanwezig bij medewerkers?
- Moet het beleid worden aangepast?
Documenteer deze evaluatie, bespreek het met verantwoordelijken en koppel concrete acties aan de uitkomsten. Zet die acties ook in gang. Alleen dan heeft evalueren zin.
Technische maatregelen om nieuwe datalekken te voorkomen
Informatiebeveiliging begint bij techniek. Veel datalekken ontstaan door verouderde systemen, gebrekkige configuratie of het ontbreken van basisbeveiliging.
Technische maatregelen die je direct kunt inzetten:
- Voer automatische updates en patches uit om bekende kwetsbaarheden te dichten
- Versleutel gegevens, zowel tijdens opslag als transport
- Gebruik sterke wachtwoorden en een wachtwoordmanager
- Schakel meerfactorauthenticatie (MFA) in voor alle accounts met toegang tot persoonsgegevens
- Beperk toegangsrechten tot het minimum dat medewerkers nodig hebben (principe van minimale privileges)
- Implementeer netwerksegmentatie om de impact van een hack te beperken
- Zorg voor back-ups die versleuteld zijn én offline worden opgeslagen
- Monitor verdachte activiteiten met logging en detectietools
Wil je serieus aan de slag? Overweeg dan certificering volgens ISO 27001. Dit is een internationaal erkende norm voor informatiebeveiliging, waarbij je aantoont dat je processen, risico’s en technische maatregelen op orde hebt.
Organisatorische maatregelen: training en bewustzijn bij personeel
De mens is vaak de zwakste schakel in informatiebeveiliging. Eén klik op een phishingmail kan al leiden tot een datalek. Preventie vraagt dus ook om gedragsverandering.
Effectieve organisatorische maatregelen zijn:
- Structurele awareness-training voor medewerkers
- Phishing-simulaties om gedrag te testen en te verbeteren
- Heldere protocollen voor omgaan met persoonsgegevens
- Regels voor thuiswerken en gebruik van privéapparaten
- Toegangsbeheer met periodieke controle van rechten
- Privacy by design integreren in processen en systemen
Zorg dat medewerkers begrijpen wat de gevolgen zijn van een datalek, en welke rol zij zelf spelen in het voorkomen ervan. Betrokkenheid is sterker dan regels opleggen.
Periodieke audits en verbeteringen in het beveiligingsbeleid
Een sterk beveiligingsbeleid is nooit af. Wetgeving verandert, dreigingen evolueren en systemen worden complexer. Door regelmatig te toetsen en bij te sturen, blijf je als organisatie in controle.
Wat je minimaal jaarlijks zou moeten doen:
- Beveiligingsbeleid en procedures herzien
- Audits uitvoeren op systemen, toegangsrechten en processen
- Risicoanalyses uitvoeren op nieuwe systemen of diensten
- Incidentenrapportages analyseren op trends en patronen
- Plan van aanpak opstellen voor zwakke punten die zijn gevonden
- Beleidsdocumenten updaten conform AVG en eventuele sectorregels
Werk je met ISO 27001 of vergelijkbare normen, dan ben je al gewend om dit periodiek te doen. Maar ook zonder certificering is een eigen jaarlijkse veiligheidscheck sterk aan te raden.
Preventie als onderdeel van je informatiebeveiliging
Datalekken zijn nooit volledig uit te sluiten, maar met een goede informatiebeveiligingsstructuur verklein je de kans en beperk je de impact.
Integreer preventie structureel door:
- Informatiebeveiliging op te nemen in het managementbeleid
- Eén persoon of team verantwoordelijk te maken voor security
- Jaarlijkse doelstellingen te stellen rond beveiliging en AVG-compliance
- Samen te werken met betrouwbare IT-partners die veiligheid serieus nemen
- Niet alleen techniek, maar ook mensen en processen aan te pakken
Zo wordt informatiebeveiliging een vast onderdeel van je bedrijfsvoering, in plaats van iets dat je alleen erbij doet na een incident.
8. De 10 belangrijkste take aways
Dit zijn de belangrijkste inzichten als je te maken krijgt met een datalek. Deze inzichten helpen je om controle te houden, fouten te voorkomen en te voldoen aan de AVG:
- Een datalek is meer dan diefstal van gegevens
Ook verlies, wijziging of onbedoelde toegang tot persoonsgegevens valt onder een datalek volgens de AVG. Zelfs een fout verzonden e-mail kan meldplichtig zijn. - Je hebt 72 uur om te melden bij de AP
De klok begint te lopen zodra je het datalek ontdekt. Te laat melden kan leiden tot boetes en toezicht. - Niet elk datalek is meldplichtig, maar wel registratieplichtig
Ook kleine incidenten moeten intern worden vastgelegd. Alleen zo kun je aantonen dat je zorgvuldig handelt. - Een ransomware-aanval is vaak een datalek
Als bestanden versleuteld zijn of mogelijk zijn ingezien, geldt de meldplicht. Dit geldt ook als je nog onderzoekt wat er precies is geraakt. - Informatiebeveiliging gaat verder dan techniek
Menselijke fouten veroorzaken de meeste datalekken. Bewustwording en duidelijke processen zijn minstens zo belangrijk. - Betrokkenen informeren is verplicht bij hoog risico
Als mensen schade kunnen ondervinden van het lek, moet je hen waarschuwen. Duidelijke communicatie beperkt paniek en reputatieschade. - Goede documentatie is wettelijk verplicht
De Autoriteit Persoonsgegevens kan altijd inzage vragen in je datalekkenregister. Zorg voor overzicht, volledigheid en actualiteit. - Snel handelen begint met voorbereiding
Zonder meldplan, aanspreekpunten en vast proces verlies je kostbare tijd. Voorbereiding is onderdeel van goede informatiebeveiliging. - Elke organisatie loopt risico, ook het mkb en zzp’ers
Kleine bedrijven hebben vaak minder beveiliging en minder kennis. De gevolgen van een lek kunnen juist voor hen extra zwaar zijn. - Leren van fouten voorkomt herhaling
Evalueer elk incident, pas processen aan en train je team. Wie structureel verbetert, wordt weerbaarder tegen nieuwe datalekken.
