Datalek melden bij de Autoriteit Persoonsgegevens: wanneer en hoe?

Is het een datalek? (en niet elke storing is er één)

Er is sprake van een datalek als er persoonsgegevens bij betrokken zijn én er een beveiligingsincident is geweest. Een puur technische storing zonder dat gegevens verloren of toegankelijk zijn, is geen datalek. Twijfelgevallen zijn juist wél vaak een lek: een openstaande mailbox, een verloren usb-stick, of een medewerker die per ongeluk een bestand met klantgegevens naar de verkeerde persoon stuurt.

Moet je het bij de AP melden? De 72-uursregel

Je moet een datalek binnen 72 uur na ontdekking melden bij de AP, tenzij het waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van de betrokkenen. Die risico-inschatting is de kern van de afweging. De klok begint bij ontdekking, niet bij het incident zelf, en loopt door in het weekend.

Vuistregels: een lek van gevoelige gegevens (gezondheid, BSN, financiële gegevens, inloggegevens) of van grote hoeveelheden gegevens houdt vrijwel altijd een risico in en moet je melden. Een klein lek met beperkte, niet-gevoelige gegevens dat je direct hebt ingedamd, hoeft mogelijk niet — maar leg die afweging dan wel vast.

Kom je later dan 72 uur? Melden kan en moet alsnog; geef er dan de reden van de vertraging bij. Twijfel je? De veilige keuze is melden — een terechte melding wordt je niet aangerekend, een ten onrechte achterwege gelaten melding wel.

Moet je ook de betrokkenen informeren?

Naast de melding bij de AP moet je de betrokkenen zelf informeren als het lek waarschijnlijk een hoog risico voor hen inhoudt — bijvoorbeeld als hun gegevens misbruikt kunnen worden voor fraude of identiteitsdiefstal. Doe dat in duidelijke taal: wat is er gebeurd, welke gegevens, wat zijn de mogelijke gevolgen, wat doe je eraan, en wat kan de betrokkene zelf doen (zoals wachtwoorden wijzigen of alert zijn op phishing).

Wat moet je vastleggen?

Je bent verplicht álle datalekken te documenteren in een intern datalekregister, óók de lekken die je niet bij de AP hoeft te melden. Leg per lek vast:

• Wat er is gebeurd en wanneer je het ontdekte
• Welke categorieën en hoeveel betrokkenen en gegevens het betreft
• De waarschijnlijke gevolgen van het lek
• De maatregelen die je hebt genomen om het aan te pakken en te beperken
• Je afweging of je wel of niet hebt gemeld, met de onderbouwing

Stappenplan bij een (mogelijk) datalek

1. Beperk de schade: sluit het lek, trek toegang in, reset wachtwoorden, haal de verkeerd verzonden gegevens terug indien mogelijk.
2. Onderzoek wat er is gelekt: welke persoonsgegevens, van hoeveel mensen, en hoe gevoelig.
3. Beoordeel het risico voor de betrokkenen — dit bepaalt of je moet melden en of je betrokkenen moet informeren.
4. Meld binnen 72 uur bij de AP als er een risico is (via het meldloket op de website van de AP).
5. Informeer de betrokkenen bij een hoog risico, in begrijpelijke taal.
6. Leg alles vast in je datalekregister en verbeter waar het misging.

Veelgemaakte fouten

• De 72 uur laten verlopen omdat het onderzoek nog loopt — je mag melden met een eerste inschatting en later aanvullen.
• Alleen melden bij de AP en vergeten de betrokkenen te informeren bij hoog risico.
• Niet-gemelde lekken niet documenteren — het register is verplicht voor álle lekken.
• Een verwerker (bijvoorbeeld een IT-leverancier) die een lek niet of te laat doorgeeft; leg meldafspraken vast in de verwerkersovereenkomst.

Zit je middenin een incident en weet je niet of het een meldplichtig datalek is? Beschrijf je situatie via de intake — wij schonen je gegevens en koppelen je aan een AVG-jurist of incident-expert die de beoordeling met je maakt en, waar nodig, bij ransomware ook het technische spoor oppakt.