Bijna 40.000 datalekmeldingen per jaar — en de simpelste oorzaak blijft menselijk

Wie "datalek" hoort, denkt aan hackers in donkere kamers. De meldcijfers van de Autoriteit Persoonsgegevens vertellen een ander verhaal. Van de bijna 39.000 meldingen die de toezichthouder vorig jaar ontving, ging het leeuwendeel niet om geavanceerde aanvallen, maar om iets veel gewoners: post en e-mail aan de verkeerde ontvanger, kwijtgeraakte apparaten, verkeerd ingestelde systemen.

De verkeerde geadresseerde als grootste lek

Ongeveer twee derde van de meldingen betreft verkeerd geadresseerde brieven en mails. Een dossier naar de verkeerde patiënt, een salarisoverzicht naar de hele afdeling in plaats van één medewerker, een cc waar een bcc had gemoeten. Geen kwade opzet, wel een datalek — met dezelfde meldplicht als na een hack.

Dat is een geruststellende én ongemakkelijke conclusie tegelijk. Geruststellend, omdat de meeste lekken te voorkomen zijn met simpele afspraken: standaard bcc bij groepsmails, een vier-ogen-moment bij gevoelige verzendingen, automatisch vertraagd verzenden. Ongemakkelijk, omdat technologie je hier maar beperkt redt — dit gaat over werkgewoonten.

Melden blijft de plicht, ook bij een "klein" lek

De regels zijn onveranderd streng: een datalek met risico voor betrokkenen meld je binnen 72 uur bij de AP, en álle lekken — ook de niet-gemelde — leg je vast in je eigen register. Juist bij de alledaagse gevallen gaat dat vaak mis, simpelweg omdat niemand het als "echt datalek" herkent.

Twijfel je of iets meldplichtig is? Onze gids datalek melden bij de AP: wanneer en hoe? neemt de afweging stap voor stap met je door. En bij een groter incident waar ook systemen bij betrokken zijn: het loket koppelt je aan een AVG-jurist of incident-expert die de melding met je oppakt.