Een datalek melden bij de Autoriteit Persoonsgegevens doe je via het online meldloket op de website van de AP, bij voorkeur binnen 72 uur nadat je het lek hebt ontdekt. Dit is een wettelijke verplichting onder de Algemene Verordening Gegevensbescherming (AVG) voor alle organisaties die persoonsgegevens verwerken. In dit artikel beantwoorden we de meest gestelde vragen over de meldplicht datalekken, van wanneer je verplicht bent te melden tot hoe je een datalek in de toekomst kunt voorkomen.
Wanneer ben je verplicht een datalek te melden bij de AP?
Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens wanneer het lek een risico oplevert voor de rechten en vrijheden van de betrokken personen. Dat is het geval bij vrijwel elk incident waarbij persoonsgegevens onbedoeld verloren gaan, worden gewijzigd, openbaar worden gemaakt of toegankelijk worden voor onbevoegden.
De AVG maakt onderscheid tussen twee drempels. Bij een gewoon risico moet je het lek melden aan de AP. Bij een hoog risico moet je bovendien de betrokkenen zelf informeren. Alleen als je met zekerheid kunt aantonen dat het lek géén risico oplevert voor betrokkenen, mag je afzien van melding. In de praktijk is die zekerheid zelden aanwezig, dus de vuistregel is: twijfel je, meld dan.
Voorbeelden van situaties die doorgaans meldplichtig zijn:
- Een laptop met onversleutelde klantgegevens wordt gestolen
- Een e-mail met persoonsgegevens wordt naar de verkeerde ontvanger gestuurd
- Een ransomware-aanval vergrendelt systemen met patiëntdossiers
- Een medewerker verwijdert per ongeluk een database zonder back-up
- Een externe partij krijgt onbedoeld toegang tot klantgegevens
Organisaties die vallen onder de NIS2-regelgeving hebben daarnaast te maken met een aanvullende meldplicht voor significante cyberincidenten, los van de AVG-meldplicht. Die twee verplichtingen kunnen tegelijk van toepassing zijn op hetzelfde incident.
Wat moet je melden bij de Autoriteit Persoonsgegevens?
Bij een datalekmelding bij de AP moet je een aantal concrete gegevens aanleveren: een beschrijving van het incident, de categorieën en het geschatte aantal betrokkenen, de verwachte gevolgen en de maatregelen die je hebt genomen of nog gaat nemen. Hoe gedetailleerder de melding, hoe beter de AP het incident kan beoordelen.
De AP vraagt in het meldformulier minimaal het volgende:
- De aard van het datalek: wat is er precies gebeurd?
- Welke categorieën persoonsgegevens zijn betrokken (bijvoorbeeld gezondheidsgegevens, financiële gegevens, inloggegevens)?
- Hoeveel personen zijn (mogelijk) getroffen?
- Wat zijn de waarschijnlijke gevolgen van het lek?
- Welke maatregelen zijn genomen om het lek te beperken en herhaling te voorkomen?
- Contactgegevens van de Functionaris Gegevensbescherming (FG) of een andere contactpersoon
Als je op het moment van melden nog niet alle informatie beschikbaar hebt, is dat geen reden om te wachten. Je kunt een eerste melding doen met de informatie die je op dat moment hebt, en de melding later aanvullen. De AP verwacht wel dat je actief werkt aan het verzamelen van de ontbrekende gegevens.
Hoe meld je een datalek stap voor stap?
Een datalek melden bij de AP verloopt via het online meldloket op autoriteitpersoonsgegevens.nl. Het proces bestaat uit een aantal vaste stappen die je zo snel mogelijk na ontdekking van het incident doorloopt, met de 72-uurstermijn als harde deadline.
Stap 1: Stel vast of er sprake is van een meldplichtig datalek
Niet elk beveiligingsincident is automatisch een meldplichtig datalek. Beoordeel eerst of er persoonsgegevens bij betrokken zijn en of het incident een risico oplevert voor betrokkenen. Raadpleeg hierbij je interne datalekprocedure of de Functionaris Gegevensbescherming als je die hebt aangesteld.
Stap 2: Documenteer het incident intern
Leg vast wat er is gebeurd, wanneer je het ontdekte, welke gegevens zijn betrokken en welke maatregelen je direct hebt getroffen. Deze documentatie is verplicht onder de AVG, ongeacht of je het lek extern meldt. De AP kan om deze interne registratie vragen bij een controle.
Stap 3: Doe de melding binnen 72 uur
Ga naar het meldloket van de AP en vul het formulier zo volledig mogelijk in. De 72-uurstermijn telt vanaf het moment dat je als organisatie redelijkerwijs op de hoogte kon zijn van het lek, niet pas vanaf het moment dat je er zeker van bent. Vermeld in de melding expliciet als je informatie nog niet compleet is en wanneer je verwacht dit aan te vullen.
Stap 4: Aanvullende informatie indienen
Als je na de eerste melding meer informatie beschikbaar krijgt, dien je een aanvulling in via het meldloket. Zorg dat de melding binnen een redelijke termijn volledig is. Voor organisaties die ook onder de Cyberbeveiligingswet vallen, geldt een vergelijkbare drietrapsstructuur: een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand.
Moet je ook betrokkenen informeren bij een datalek?
Ja, maar alleen als het datalek een hoog risico oplevert voor de betrokkenen. In dat geval ben je verplicht hen zonder onredelijke vertraging te informeren over wat er is gebeurd en wat zij zelf kunnen doen om zich te beschermen. Dit is een aparte verplichting bovenop de melding aan de AP.
Een hoog risico is aanwezig wanneer het lek ernstige gevolgen kan hebben voor mensen, zoals identiteitsfraude, financiële schade, reputatieschade of discriminatie. Denk aan het lekken van wachtwoorden, bankgegevens, medische informatie of gegevens van kwetsbare groepen zoals kinderen.
In de communicatie aan betrokkenen moet je in begrijpelijke taal uitleggen:
- Wat er is gebeurd
- Welke gegevens zijn betrokken
- Welke gevolgen dat voor hen kan hebben
- Welke maatregelen jij als organisatie hebt genomen
- Wat zij zelf kunnen doen, zoals het wijzigen van wachtwoorden
- Bij wie ze terecht kunnen met vragen
Er zijn drie situaties waarin je betrokkenen niet hoeft te informeren, ook al is er sprake van een hoog risico: als de getroffen gegevens effectief versleuteld waren, als je achteraf maatregelen hebt genomen die het hoge risico alsnog wegnemen, of als het informeren van betrokkenen onevenredig veel inspanning zou vergen. In dat laatste geval moet je wel een publieke mededeling doen.
Wat zijn de gevolgen als je een datalek niet meldt?
Als je een meldplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet van je organisatie. Bovendien kan de AP aanvullende handhavingsmaatregelen opleggen en is reputatieschade bij betrokkenen en de markt een reëel bijkomend gevolg.
De AP beoordeelt bij handhaving niet alleen of je hebt gemeld, maar ook hoe snel je dat deed, hoe volledig de melding was en welke maatregelen je had genomen. Organisaties die aantoonbaar hebben geprobeerd het juiste te doen maar fouten hebben gemaakt, worden doorgaans minder hard aangepakt dan organisaties die bewust niet meldden.
Naast de directe boete zijn er indirecte gevolgen die minstens zo ingrijpend kunnen zijn:
- Verlies van vertrouwen bij klanten, patiënten of burgers
- Aansprakelijkheidsclaims van gedupeerde betrokkenen
- Negatieve publiciteit en mediaaandacht
- Verhoogd toezicht en herhaalde audits door de AP
Het niet melden van een datalek is zelden een bewuste keuze, maar vaker het gevolg van onduidelijke interne procedures, onvoldoende bewustzijn of een te trage detectie van het incident. Juist daarom is een goed ingericht incidentresponsproces zo waardevol.
Hoe voorkom je dat een datalek meldplichtig wordt?
Een datalek is niet altijd te voorkomen, maar je kunt de kans aanzienlijk verkleinen dat een incident meldplichtig wordt. De sleutel ligt in het nemen van preventieve technische en organisatorische maatregelen die de impact van een incident beperken voordat het escaleert.
De meest effectieve maatregelen om de melddrempel te verlagen:
- Versleuteling van persoonsgegevens: Als gestolen of gelekte data versleuteld zijn, levert dat doorgaans geen risico op voor betrokkenen en hoef je niet te melden
- Sterke toegangsbeveiliging: Multi-factorauthenticatie en strikte toegangsrechten beperken de schade bij een inbreuk
- Minimale gegevensverwerking: Verwerk alleen de persoonsgegevens die je echt nodig hebt, zodat een lek minder gegevens raakt
- Bewustwording bij medewerkers: Veel datalekken ontstaan door menselijke fouten, zoals het versturen van e-mail naar de verkeerde ontvanger of het klikken op phishinglinks
- Regelmatige penetratietests: Door kwetsbaarheden proactief te ontdekken, kun je ze dichten voordat een aanvaller ze uitbuit
- Duidelijke interne procedures: Een goed gedocumenteerde datalekprocedure zorgt dat medewerkers weten wat ze moeten doen bij een vermoedelijk incident
Preventie is geen eenmalig project maar een doorlopend proces. Organisaties die cybersecurity structureel inbedden in hun beleid en processen, zijn beter in staat om incidenten vroeg te signaleren, de impact te beperken en aantoonbaar verantwoord te handelen als er toch iets misgaat.
Hoe Q-Cyber helpt bij datalekken en AVG-compliance
Een datalek melden is stressvol, zeker als de procedures niet op orde zijn. Wij helpen organisaties om zowel de preventieve kant als de reactieve kant van datalekbeheer goed in te richten, zodat je nooit voor verrassingen staat.
Concreet bieden wij:
- Gap-analyses en beleidsvorming: We brengen in kaart waar je organisatie kwetsbaar is en schrijven heldere procedures voor incidentrespons en datalekmeldingen
- Technische scans en pentests: We testen actief op kwetsbaarheden die tot een datalek kunnen leiden, zodat je ze kunt dichten voordat ze worden misbruikt
- Virtuele CISO via Continuous-Q: Een team van specialisten dat structureel meekijkt met jouw cybersecuritybeleid, inclusief AVG-compliance en meldplichtprocedures
- Trainingen voor medewerkers en bestuurders: Van bewustwordingssessies tot gerichte trainingen over de meldplicht en bestuurlijke verantwoordelijkheid
- Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, waardoor ons advies altijd in jouw belang is
Of je nu voor het eerst een datalekprocedure wilt opzetten of je huidige aanpak wilt versterken: neem contact op en we kijken samen wat jouw organisatie nodig heeft.
Gerelateerde artikelen
- Wat is de rol van het management bij NIS2-naleving?
- Wat eist NIS2 op het gebied van back-ups?
- Wat is het verschil tussen ISO 27001 en NIS2?
- E-mailbeveiliging: SPF, DKIM en DMARC uitgelegd
- Wat is threat intelligence?
- Hoe voorkom ik dat ik opnieuw word gehackt?
- Hoe weet ik of mijn webapplicatie veilig genoeg is voor livegang?
- Wat is het verschil tussen pentesten en vulnerability scanning?
- Wat is pentesten?
- Hoe werkt een pentest in de praktijk?