Wat moet een bedrijf doen bij een datalek?

Wat moet een bedrijf doen bij een datalek? De AVG-verplichtingen, meldtermijnen en stappen uitgelegd.

Bij een datalek moet een bedrijf snel en gestructureerd handelen: de situatie in kaart brengen, beoordelen of melding verplicht is, en waar nodig betrokkenen informeren. De AVG stelt duidelijke termijnen en verplichtingen, ook voor commerciële organisaties. De vragen hieronder helpen je om stap voor stap te begrijpen wat er van je verwacht wordt.

Wanneer is er officieel sprake van een datalek?

Een datalek is elk beveiligingsincident waarbij persoonsgegevens verloren gaan, worden vernietigd, gewijzigd, onbevoegd worden gedeeld of toegankelijk worden voor mensen die er geen recht op hebben. Dat geldt niet alleen voor gestolen data, maar ook voor een verkeerd verstuurde e-mail, een verloren laptop of een onbedoeld openbaar gemaakte klantenlijst.

Het begrip is daarmee breder dan veel organisaties verwachten. Niet elk incident leidt automatisch tot een meldplicht, maar elk incident waarbij persoonsgegevens betrokken zijn valt in principe onder de definitie van de AVG. De eerste vraag die je intern moet beantwoorden is dus niet “is dit erg genoeg om te melden?”, maar “zijn er persoonsgegevens bij betrokken?”

Voorbeelden van situaties die als datalek kwalificeren:

Een medewerker stuurt een e-mail met klantgegevens naar het verkeerde adres
Een laptop met bedrijfsdata wordt gestolen of raakt verloren
Een ransomware-aanval versleutelt bestanden met persoonsgegevens
Een cloudopslag is per ongeluk openbaar ingesteld
Een leverancier meldt dat klantdata bij hem is ingezien door onbevoegden

Moet een datalek altijd worden gemeld bij de Autoriteit Persoonsgegevens?

Nee, niet elk datalek hoeft gemeld te worden bij de Autoriteit Persoonsgegevens (AP). Melding is verplicht wanneer het datalek een risico oplevert voor de rechten en vrijheden van de betrokken personen. Is dat risico verwaarloosbaar, dan hoef je het incident alleen intern te documenteren.

De beoordeling draait om de ernst van het incident. Daarbij spelen factoren mee zoals het type gegevens dat betrokken is, hoeveel personen het raakt, of de gegevens versleuteld waren en of de data al daadwerkelijk is ingezien of misbruikt. Gevoelige categorieën zoals financiële gegevens, gezondheidsdata of inloggegevens verhogen de kans dat melding verplicht is.

Is er sprake van een hoog risico voor betrokkenen, dan moet je het datalek binnen 72 uur melden bij de AP. Die termijn begint te lopen op het moment dat je als organisatie redelijkerwijs op de hoogte had kunnen zijn van het incident. Wacht dus niet tot je alle details hebt; meld op basis van wat je op dat moment weet en vul de melding later aan als dat nodig is.

Welke stappen moet een bedrijf direct zetten na ontdekking?

Direct na ontdekking van een datalek zijn snelheid en overzicht het belangrijkste. De eerste uren bepalen of je de situatie beheerst of dat het incident groter wordt. Een vaste procedure maakt het verschil tussen gecontroleerd handelen en ad hoc besluiten onder druk.

Beperk de schade: Stop de oorzaak van het lek zo snel mogelijk. Blokkeer toegang, isoleer systemen of trek verkeerd verstuurde berichten terug waar dat kan.
Breng het incident in kaart: Stel vast welke persoonsgegevens betrokken zijn, hoeveel personen het raakt en hoe het lek is ontstaan.
Beoordeel de meldplicht: Bepaal op basis van de beschikbare informatie of het incident gemeld moet worden bij de AP en of betrokkenen geïnformeerd moeten worden.
Meld bij de AP als dat verplicht is: Doe dit binnen 72 uur na ontdekking. Gebruik het meldformulier van de AP en geef aan wat je al weet en wat nog onderzocht wordt.
Leg alles vast: Documenteer het incident, de genomen maatregelen en de gemaakte afwegingen. Dit is verplicht onder de AVG, ook als je besluit niet te melden.

Een gestructureerd GRC-proces helpt om dit soort afwegingen snel en consistent te maken, zonder dat je elke keer opnieuw het wiel uitvindt.

Hoe stel je betrokkenen op de juiste manier op de hoogte?

Betrokkenen informeren is verplicht wanneer een datalek waarschijnlijk een hoog risico oplevert voor hun rechten of vrijheden. De melding moet duidelijk, begrijpelijk en volledig zijn, zodat betrokkenen zelf kunnen inschatten wat ze moeten doen.

In de melding aan betrokkenen neem je in ieder geval op: wat er is gebeurd, welke gegevens betrokken zijn, wat de mogelijke gevolgen zijn en welke maatregelen je als organisatie al hebt genomen. Geef ook aan bij wie betrokkenen terecht kunnen met vragen, zoals een contactpersoon of functionaris voor gegevensbescherming.

Communiceer direct en zonder omwegen. Vage formuleringen als “er heeft mogelijk een incident plaatsgevonden” zijn niet alleen juridisch onvoldoende, ze ondermijnen ook het vertrouwen van klanten en zakenrelaties. Wees concreet over wat er is misgegaan en wat je doet om herhaling te voorkomen.

Wat zijn de gevolgen als een bedrijf een datalek niet (op tijd) meldt?

Als een bedrijf een meldplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, kan de AP een boete opleggen. Onder de AVG kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Naast financiële sancties kan de AP ook een verwerkingsverbod opleggen of aanvullende maatregelen eisen. Dat kan directe operationele gevolgen hebben. Bovendien tast een niet-gemeld datalek het vertrouwen van klanten, partners en aandeelhouders aan zodra het alsnog aan het licht komt, wat de reputatieschade vaak groter maakt dan de boete zelf.

Onbekendheid met de regels is geen geldig verweer. De AVG legt de verantwoordelijkheid uitdrukkelijk bij de organisatie die de gegevens verwerkt. Dat maakt een goed ingerichte datalekprocedure geen luxe, maar een zakelijke noodzaak.

Hoe voorkom je een volgend datalek na een incident?

Na een datalek is de belangrijkste vraag niet alleen wat er mis is gegaan, maar ook waarom de bestaande maatregelen het incident niet hebben voorkomen of eerder gesignaleerd. Structurele verbetering begint met een eerlijke analyse van de oorzaak.

Veelvoorkomende oorzaken zijn zwakke toegangsrechten, onvoldoende bewustzijn bij medewerkers, ontbrekende detectiemogelijkheden of een leverancier die niet aan de verwachte beveiligingsnormen voldoet. Elk van die oorzaken vraagt om een andere aanpak.

Concrete verbeterstappen na een incident zijn onder andere:

Toegangsrechten herzien op basis van het principe van minimale bevoegdheden
Medewerkers trainen op herkenning van verdachte situaties
Logging en monitoring verbeteren zodat incidenten sneller zichtbaar worden
Contracten met leveranciers toetsen op privacyverplichtingen
De datalekprocedure testen en actualiseren

Voor organisaties waarbij verantwoordelijkheden rondom informatiebeveiliging intern niet goed zijn belegd, kan externe CISO-begeleiding helpen om beleid, processen en technische maatregelen structureel op orde te brengen. Zo wordt een incident een startpunt voor verbetering in plaats van een terugkerend probleem.

Hoe OpenSight helpt bij het inrichten van een datalekprocedure

Veel organisaties hebben wel een globaal idee van wat ze moeten doen bij een datalek, maar ontdekken tijdens een incident dat verantwoordelijkheden onduidelijk zijn, de procedure niet geoefend is of technische detectiemogelijkheden ontbreken. Wij helpen organisaties om die lacunes te dichten, van het opstellen van een werkende datalekprocedure tot het inrichten van de technische en organisatorische maatregelen die herhaling voorkomen. Daarbij combineren we strategisch advies met praktische uitvoering, afgestemd op de specifieke situatie van jouw organisatie. Wil je weten waar de kwetsbaarheden in jouw huidige aanpak zitten? Neem contact op en we kijken samen wat er nodig is.