Wat zijn de eisen van de AVG bij een datalek in 2026?

Datalek? De AVG verplicht melding binnen 72 uur — ontdek wat dit in 2026 van jouw organisatie vraagt.

Opengescheurde manilla envelop op zakelijk bureau met vertrouwelijke documenten en een openstaand cijferslot, sfeervol amber lamplight.

Als IT-manager of operations directeur ken je de situaties die dagelijks voorkomen: een medewerker stuurt een bestand naar het verkeerde e-mailadres, een laptop raakt kwijt, of een systeem is tijdelijk niet bereikbaar door een technisch probleem. Wat daarbij niet altijd direct duidelijk is, is dat zulke situaties onder de AVG kunnen kwalificeren als een datalek — en dat daar een wettelijke verplichting bij hoort. Binnen 72 uur melden bij de Autoriteit Persoonsgegevens, als het lek gevolgen kan hebben voor de betrokken personen. Wat de AVG precies van je verwacht bij een datalek in 2026, lees je hieronder.

Wanneer is er officieel sprake van een datalek onder de AVG?

Een datalek onder de AVG is elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking of toegang tot persoonsgegevens. Het gaat dus niet alleen om opzettelijk ontvreemde data, maar ook om onbedoelde situaties zoals een verkeerd verzonden e-mail, een verloren USB-stick of een ransomware-incident waarbij gegevens worden versleuteld.

Concreet valt onder een datalek elke situatie waarbij persoonsgegevens:

Verloren zijn gegaan, bijvoorbeeld door een technisch defect of menselijke fout
Onbedoeld zijn gedeeld met een verkeerde ontvanger
Zijn ingezien of gekopieerd door een onbevoegde partij
Niet meer beschikbaar zijn door een verstoring zoals ransomware
Zijn gewijzigd zonder toestemming of grondslag

Het begrip is bewust breed gedefinieerd. Een incident waarbij persoonsgegevens tijdelijk niet beschikbaar zijn, telt ook mee. Het is daarom verstandig om een duidelijk intern proces te hebben voor het herkennen en beoordelen van mogelijke datalekken. GRC-tooling kan hierbij helpen door incidenten gestructureerd te registreren en te beoordelen.

Welke datalekken moeten verplicht gemeld worden bij de AP?

Niet elk datalek hoeft gemeld te worden bij de Autoriteit Persoonsgegevens. De meldplicht geldt wanneer het lek gevolgen kan hebben voor de rechten en vrijheden van de betrokken personen. Datalekken waarbij de kans op nadelige gevolgen verwaarloosbaar is, hoeven niet extern gemeld te worden, maar moeten wel intern gedocumenteerd worden.

Melden bij de AP is verplicht als het datalek kan leiden tot:

Identiteitsfraude of financiële schade voor betrokkenen
Reputatieschade of discriminatie
Verlies van vertrouwelijke informatie zoals medische of financiële gegevens
Ernstige gevolgen voor kwetsbare groepen

In de praktijk geldt: bij twijfel meld je. De AP beoordeelt de melding en kan altijd besluiten dat verdere actie niet nodig is. Een melding doen die achteraf niet noodzakelijk blijkt, weegt lichter dan het achterwege laten van een melding die wel vereist was.

Binnen welke termijn moet een datalek gemeld worden?

Een datalek moet uiterlijk binnen 72 uur na ontdekking gemeld worden bij de Autoriteit Persoonsgegevens. Deze termijn begint op het moment dat de organisatie redelijkerwijs op de hoogte is van het incident, niet pas wanneer alle details bekend zijn. Een onvolledige melding binnen de termijn is beter dan een volledige melding die te laat binnenkomt.

De 72-uurtermijn laat weinig ruimte voor uitgebreid intern onderzoek voordat je meldt. Dit betekent dat organisaties hun incident response-proces — het gestructureerde stappenplan voor het afhandelen van incidenten — op orde moeten hebben, zodat het herkennen, escaleren en melden van een datalek soepel verloopt. Als je de melding niet binnen 72 uur kunt afronden, vermeld je in de melding de reden van de vertraging en vul je de ontbrekende informatie zo snel mogelijk aan.

Wat moet een melding bij de AP inhouden?

Een melding bij de Autoriteit Persoonsgegevens moet een aantal verplichte onderdelen bevatten. De AP stelt via haar meldloket een formulier beschikbaar, maar de inhoud moet in ieder geval de volgende informatie omvatten:

Aard van het datalek: wat is er precies gebeurd en welke categorie persoonsgegevens zijn betrokken?
Contactgegevens: naam en contactinformatie van de functionaris gegevensbescherming (FG) of een andere contactpersoon
Omvang: hoeveel betrokkenen zijn er bij het lek betrokken en om welke gegevens gaat het?
Waarschijnlijke gevolgen: wat zijn de verwachte effecten voor de betrokkenen?
Genomen maatregelen: welke stappen heeft de organisatie al gezet of gaat ze zetten om het lek te beperken en herhaling te voorkomen?

Is niet alle informatie direct beschikbaar? Dan mag je een gefaseerde melding doen. Je stuurt eerst de beschikbare informatie en vult die later aan. Zorg wel dat je dit transparant communiceert in de melding zelf.

Wanneer moeten ook de betrokkenen zelf geïnformeerd worden?

Betrokkenen moeten persoonlijk geïnformeerd worden wanneer een datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Dit gaat een stap verder dan de drempel voor melding bij de AP. Bij een hoog risico is de kans op merkbare nadelige gevolgen, zoals identiteitsfraude, financieel verlies of fysieke gevolgen, reëel aanwezig.

Voorbeelden van situaties waarbij betrokkenen geïnformeerd moeten worden, zijn het vrijkomen van wachtwoorden in combinatie met gebruikersnamen, het uitlekken van financiële gegevens of medische informatie, of het in handen komen van identiteitsbewijzen bij onbevoegden. De communicatie aan betrokkenen moet in begrijpelijke taal zijn, de aard van het lek beschrijven en concrete adviezen geven over wat zij zelf kunnen doen om nadelige gevolgen te beperken.

Er zijn situaties waarin je betrokkenen niet hoeft te informeren, namelijk wanneer je afdoende technische maatregelen hebt getroffen, zoals sterke versleuteling, waardoor de gegevens voor onbevoegden onleesbaar zijn.

Wat zijn de gevolgen als een datalek niet of te laat gemeld wordt?

Het niet of te laat melden van een datalek kan leiden tot aanzienlijke boetes van de Autoriteit Persoonsgegevens. Onder de AVG kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële gevolgen kan de AP ook een verwerkingsverbod opleggen of andere corrigerende maatregelen nemen.

Een niet gemeld datalek dat later alsnog aan het licht komt, heeft bovendien gevolgen voor het vertrouwen van klanten, partners en toezichthouders. Nu het toezicht op naleving van de AVG toeneemt en wetgeving zoals NIS2 steeds meer organisaties raakt, is het naleven van de meldplicht een vast onderdeel van goed risicobeheer.

Intern documenteren is altijd verplicht, ook als een lek niet extern gemeld hoeft te worden. De AP kan bij een controle altijd vragen om het interne register van datalekken. Ontbreekt dat register, dan is dat op zichzelf al een overtreding.

Hoe OpenSight helpt bij AVG-compliance en incident response

Een datalek correct en tijdig afhandelen vraagt om meer dan alleen een meldformulier. Het vraagt om een goed ingericht proces, heldere verantwoordelijkheden en technologie die helpt om incidenten snel te herkennen en te beheersen. OpenSight helpt organisaties om hier structureel grip op te krijgen, zodat je bij een incident een duidelijk pad kunt volgen in plaats van te improviseren.

Wat wij daarin bieden:

Inrichting van een intern meldproces en incidentregister dat voldoet aan AVG-vereisten
Ondersteuning bij het opzetten van een incident response-plan, inclusief communicatieprocedures richting de AP en betrokkenen
Cyber resilience oplossingen die helpen om datalekken sneller te detecteren en de impact te beperken
Begeleiding bij AVG, NIS2 en andere relevante wet- en regelgeving via onze eCISO dienstverlening
Security awareness-trainingen zodat medewerkers datalekken herkennen en weten welke stappen ze moeten zetten

Wil je weten hoe goed jouw organisatie voorbereid is op een datalek en of je meldprocessen op orde zijn? Neem contact met ons op voor een vrijblijvend gesprek.