Wanneer moet je een datalek melden?

Wanneer is een datalek meldplichtig? Ontdek de 72-uursregel, boetes en preventiestappen.

Een datalek moet je in Nederland melden bij de Autoriteit Persoonsgegevens (AP) als het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Dit volgt uit de AVG, de Europese privacywetgeving die in Nederland van kracht is. Niet elk incident valt onder de meldplicht, maar de drempel is lager dan veel organisaties denken. Hieronder vind je antwoord op de meest gestelde vragen over de datalekmeldplicht.

Welke datalekken moeten verplicht worden gemeld?

Een datalek is meldplichtig als het een inbreuk betreft op de beveiliging van persoonsgegevens die waarschijnlijk een risico oplevert voor de rechten en vrijheden van natuurlijke personen. Denk aan verlies van vertrouwelijkheid, ongeoorloofde toegang of vernietiging van gegevens. De AVG verplicht organisaties om dit soort incidenten te melden, tenzij het risico verwaarloosbaar is.

Concrete voorbeelden van meldplichtige datalekken zijn:

Een ransomware-aanval waarbij klantgegevens zijn versleuteld of buitgemaakt
Een medewerker die een e-mail met persoonsgegevens naar de verkeerde ontvanger stuurt
Een gestolen of verloren laptop met onversleutelde klantdata
Onbevoegde toegang tot een CRM-systeem of klantenportaal
Een back-up die permanent verloren is gegaan

Niet meldplichtig zijn incidenten waarbij persoonsgegevens per ongeluk intern worden gedeeld zonder dat er een reëel risico ontstaat, of waarbij de gegevens aantoonbaar versleuteld waren en de sleutel niet is gelekt. Twijfel je? De AP hanteert het uitgangspunt dat je bij twijfel meldt.

Binnen hoeveel uur moet je een datalek melden?

Meldplichtige datalekken moeten binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens. Deze termijn geldt voor organisaties die optreden als verwerkingsverantwoordelijke. De klok begint te lopen op het moment dat je als organisatie redelijkerwijs op de hoogte bent van het lek, niet pas als het volledig is onderzocht.

In de praktijk betekent dit dat je een eerste melding kunt doen met de informatie die op dat moment beschikbaar is. Je bent niet verplicht om alles al te weten. Geef aan wat je wel weet en vul de melding later aan. Wacht dus niet met melden totdat het interne onderzoek volledig is afgerond, want dat kost kostbare tijd en kan leiden tot een te late melding.

Verwerkers, zoals IT-leveranciers of softwarebedrijven die persoonsgegevens namens jouw organisatie verwerken, moeten een datalek zo snel mogelijk melden aan de verwerkingsverantwoordelijke. Zij hebben doorgaans een kortere contractuele termijn, soms 24 uur of minder. Controleer dit in je verwerkersovereenkomsten.

Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?

Een datalek meld je via het online meldloket van de Autoriteit Persoonsgegevens op autoriteitpersoonsgegevens.nl. Je logt in met eHerkenning en vult een gestructureerd formulier in. De melding kan worden aangevuld of gecorrigeerd nadat je de eerste versie hebt ingediend.

Volg bij het melden deze stappen:

Stel vast of er sprake is van een datalek en of het meldplichtig is op basis van het risico voor betrokkenen.
Documenteer het incident direct na ontdekking: wat is er gebeurd, welke gegevens zijn betrokken, hoeveel personen zijn geraakt?
Log in op het meldloket van de AP via eHerkenning.
Vul de melding in met de beschikbare informatie: aard van het lek, categorieën persoonsgegevens, geschat aantal betrokkenen en genomen maatregelen.
Dien de melding in binnen 72 uur na ontdekking, ook als de informatie nog niet volledig is.
Vul de melding aan zodra er meer informatie beschikbaar is.
Leg alles vast in je datalekregister, ook de incidenten die je niet hebt gemeld.

Het bijhouden van een intern datalekregister is overigens ook verplicht onder de AVG, ongeacht of je het lek extern meldt. Goede GRC-tooling kan helpen om dit register actueel en auditeerbaar te houden.

Wanneer moet je betrokkenen zelf informeren over een datalek?

Je bent verplicht om de betrokken personen zelf te informeren als het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Dit is een hogere drempel dan de meldplicht aan de AP. Denk aan situaties waarbij financiële schade, identiteitsfraude of discriminatie reëel dreigt.

Voorbeelden waarbij je betrokkenen moet informeren zijn een lek van financiële gegevens, medische informatie, wachtwoorden of BSN-nummers van klanten of medewerkers. De communicatie moet helder zijn: wat is er gebeurd, welke gegevens zijn betrokken en wat kunnen betrokkenen zelf doen om schade te beperken?

Informeer betrokkenen zo snel mogelijk, zonder onnodige vertraging. Er staat geen vaste termijn tegenover de 72-uursregel voor de AP-melding, maar uitstel is alleen gerechtvaardigd als de politie of een andere autoriteit hierom vraagt in het kader van een strafrechtelijk onderzoek.

Wat zijn de gevolgen van het niet melden van een datalek?

Als je een meldplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, kun je een boete krijgen. De AP kan boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële gevolgen kan een niet-gemeld lek leiden tot reputatieschade en verlies van klantvertrouwen.

De AP houdt ook rekening met de omstandigheden. Een organisatie die aantoonbaar heeft geprobeerd het lek te beheersen en documenteert wat er is gedaan, staat er anders voor dan een organisatie die structureel geen aandacht heeft besteed aan datalekbeheer. Transparantie en een goed intern proces wegen mee bij de beoordeling.

Hoe voorkom je dat een datalek meldplichtig wordt?

Je kunt de kans op een meldplichtig datalek verkleinen door technische en organisatorische maatregelen te treffen die de impact van een incident beperken. Als gegevens versleuteld zijn en de sleutel niet is gelekt, is er in veel gevallen geen sprake van een meldplichtig lek. Sterke versleuteling is daarmee een directe manier om de meldplicht te omzeilen.

Andere maatregelen die de kans op een meldplichtig incident verminderen:

Beperk de toegang tot persoonsgegevens tot degenen die ze echt nodig hebben (minimale toegangsrechten)
Versleutel gevoelige data, zowel in opslag als tijdens overdracht
Train medewerkers op het herkennen en melden van verdachte situaties
Stel een intern meldproces in zodat incidenten snel worden gesignaleerd
Voer regelmatig toegangsreviews uit op systemen met persoonsgegevens

Goede endpoint- en cloudbeveiliging speelt hierin een concrete rol: het beperkt de kans dat een aanvaller toegang krijgt tot systemen met persoonsgegevens en verkleint daarmee de omvang van een eventueel incident. Dat maakt het verschil tussen een intern opgelost probleem en een meldplichtig datalek.

Hoe OpenSight helpt bij het beheersen van datalekken

Veel organisaties weten pas wat er ontbreekt in hun datalekbeheer op het moment dat er iets misgaat. Wij helpen organisaties om vooraf de juiste processen, verantwoordelijkheden en technische maatregelen op orde te brengen, zodat een incident niet automatisch uitgroeit tot een meldplichtig datalek. Onze externe CISO brengt de benodigde strategische en praktische kennis in huis zonder dat je daarvoor een vaste aanstelling nodig hebt, en werkt samen met je team aan beleid, awareness en technische inrichting die daadwerkelijk aansluit op jouw organisatie. Wil je weten waar je nu staat? Vraag een audit aan en ontdek welke stappen het meeste verschil maken.