Een datalek meldt u bij de Autoriteit Persoonsgegevens (AP) binnen 72 uur na ontdekking, tenzij het niet waarschijnlijk is dat het lek een risico oplevert voor de rechten en vrijheden van betrokkenen — zo bepaalt artikel 33 AVG. De klok begint te lopen op het moment dat uw organisatie “bekend raakt” met het lek, niet op het moment dat u de oorzaak volledig kent. Levert het lek een hoog risico op, dan informeert u óók de betrokkenen zelf (artikel 34). Elk datalek — ook een gemeld of niet-gemeld lek — legt u vast in een intern datalekregister. Het actuele aantal meldingen is te vinden in de jaarverslagen van de AP; dat cijfer bepaalt niet of uw individuele incident meldplichtig is. Hieronder het stappenplan.
Deze pagina is de praktische meldgids. Voor de juridische achtergrond van de bepaling verwijzen we naar onze gids AVG artikel 33: datalekken melden.
Wat is een datalek?
Een datalek is een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Dat is breder dan een hack. Voorbeelden:
- Een e-mail met alle geadresseerden in het cc-veld in plaats van bcc.
- Een verloren of gestolen laptop of usb-stick met persoonsgegevens.
- Een verkeerd geadresseerde brief of factuur.
- Ransomware die gegevens versleutelt (verlies van beschikbaarheid).
- Een medewerker die onbevoegd patiëntendossiers inziet nadat een toegangsbeveiliging tekortschiet.
Niet elk beveiligingsincident is een bevestigd datalek. Onderzoek vermoedens voortvarend; documenteer op grond van artikel 33 lid 5 AVG alle vastgestelde inbreuken op persoonsgegevens, ook wanneer melding aan de AP niet nodig is.
De beoordeling: melden, ja of nee?
Beoordeel na ontdekking het risico voor betrokkenen:
| Uitkomst risicobeoordeling | Actie |
|---|---|
| Geen waarschijnlijk risico | Alleen intern registreren, niet melden |
| Waarschijnlijk risico | Melden bij de AP binnen 72 uur |
| Hoog risico | Melden bij de AP én betrokkenen informeren (art. 34) |
De risicobeoordeling weegt onder meer de aard van de gegevens (zijn er bijzondere persoonsgegevens of BSN’s bij betrokken?), de omvang, en of de gegevens versleuteld waren. Documenteer deze afweging altijd — ook als u besluit niet te melden, moet u die keuze kunnen onderbouwen.
De 72-uurstermijn in de praktijk
De 72 uur beginnen wanneer de verwerkingsverantwoordelijke met een redelijke mate van zekerheid weet dat een beveiligingsincident persoonsgegevens heeft geraakt, niet pas bij volledige duidelijkheid over oorzaak en omvang. Kent u nog niet alle feiten, dan meldt u toch binnen de termijn en vult u later aan (een melding in fasen is toegestaan, art. 33 lid 4). Een concrete illustratie is het AP-besluit van 16 juni 2020 over PVV Overijssel, dat een boete van 7.500 euro oplegde wegens het niet melden van een datalek. De AP berichtte er in 2021 over. De feiten van dat besluit zijn geen vast boetetarief voor een ander incident.
Wat de melding aan de AP moet bevatten (art. 33 lid 3)
De melding via het meldloket van de AP bevat minimaal:
- De aard van het datalek, met waar mogelijk de categorieën en het aantal betrokkenen en gegevens.
- De naam en contactgegevens van de FG of het contactpunt.
- De waarschijnlijke gevolgen van het datalek.
- De genomen en voorgestelde maatregelen om het lek aan te pakken en de gevolgen te beperken.
Wanneer moet u betrokkenen informeren (art. 34)?
Bij een hoog risico informeert u ook de betrokkenen zelf, in duidelijke en eenvoudige taal. Dat is niet nodig als u passende maatregelen had genomen (bijvoorbeeld sterke encryptie waardoor de gegevens onleesbaar zijn), of als u achteraf maatregelen heeft getroffen die het hoge risico wegnemen, of als het informeren onevenredige inspanning zou vergen (dan volstaat een openbare mededeling). De keuze om betrokkenen te informeren vraagt een afzonderlijke beoordeling van het hoge risico en van de uitzonderingen van artikel 34; de melding aan de AP vervangt de communicatie aan de personen niet.
Het datalekregister
Artikel 33 lid 5 verplicht u álle datalekken te documenteren — gemeld én niet-gemeld — met de feiten, de gevolgen en de genomen maatregelen. Dit register stelt de AP in staat de naleving te controleren. Koppel het aan uw verwerkingsregister, zodat u per incident ziet welke verwerking is geraakt. Een intern systeem of register kan termijnen, beslissingen en vervolgacties vastleggen; bepaal wel wie de risicobeoordeling doet en wie een melding daadwerkelijk verzendt.
Voorbereiding: het verschil tussen een boete en een voetnoot
Onvoldoende beveiliging, een te late melding of gebrekkige documentatie kunnen elk afzonderlijk relevant zijn in toezicht. Bereid u voor:
- Leg een meldprocedure vast met een duidelijk startpunt van de 72-uursklok en verantwoordelijkheden.
- Train medewerkers een vermoed lek direct te melden aan het interne meldpunt.
- Regel de verwerkersketen: laat verwerkers u onverwijld informeren — leg dat vast in de verwerkersovereenkomst.
- Oefen een keer met een fictief lek, zodat de 72 uur geen chaos worden.
Veelgemaakte fouten bij datalekken
De meeste organisaties struikelen niet over de melding zelf, maar over de voorbereiding en de nazorg:
- De 72-uursklok te laat laten starten. De termijn begint bij voldoende zekerheid over een inbreuk op persoonsgegevens, niet bij volledige duidelijkheid over de oorzaak.
- Vastgestelde lekken niet registreren. Ook een bevestigde inbreuk die na risicobeoordeling niet meldplichtig is, hoort in het datalekregister; een louter onbevestigd beveiligingssignaal vraagt eerst om triage.
- De risicobeoordeling niet documenteren. Besluit u niet te melden, dan moet u die afweging kunnen onderbouwen.
- Betrokkenen vergeten. Bij een hoog risico is melding aan de AP niet genoeg; ook de betrokkenen moeten worden geïnformeerd (art. 34).
- Geen afspraken met verwerkers. Als uw verwerker een lek te laat doorgeeft, haalt u de 72 uur niet — en blijft u toch verantwoordelijk.
Na de melding: leren en verbeteren
Een datalekmelding is geen eindpunt. De AP kan na de melding om aanvullende informatie vragen, en verwacht dat u structurele maatregelen treft om herhaling te voorkomen. Analyseer daarom na elk lek de oorzaak: was het menselijk (verkeerde adressering, verloren apparaat) of technisch (kwetsbaarheid, ontoereikende toegangscontrole)? Menselijke lekken vragen om training en betere processen; technische om betere beveiligingsmaatregelen. Een organisatie die na een lek aantoonbaar verbetert, staat er bij de AP aanzienlijk beter voor dan een organisatie die hetzelfde type lek herhaaldelijk meldt zonder iets te veranderen. Het datalekregister is daarbij niet alleen een verplichting, maar ook uw beste bron om patronen te herkennen.
Veelgestelde vragen
Binnen hoeveel tijd moet ik een datalek melden bij de AP?
Binnen 72 uur nadat uw organisatie bekend is geworden met het lek, tenzij het niet waarschijnlijk een risico voor betrokkenen oplevert. Kent u nog niet alle feiten, meld dan toch binnen de termijn en vul later aan. Te laat melden is een zelfstandige overtreding.
Moet ik elk datalek melden?
Nee. Alleen datalekken die waarschijnlijk een risico voor de rechten en vrijheden van betrokkenen opleveren, meldt u bij de AP. Levert het lek een hoog risico op, dan informeert u ook de betrokkenen. Álle datalekken — ook de niet-meldplichtige — legt u vast in uw interne datalekregister.
Wat gebeurt er als ik een datalek niet meld?
Niet of te laat melden kan een zelfstandige overtreding zijn. Het AP-besluit van 16 juni 2020 legde PVV Overijssel 7.500 euro op wegens het niet melden van een datalek; de AP berichtte er in 2021 over. Een eventueel sanctiebedrag in een ander geval wordt op zijn eigen feiten en artikel 83 AVG beoordeeld.
Wie meldt bij een lek bij mijn verwerker?
De verwerkingsverantwoordelijke meldt bij de AP. De verwerker moet u als verantwoordelijke onverwijld informeren zodra hij een lek ontdekt, zodat u de 72-uurstermijn haalt. Leg die meldingsplicht expliciet vast in de verwerkersovereenkomst.
Conclusie
Een datalek melden bij de AP draait om drie dingen: snel beoordelen, binnen 72 uur melden bij een waarschijnlijk risico, en bij een hoog risico ook de betrokkenen informeren — alles onderbouwd en vastgelegd in uw datalekregister. De zaak PVV Overijssel laat zien dat het niet melden afzonderlijk kan worden gehandhaafd; ook de beveiliging en de verdere reactie verdienen beoordeling. Bereid u daarom vooraf voor met een heldere meldprocedure, getrainde medewerkers en waterdichte afspraken met uw verwerkers en een register dat de beslissingen en termijnen aantoonbaar vastlegt.
Zie ook: een model datalekregister.
Verder lezen:
Wanneer begint de klok precies?
Een alarmsignaal van een beveiligingstool is nog niet altijd een bevestigd datalek. Volgens de richtsnoeren van het Europees Comité voor gegevensbescherming raakt de verwerkingsverantwoordelijke bekend met een inbreuk wanneer er een redelijke mate van zekerheid bestaat dat een beveiligingsincident persoonsgegevens heeft gecompromitteerd. Een korte, voortvarende verificatie mag dus plaatsvinden; langdurig wachten op volledig forensisch onderzoek niet. Leg het alarmtijdstip, het moment van redelijke zekerheid en de onderbouwing daarvan afzonderlijk vast. Dit helpt te verklaren waarom de 72 uur op een bepaald moment zijn gaan lopen.
Bij een kwijtgeraakte, onversleutelde usb-stick is het verlies van beschikbaarheid of controle vaak al duidelijk. Bij een vermoeden van ongeoorloofde netwerktoegang kan onderzoek nodig zijn om te bepalen of persoonsgegevens in het getroffen systeem zaten. Laat deze eerste triage niet uitsluitend afhangen van één IT-medewerker die tijdens afwezigheid niet bereikbaar is. Een functionaris voor gegevensbescherming kan adviseren over de beoordeling; de verantwoordelijke organisatie neemt de meldingbeslissing en blijft verantwoordelijk voor de naleving.
Een meldbesluit opbouwen uit concrete feiten
Een risico is geen abstract label. Noteer welke gegevens zijn geraakt, hoeveel personen naar schatting betrokken zijn, wie toegang had, of ontvangers betrouwbaar zijn, of encryptie werkelijk de sleutel beschermde, en welke schade voor mensen denkbaar is. Een lijst met werkmailadressen kan phishing mogelijk maken; medische gegevens kunnen tot stigmatisering of verlies van vertrouwelijkheid leiden. Of de blootstelling waarschijnlijk tot risico leidt, hangt ook af van de context en de maatregelen na ontdekking. Vermeld welke aannames nog onzeker zijn.
Een foutief verzonden document aan één bekende ontvanger die direct schriftelijk bevestigt te hebben verwijderd, geeft een ander risicobeeld dan publicatie op een indexeerbare webpagina. Die bevestiging neemt onzekerheid niet automatisch weg: beoordeel of de ontvanger het document kon kopiëren en of de inhoud zeer gevoelig is. De AP-stappenpagina voor datalekken vraagt om feiten, maatregelen en motivering van de meldkeuze in het register. Documenteer ook waarom het risico volgens u onwaarschijnlijk was als u niet meldt.
Melding in fasen en latere correctie
Artikel 33 lid 4 AVG laat toe dat informatie in fasen wordt verstrekt wanneer niet alles tegelijk beschikbaar is. Een eerste melding bevat dan de bekende feiten en duidelijke onzekerheden: aard van de inbreuk, categorieën betrokkenen en gegevens voor zover mogelijk, contactpunt, vermoedelijke gevolgen en reeds genomen of voorgestelde maatregelen. Dien niet een verzonnen aantal slachtoffers in om het formulier volledig te laten lijken. Als de eerste melding na 72 uur plaatsvindt, voeg een verklaring van de vertraging toe. Bewaar ontvangstbevestiging, kopie van de melding en de latere aanvullingen met tijdstempel.
Stel na elke wezenlijke ontdekking de beoordeling bij. Een incident dat eerst alleen de beschikbaarheid leek te raken, kan later ook een vertrouwelijkheidsinbreuk blijken. Laat een nieuwe schatting van betrokkenen of een nieuw type gegevens doorwerken in de informatie aan de AP en in de afweging om mensen zelf te waarschuwen. De procedure voor datalekken moet daarom niet eindigen bij de eerste verzendknop: wijs iemand aan die het onderzoek volgt en aanvullende meldingen doet.
Betrokkenen informeren: doel en inhoud
Artikel 34 AVG vereist communicatie zonder onredelijke vertraging wanneer de inbreuk waarschijnlijk een hoog risico voor rechten en vrijheden oplevert. De boodschap is bedoeld om mensen tijdig maatregelen te laten nemen. Beschrijf in gewone taal wat er is gebeurd, welke gegevens mogelijk zijn geraakt, welke gevolgen denkbaar zijn, welke maatregelen de organisatie heeft getroffen en wat de persoon zelf kan doen. Geef een contactpunt dat vragen kan beantwoorden. Een verwijzing naar een algemene privacyverklaring zonder concrete uitleg is onvoldoende behulpzaam.
Het artikel kent uitzonderingen, onder meer als passende technische maatregelen de gegevens voor onbevoegden onbegrijpelijk maakten, als latere maatregelen het hoge risico wegnamen, of als individuele kennisgeving onevenredige inspanning vergt en een even doeltreffende openbare mededeling volgt. Motiveer zorgvuldig welke uitzondering werkelijk past. Encryptie is geen toverwoord als ook sleutels zijn buitgemaakt. Een openbare mededeling is evenmin een eenvoudige vervanging omdat het e-maillijstje groot is.
Verwerker, subverwerker en meerdere klanten
Een verwerker meldt een inbreuk op de gegevens van zijn klant onverwijld aan de verantwoordelijke volgens artikel 33 lid 2. De AP-uitleg over verantwoordelijke en verwerker verduidelijkt dat de klant de meldbeslissing neemt; de verwerker kan namens hem melden als die daarvoor gemachtigd is. Spreek vooraf af welk nummer buiten kantooruren bereikbaar is, welke minimale feiten direct worden doorgegeven en wanneer een volgende update komt. Een subverwerker moet dezelfde keten in werking zetten.
Bij één SaaS-incident kunnen tientallen klanten verantwoordelijk zijn voor eigen datasets. De leverancier kan een centrale technische tijdlijn verstrekken, maar elke klant moet voor zijn eigen betrokkenen en omstandigheden het risico beoordelen. Een vooraf ingevuld standaardantwoord «geen meldplicht» voor alle klanten miskent verschillen in gegevenscategorieën en schade. Koppel daarom het incidentnummer aan het verwerkingsregister en aan klantcontacten, zonder incidentgegevens breder te verspreiden dan nodig.
Registreren, verbeteren en andere meldplichten
Het model voor een datalekregister helpt minimaal feiten, gevolgen en genomen maatregelen vast te leggen. Voeg de datum van kennisname, risicobeoordeling, besluit om wel of niet te melden, communicatie aan betrokkenen en latere herzieningen toe. Beperk toegang tot het register: het bevat zelf soms gevoelige gegevens over kwetsbaarheden en personen. Stel een bewaartermijn vast die nodig is om naleving aan te tonen, met een beoordeling van eventuele andere wettelijke verplichtingen.
Een organisatie kan naast de AVG onder een sectorspecifieke meldplicht vallen. De NIS2-meldplicht voor incidenten heeft een ander toepassingsbereik en andere criteria; één incident kan in beide trajecten beoordeeld moeten worden. Leg in de procedure vast wie deze dubbele toets uitvoert. Na afloop onderzoekt u welke controle faalde: te ruime toegang, geen dubbele adrescontrole, kwetsbare leverancier of ontbrekende monitoring. Een concrete herstelactie met eigenaar en verificatiedatum heeft meer waarde dan een algemene belofte dat het niet opnieuw zal gebeuren.
Officiële bronnen: AVG artikel 33 en 34; AP, Datalek? Dit moet u doen; EDPB-richtsnoeren 9/2022; AP-uitleg over de verwerker.