Een datalekregister legt vast wat bij een inbreuk in persoonsgegevens is gebeurd, welke gevolgen mogelijk zijn en wat uw organisatie heeft gedaan. Artikel 33 lid 5 AVG verplicht de verwerkingsverantwoordelijke alle zulke inbreuken te documenteren, ook wanneer een melding aan de Autoriteit Persoonsgegevens niet nodig is. De AVG schrijft geen spreadsheet, vaste kolomnamen of algemene bewaartermijn voor. Het overzicht van artikel 33 en de meldplicht helpt de norm naast dit interne model te leggen. Dit model helpt de feiten en beslissingen zó vast te leggen dat de toezichthouder naleving van artikel 33 kan controleren. Het register is een intern beoordelingsdossier; de procedure voor het melden van een datalek beschrijft de externe melding.
Belangrijkste punten
- Niet ieder IT-incident is een datalek: er moet sprake zijn van een beveiligingsinbreuk die leidt tot verlies, vernietiging, wijziging, ongeoorloofde verstrekking of toegang tot persoonsgegevens.
- Documenteer iedere bevestigde inbreuk in persoonsgegevens, ook als het risico voor betrokkenen onwaarschijnlijk is en u de AP niet meldt.
- Meld als verantwoordelijke zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennis, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor rechten en vrijheden inhoudt. Leg een latere melding uit.
- Beoordeel afzonderlijk of betrokkenen wegens een waarschijnlijk hoog risico moeten worden geïnformeerd volgens artikel 34.
- Een bruikbaar dossier toont feiten, gevolgen, maatregelen, onzekerheden, tijdlijn en reden van de meldbeslissing; een aangevinkt vakje ‘laag risico’ is niet genoeg.
Eerst het juiste soort gebeurtenis afbakenen
Een kapotte koffiemachine is geen datalek. Een gecrashte database met persoonsgegevens kan wél een inbreuk in beschikbaarheid zijn, ook zonder bewijs dat een buitenstaander heeft meegelezen. Een e-mail met klantgegevens aan de verkeerde ontvanger raakt mogelijk de vertrouwelijkheid. Een onjuiste bulkupdate die medische informatie wijzigt, raakt integriteit. De definitie uit artikel 4 punt 12 AVG bestrijkt deze drie soorten aantasting. Maak een intern meldkanaal breed genoeg voor vermoedens, maar markeer in het register of na onderzoek daadwerkelijk een inbreuk in persoonsgegevens is vastgesteld. Zo verdwijnen relevante vroege signalen niet, terwijl u gewone IT-storingen niet onjuist als AVG-datalek presenteert.
Bepaal ook wiens persoonsgegevens en onder welke rol zijn geraakt. Een SaaS-leverancier kan verwerker zijn voor klantinhoud en verantwoordelijke voor eigen personeelsdata. Bij klantinhoud moet hij de verantwoordelijke onverwijld op de hoogte brengen; die maakt in beginsel de melding aan de toezichthouder. Voor eigen data maakt de leverancier die beoordeling zelf. Leg één technisch incident desnoods vast met gekoppelde deelbeoordelingen per verantwoordelijke en dataset. De gids over rollen van verantwoordelijke en verwerker helpt voorkomen dat de verkeerde partij de melding voor haar rekening neemt. In een verwerkersrelatie legt de artikel 28-overeenkomst ook de bijstand en communicatieafspraken vast.
Welke velden zijn wettelijk nodig en welke helpen bij de toets?
Artikel 33 lid 5 noemt de feiten rond de inbreuk, de gevolgen en de getroffen maatregelen. Om te kunnen uitleggen waarom u wel of niet heeft gemeld, zijn aanvullende velden praktisch: tijdstippen, gegevenscategorieën, aantal personen, ontvanger, beschermende factoren, risico-inschatting, besluit en communicatie. Dit is geen apart wettelijk kolommenvoorschrift. U kunt dezelfde gegevens in een ticket- of casemanagementsysteem bewaren als ze terug te vinden en voor de toezichthouder controleerbaar zijn. Gebruik een beperkte toegangsrol, omdat het register zelf gevoelige informatie kan bevatten.
| Veld in dit redactionele model | Vraag die u beantwoordt |
|---|---|
| Identificatie en tijdlijn | Wanneer ontstond, ontdekte en begreep u de inbreuk? |
| Gegevens en personen | Welke categorieën en ongeveer hoeveel personen of records? |
| Hergang | Wat is zeker, welke bron ondersteunt het en wat wordt nog onderzocht? |
| Gevolgen | Welke schade kan iemand ondervinden en hoe waarschijnlijk is die? |
| Maatregelen | Hoe is het incident ingedamd, hersteld en herhaling beperkt? |
| Besluiten | AP ja/nee, betrokkenen ja/nee, met redenen en beslisser |
| Communicatie | Wanneer, aan wie, via welke route en met welk kenmerk? |
| Vervolg | Nieuwe feiten, aanvullende melding en controle van verbetermaatregelen |
Een leeg veld is geen ‘nee’. Noteer ‘nog onbekend’ en een eigenaar met opvolgmoment. Beperk in het hoofdregister identificerende persoonsgegevens tot wat voor de beoordeling nodig is; sla uitgebreide logs of namenlijsten beveiligd als bijlage op. Anders wordt het register zelf een aantrekkelijk incidentdoel. Als u de zaak later herbeoordeelt, bewaar de eerdere onderbouwing met datum. Een aangepaste beslissing mag zichtbaar zijn: het proces moet controleerbaar blijven.
Invulbaar model voor één casus
Het volgende blok is een voorbeeldstructuur, geen kant-en-klaar juridisch oordeel. Pas het aan uw meldproces aan; vermeld geen werkelijke namen of dossiergegevens in een openbaar sjabloon.
CASUSNUMMER: [ ]
Melding intern ontvangen: [datum/tijd/bron]
Kennis verantwoordelijke: [datum/tijd en onderbouwing]
Betrokken verwerking en systeem: [ ]
Rol organisatie: [verantwoordelijke / verwerker / beide per dataset]
FEITEN
Gebeurtenis en bron van vaststelling: [ ]
Vertrouwelijkheid / integriteit / beschikbaarheid: [ ]
Betrokken data en personen, schatting en onzekerheid: [ ]
GEVOLGEN
Mogelijke nadelen voor betrokkenen: [ ]
Risicofactoren en beschermende factoren met bewijs: [ ]
Conclusie risico en datum van beoordeling: [ ]
MAATREGELEN
Directe indamming: [ ]
Herstel, contact ontvanger, preventieve verbetering: [ ]
BESLUITEN
AP-melding ja/nee, reden, tijdstip, referentie: [ ]
Bij melding na 72 uur: verklaring vertraging: [ ]
Informeren betrokkenen ja/nee, artikel-34-redenering: [ ]
Verwerker/klantcontact en latere aanvullingen: [ ]
Eigenaar, herbeoordelingsdatum en sluiting: [ ]
Zet bij elke belangrijke bewering een bron: log, mail van ontvanger, export van toegangsrechten of verslag van de beveiligingsspecialist. Een voorbeeld ‘verkeerd geadresseerde mail direct ingetrokken’ kan alleen een laag risico ondersteunen als u werkelijk weet of de ontvanger de inhoud zag, wie die ontvanger is en wat de gegevens bevatten. Het verzoek om te verwijderen is een maatregel, geen sluitend bewijs dat de gegevens weg zijn. Een onbeveiligde lijst met namen en adressen vraagt een andere afweging dan een gecodeerd bestand waarvan de sleutel gescheiden is gebleven.
Het meldbesluit stap voor stap
Begin bij de kans en ernst van gevolgen voor mensen. Betrek aard en gevoeligheid van gegevens, mogelijkheid tot identificatie, omvang, ontvanger, duur van blootstelling, beveiliging en concrete omstandigheden. Niet elk verloren apparaat leidt tot melden: effectieve versleuteling en een veilige sleutel kunnen risico sterk verminderen. Maar verlies van de enige kopie kan beschikbaarheid en betrokkenen alsnog raken. Het omgekeerde geldt ook: een klein aantal betrokkenen kan bij zeer gevoelige informatie een serieus risico hebben. Schrijf de afweging op in gewone woorden, niet alleen met een kleurcode.
Is risico voor rechten en vrijheden onwaarschijnlijk, dan hoeft de verantwoordelijke de AP op grond van artikel 33 lid 1 niet te melden, maar hij documenteert de inbreuk wel. Is risico niet onwaarschijnlijk, dan meldt hij zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennis. Een melding na die termijn bevat een verklaring voor de vertraging. Ontbreken nog aantallen of een volledige oorzaak, dan kunnen gegevens op grond van artikel 33 lid 4 stapsgewijs zonder onredelijke verdere vertraging worden aangevuld. Wachten op het definitieve onderzoeksrapport is dus niet vanzelf een goede reden om het eerste bericht uit te stellen.
Voor een waarschijnlijk hoog risico is daarnaast artikel 34 relevant: informeer betrokkenen zonder onredelijke vertraging, tenzij een toepasselijke uitzondering of passende alternatieve maatregel geldt. De beoordeling is anders dan de drempel voor AP-melding. Leg beide beslissingen gescheiden vast. Bekijk bijvoorbeeld of effectieve versleuteling de gegevens voor onbevoegden onbegrijpelijk maakte, of later genomen maatregelen het hoge risico wegnamen, en of individuele communicatie onevenredig veel inspanning vergt zodat een passende openbare mededeling nodig is. Gebruik deze gronden niet als automatisch afvinkvakje; toets de feiten. Het artikel 32-overzicht helpt de technische maatregel in context te plaatsen.
Tijdlijn en verantwoordelijkheid
Registreer drie momenten apart: het technische begin van het incident, de eerste interne aanwijzing en het tijdstip waarop de verantwoordelijke voldoende zekerheid kreeg dat persoonsgegevens zijn geschonden. De 72 uur lopen vanaf kennis van de verantwoordelijke, niet vanaf het moment waarop een privacyfunctionaris zijn mail leest. Een eerste alarm kan onderzoek vereisen; de organisatie kan de klok niet willekeurig opschorten door een melding intern niet door te sturen. Noteer wat op welk moment bekend werd en hoe u tot de kennisdatum kwam.
Wijs vooraf een bereikbaar meldpunt, beslisser en vervanger aan. Beveiliging onderzoekt de feiten, de proceseigenaar duidt de gegevens, de privacyfunctie adviseert, en de verantwoordelijke draagt de uiteindelijke AVG-verantwoordelijkheid. Een verwerker stuurt het bericht aan de verantwoordelijke onverwijld na kennis van een inbreuk; een korte eerste kennisgeving kan later worden aangevuld. Een interne afspraak over snelle escalatie is verstandig, maar verandert de wettelijke drempel niet. Het datalek-stappenplan gaat dieper in op operationele communicatie.
Een voorbeeld toont waarom tijd en rol ertoe doen. Vrijdagavond ziet uw hostingpartij een ongeoorloofde download van reserveringsgegevens. Zij meldt dit onmiddellijk aan uw hotel, met de bekende dataset en open vragen. Het hotel legt vast wanneer het bericht binnenkwam en wanneer duidelijk was dat persoonsgegevens waren geraakt. Tegelijk beperkt de partij toegang en onderzoekt hoeveel records betroffen zijn. Het hotel beoordeelt zijn AP- en gastenmelding; de leverancier ondersteunt met feiten. Een complete forensische reconstructie op maandag kan een aanvulling zijn, maar mag niet stilzwijgend als nieuwe kennisdatum dienen.
Het register veilig en bruikbaar houden
Een register werkt alleen als meldingen binnenkomen. Train medewerkers op concrete signalen: een e-mail naar een verkeerde klant, een kwijtgeraakt apparaat, een verkeerd ingestelde gedeelde map, ransomware of een mislukte restore. Vermijd de boodschap ‘meld alleen ernstige lekken’; juist de centrale functie moet de ernst beoordelen. Maak het gemakkelijk om onzekerheid te melden en geef terugkoppeling. Zo ontstaat ook een overzicht van herhaalde oorzaken zonder dat medewerkers incidenten uit angst verbergen.
Beperk toegang tot casusgegevens en maak een verschil tussen overzicht, bewijsbijlagen en persoonsgegevens van betrokkenen. Versleutel waar passend, log raadpleging en voorkom dat een openbaar gedeeld spreadsheet het nieuwe lek wordt. Zorg voor exportbaarheid wanneer een toezichthouder om documentatie vraagt. Controleer periodiek of maatregelen echt zijn uitgevoerd. Als meerdere foutieve e-mails door dezelfde automatische adresaanvulling ontstaan, vraagt de casus meer dan een algemene training. Wijs een eigenaar en controledatum toe aan de correctie; verbind dit met uw beveiligingsbeleid.
De AVG noemt geen algemene termijn van drie jaar of een andere vaste bewaartermijn voor artikel 33 lid 5. Leg een gemotiveerde termijn vast die de controleerbaarheid dient en tegelijk persoonsgegevens minimaliseert. Mogelijke andere wettelijke verplichtingen, lopende onderzoeken of claims kunnen de afweging beïnvloeden, maar rechtvaardigen geen onbeperkte bewaring van alle ruwe logs. Vernietig bijlagen wanneer zij niet langer nodig zijn; houd voldoende feiten en besluitvorming overeind. Neem die verschillende termijnen op in het bewaartermijnenbeleid.
Wat het register niet kan vervangen
Een fraai document bewijst niet dat er effectieve detectie, beveiliging of tijdige melding is. Test de meldroute met een scenario: ontdekt een supportmedewerker op zondag een verkeerde export, wie kan hij bereiken en krijgt de verantwoordelijke op tijd bruikbare feiten? Vergelijk het register met incidenttickets; ontbreken bevestigde datalekken, onderzoek waarom. Beoordeel ook of het register werkelijke nieuwe maatregelen oplevert. De AP kan de documentatie gebruiken om naleving te controleren, maar de uitkomst van een toezichtzaak hangt van concrete feiten af. Vermijd de belofte dat een compleet register een boete voorkomt of verlaagt.
Houd dit artikel gescheiden van een softwarevergelijking: de vraag hier is wat u vastlegt en waarom. Pas wanneer u meerdere teams, klanten en bewijsstukken moet verbinden, kan een toolselectie zinvol zijn. Beoordeel dan rechtenbeheer, export, tijdlijn, versiehistorie en de mogelijkheid om een risicobeoordeling uit te leggen. Een eenvoudige beveiligde tabel kan voor een beperkte organisatie passend zijn. De neutrale gids voor AVG-compliance software helpt bij een bredere toolkeuze, zonder van software een wettelijke plicht te maken. De bredere AVG-compliance checklist en de gids over rechtsgronden helpen andere AVG-vragen niet te verwarren met deze specifieke documentatieplicht.
Van eerste melding tot gesloten dossier: één voorbeeld
Een medewerker meldt dat een map met gastenlijsten via een gedeelde link openstond. De centrale functie noteert eerst wanneer de link is gemaakt, wanneer hij werd ontdekt en wanneer voldoende zekerheid bestond dat persoonsgegevens toegankelijk waren. IT schakelt de link uit en bewaart relevante toegangslogs. De proceseigenaar bepaalt welke gegevenscategorieën en periode het betreft; privacy beoordeelt mogelijke gevolgen. Als de logs geen volledige dekking geven, schrijft het team niet ‘niemand heeft gekeken’, maar ‘toegang binnen dit tijdvak onbekend’ met de reden. Deze onzekerheid kan de risicobeoordeling beïnvloeden.
Stel vervolgens vast of de toegang voor onbekenden waarschijnlijk risico oplevert. Meld indien nodig tijdig met de bekende feiten en vul later aan. Beslis apart of gasten moeten worden geïnformeerd. Leg beide beslissingen, verantwoordelijke personen en tijdstippen vast. Na afsluiting controleert een eigenaar of gedeelde links standaard een vervaldatum krijgen en of medewerkers de juiste opslaglocatie gebruiken. Het register wordt zo een bewijsbare keten van ontdekking, beslissing en verbetering, niet alleen een lijst van incidentnummers.
FAQ
Moet ik ieder datalek vastleggen?
Ja, iedere bevestigde inbreuk in persoonsgegevens valt onder artikel 33 lid 5, ook als AP-melding niet nodig is. Een louter technisch incident zonder aantasting van persoonsgegevens is iets anders. Bewaar de interne triage zodat begrijpelijk is waarom een vermoeden niet als datalek is aangemerkt.
Wat zijn de verplichte velden?
De wet eist documentatie van feiten, gevolgen en genomen maatregelen zodat de AP naleving kan controleren. Dit model voegt tijdlijn, betrokken categorieën en beslissingen toe om dat controleerbaar te maken. Er is geen officiële AVG-spreadsheet met universele kolomnamen.
Wanneer begint de 72-uurstermijn?
Bij kennis van de verantwoordelijke van de inbreuk, niet bij het openen van een intern formulier. Een meldeverplichting geldt als risico voor rechten en vrijheden niet onwaarschijnlijk is. Meld zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur; verklaar een latere melding. Het register bewaart de onderbouwing, maar is niet zelf de melding.
Hoe lang bewaar ik het register?
Artikel 33 lid 5 bepaalt geen vast aantal jaren. Stel een beargumenteerde termijn vast op basis van het controledoel, andere toepasselijke verplichtingen en gegevensminimalisatie. Ruwe bijlagen kunnen een andere, kortere termijn krijgen dan het beslisdossier.
Wie beheert het register bij uitbesteding?
De verantwoordelijke draagt de documentatieplicht. Een verwerker moet hem onverwijld over een inbreuk informeren en feiten aanleveren. Organisaties kunnen een privacycoördinator aanwijzen voor beheer, maar de uiteindelijke verantwoordelijkheid volgt de rol per verwerking. Eén incident kan zo in samenhangende dossiers bij meerdere partijen voorkomen.
Primaire bronnen: AVG artikelen 4, 32–34, AP: datalek, dit moet u doen en EDPB-richtsnoeren over datalekmeldingen.