Een procedure voor datalekken beschrijft wie een vermoedelijke inbreuk opvangt, hoe feiten en risico worden vastgesteld en wie beslist over melding en communicatie. Artikel 33 AVG eist een melding aan de toezichthouder zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur nadat de verantwoordelijke kennis kreeg, behalve als risico voor rechten en vrijheden onwaarschijnlijk is. Artikel 33 lid 5 verlangt documentatie van iedere bevestigde inbreuk in persoonsgegevens, ook zonder AP-melding. Artikel 34 vraagt een afzonderlijke afweging over informeren van betrokkenen bij waarschijnlijk hoog risico. Het model hieronder organiseert die beslissingen; het is geen officiële AP-procedure en garandeert geen uitkomst.
De AP maakte op 31 maart 2021 bekend dat zij Booking.com een boete van €475.000 had opgelegd wegens te late melding. Het besluit dateert van 10 december 2020 en betrof een melding die 22 dagen te laat was. Het is een concreet voorbeeld van het belang van interne escalatie, geen bewijs dat een schriftelijke procedure op zichzelf een boete voorkomt. De AP-publicatie over Booking.com en het datalekregistermodel vervullen verschillende doelen: deze pagina gaat over handelen, het register over vastleggen.
Belangrijkste punten
- Laat medewerkers en leveranciers vermoedens snel melden, ook wanneer nog niet vaststaat of persoonsgegevens geraakt zijn.
- Leg het technische incidenttijdstip, de eerste aanwijzing en de kennis van de verantwoordelijke apart vast. Een intern doorstuurmoment verandert de wettelijke klok niet vanzelf.
- Beoordeel of risico onwaarschijnlijk is; zo niet, meld zonder onredelijke vertraging en waar mogelijk binnen 72 uur. Leg een latere melding in de melding zelf uit.
- Bij waarschijnlijk hoog risico beoordeelt u onverwijlde communicatie aan betrokkenen onder artikel 34, inclusief wettelijke uitzonderingen en passende alternatieven.
- Documenteer alle bevestigde inbreuken, beslissingen, gevolgen en maatregelen, ook als niets extern wordt gemeld.
Fase 0: zorg dat een melding iemand bereikt
Een procedure begint vóór het incident. Geef medewerkers, tijdelijke krachten en dienstverleners een duidelijk meldkanaal dat ook buiten kantooruren bereikbaar is. Een vergeten e-mailbox is geen escalatieroute. Oefen met een verkeerd geadresseerde mail, een verloren laptop of een ransomwarebericht: weet de melder welke informatie hij meteen moet geven, wie kan systemen isoleren en wie is de vervanger van de beslisser? Een jaarlijks oefenmoment kan nuttig zijn, maar is een aanbeveling, geen door artikel 33 voorgeschreven interval. Oefen opnieuw na een wezenlijke wijziging van systemen of leveranciers.
Maak de drempel voor intern melden laag. Een medewerker hoeft de juridische risicodrempel niet zelf te bepalen. Vraag tijd, systeem, wat er vermoedelijk gebeurde, welke persoonsgegevens in beeld zijn en welke directe maatregel al is genomen. Laat hem geen volledige klantenlijst als onbeveiligde bijlage rondsturen. Een centraal triageteam bepaalt of de gebeurtenis werkelijk een inbreuk in persoonsgegevens is. Een gewone technische storing zonder persoonsgegevens is geen datalek, maar kan wel in het IT-incidentregister blijven. De uitleg van artikel 33 helpt bij die grens.
Fase 1: feiten veiligstellen en de kennisdatum bepalen
Leg bij binnenkomst een casusnummer en tijdlijn aan. Beperk de schade: sluit een openbare link, trek een gestolen toegangscode in of isoleer een besmet systeem. Bewaar tegelijk relevante logs en configuraties op een beveiligde plek. Schrijf expliciet op wat bevestigd, vermoed en nog onbekend is. De kennis van een inbreuk begint wanneer de verantwoordelijke voldoende zekerheid heeft dat persoonsgegevens zijn geraakt; een alarm kan eerst onderzoek vergen, maar u kunt de termijn niet uitstellen tot een compleet forensisch rapport. Noteer dus zowel de eerste aanwijzing als het feit waarop de organisatie haar kennis baseert.
Een voorbeeld: op maandag ziet IT ongebruikelijke downloads. Nog is niet duidelijk of het testgegevens zijn. Op dinsdag blijkt uit de log dat echte kandidaatdossiers zijn geopend. Als die informatie pas dinsdag voldoende zekerheid gaf, leg dan de onderbouwing vast. Als de organisatie maandag al wist dat echte dossiers betroffen waren, mag een laat intern overleg de datum niet naar dinsdag verplaatsen. Een beveiligingsdossier op grond van artikel 32 kan laten zien welke toegangsmaatregelen en logs beschikbaar waren; de inhoud van het register blijft beperkt tot wat nodig is.
Fase 2: risico en rol per gegevensstroom beoordelen
Een inbreuk is aantasting van vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens. Vraag welke personen en gegevenscategorieën betrokken zijn, hoe gemakkelijk identificatie is, wie toegang had, hoe lang de situatie duurde en welke gevolgen redelijkerwijs mogelijk zijn. Versleuteling kan risico verlagen als de sleutel veilig is; een back-up kan een beschikbaarheidsprobleem beperken. Een mail aan een verkeerde ontvanger die zegt te hebben verwijderd, is niet automatisch risicoloos: de aard van de gegevens en zekerheid over verdere verspreiding tellen mee. Gebruik een gemotiveerd oordeel, niet alleen een kleur in een dashboard.
Maak de rolverdeling concreet. Is uw organisatie verwerkingsverantwoordelijke, dan beoordeelt zij AP-melding en betrokkenencommunicatie. Is zij verwerker voor de getroffen gegevens, dan informeert zij de verantwoordelijke na kennis van de inbreuk zonder onredelijke vertraging en helpt met feiten; de klant maakt zijn eigen meldbesluit. Eén incident kan eigen personeelsgegevens en klantgegevens tegelijk raken, met twee verschillende besluitroutes. De gids verantwoordelijke versus verwerker helpt de keten per dataset te tekenen. Een afzonderlijke gids over artikel 6-grondslagen helpt bij de rechtmatigheid van de onderliggende verwerking; die vraag is niet hetzelfde als de risicodrempel voor een datalekmelding. Een verwerkersovereenkomst of andere bindende Unie- of lidstaatrechtelijke rechtshandeling volgens artikel 28 geeft de contractuele basis; laat daarin contactpunten en bijstand aansluiten op de praktijk.
Fase 3: melding aan de AP en opvolging
Als een inbreuk waarschijnlijk risico voor rechten en vrijheden oplevert, meldt de verantwoordelijke aan de bevoegde toezichthouder zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennis. In Nederland gebruikt u waar de AP bevoegd is haar actuele meldroute. De uitzondering luidt niet ‘alleen melden bij hoog risico’: hoog risico is de afzonderlijke drempel voor artikel 34. Bij een melding na 72 uur legt u de vertraging uit. Het is evenmin juist te stellen dat iedere melding binnen 72 uur automatisch tijdig is; ‘zonder onredelijke vertraging’ blijft gelden.
Artikel 33 lid 3 noemt de vereiste inhoud, voor zover mogelijk: aard van de inbreuk en categorieën/aantallen, contactpunt, waarschijnlijke gevolgen en getroffen of voorgenomen maatregelen. Zijn details nog onbekend, verstrek dan de beschikbare feiten en vul zonder onredelijke verdere vertraging aan volgens lid 4. Documenteer in het datalekregister wat werd gemeld, via welke route, wanneer en welke aanvullingen volgden. Het AP-meldproces geeft meer operationele details. Verwar een intern casusnummer niet met bewijs dat het officiële formulier is verzonden; bewaar een ontvangstbevestiging of referentie.
Kijk bij grensoverschrijdende verwerking naar de bevoegde toezichthouder en mogelijke betrokken autoriteiten; de AP is niet automatisch het enige loket voor iedere organisatie met een Nederlandse website. Andere sectorale meldplichten kunnen naast de AVG bestaan, maar stel hun toepasselijkheid apart vast. Een cybersecuritymelding is geen vervanging van een AVG-melding. Bouw in uw incidentformulier daarom een veld ‘andere meldroutes onderzocht’ in, zonder alle technische gebeurtenissen onder hetzelfde wettelijke regime te schuiven.
Fase 4: mensen informeren als hoog risico waarschijnlijk is
Artikel 34 vereist bij een waarschijnlijk hoog risico voor betrokkenen in beginsel een mededeling zonder onredelijke vertraging. Schrijf in duidelijke, eenvoudige taal wat is gebeurd, wie vragen kan beantwoorden, welke waarschijnlijke gevolgen bestaan en welke maatregelen zijn genomen of voorgesteld. Geef alleen handelingsadvies dat bij het incident past: een wachtwoord wijzigen helpt bij gelekte inloggegevens, niet bij een verloren papieren zorgbrief. Stem kanaal en taal af op de betrokken groep. Een publicatie op uw homepage kan mensen missen die de site niet meer bezoeken.
Beoordeel ook de uitzonderingen van artikel 34 lid 3. Effectieve bescherming die gegevens voor onbevoegden onbegrijpelijk maakt, achteraf genomen maatregelen die het hoge risico wegnemen, of onevenredig grote inspanning kunnen een andere communicatievorm of het achterwege laten van individuele berichten rechtvaardigen, maar alleen als de wettelijke voorwaarden werkelijk vervuld zijn. Bij onevenredige inspanning is een openbare mededeling of vergelijkbare maatregel nodig die betrokkenen even doeltreffend bereikt. Leg het oordeel vast. Dat de AP is ingelicht, zegt op zichzelf niets over deze vraag. Voor inhoud en rechten van betrokkenen is de gids over AVG-inzage aanvullend, maar een inzageverzoek is een eigen procedure.
Fase 5: afsluiten, verbeteren en kunnen uitleggen
Sluit een casus pas als bekende gevolgen, getroffen maatregelen en open vervolgacties zijn vastgelegd. Artikel 33 lid 5 verlangt documentatie van alle inbreuken in persoonsgegevens, ook bij een oordeel ‘AP-melding niet nodig’. Noteer de reden van dat oordeel, de gebruikte feiten en wie het goedkeurde. Als later nieuwe informatie verschijnt, heropen de beoordeling en behoud de versiegeschiedenis. Een register dat alleen gemelde gevallen bevat, kan de toezichthouder geen volledig beeld geven van de risicobesluiten.
Koppel een oorzaak aan een controleerbare verbetering. Ging een mail naar een verkeerd adres door automatische aanvulling, test dan bijvoorbeeld een vertraging of externe-ontvangerwaarschuwing. Ging de link openbaar door een standaardinstelling, pas die instelling aan en controleer andere mappen. Wijs een eigenaar en controledatum toe, en leg vast wanneer de maatregel werkte. Dit is ook het moment om uw verwerkingsregister of leverancierskaart bij te werken als het incident nieuwe gegevensstromen zichtbaar maakte. Een procedure die alleen de boete noemt en daarna sluit, mist deze stap.
De AVG noemt geen vaste bewaartermijn voor het datalekregister. Stel een redelijke, gemotiveerde termijn en beveilig het dossier; ruwe logbestanden kunnen eerder weg dan de besluitvormingssamenvatting. Een procedure moet daarom ook de opslaglocatie en toegangsrechten voor bewijs bepalen. De gids over bewaartermijnen helpt dit te organiseren. Bewaar geen onbeperkt kopiearchief van de gegevens die juist gelekt waren.
Rolverdeling die onder druk werkt
Een RACI-overzicht kan de opdracht helder maken, maar de letters veranderen de AVG-verantwoordelijkheid niet. Wijs aan wie het technische incident onderzoekt, wie privacyrisico beoordeelt, wie de melding vrijgeeft en wie betrokkenen kan bereiken. De verantwoordelijke organisatie blijft verantwoordelijk voor haar eigen artikel 33-besluit, ook als de FG adviseert of een leverancier het formulier voorbereidt. Zorg voor vervanging bij vakantie en een bereikbare route buiten kantooruren. Een contractuele eerste-meldtermijn met leveranciers kan praktisch zijn, maar kies geen willekeurige 24-uursgrens alsof die de wettelijke norm ‘zonder onredelijke vertraging’ vervangt.
| Activiteit | Mogelijke eigenaar | Controlepunt |
|---|---|---|
| Verdacht incident ontvangen | Service- of beveiligingsmeldpunt | Tijd en veilige feiten vastgelegd |
| Inbreuk bevestigen en indammen | IT-beveiliging met proceseigenaar | Bevestigde gegevens en open onzekerheid gescheiden |
| Risico en bevoegd gezag beoordelen | Verantwoordelijke met privacyadvies | Onderbouwing van wel/niet melden |
| Officiële melding vrijgeven | Aangewezen verantwoordelijke functie | Ontvangstbewijs en aanvulling gevolgd |
| Betrokkenen informeren | Communicatie met privacyfunctie | Artikel-34-besluit en passend kanaal |
| Maatregel verifiëren | Proceseigenaar | Herhalingstest en sluitingsdatum |
Pas het schema aan uw organisatie aan. Bij een klein bedrijf kunnen rollen in één persoon samenkomen, zolang diens vervanger en beslisruimte duidelijk zijn. Bij een groep met meerdere verantwoordelijken is één centrale incidentdesk mogelijk, maar de rol per dataset blijft zichtbaar. Leg de contactpunten in de afspraken met verwerkers vast. Een procedure kan ook een veilige route bevatten voor een externe onderzoeker of betrokkene die een lek meldt, zodat dat signaal niet in een algemeen verkoopformulier verdwijnt.
Oefenscenario: foutieve export op vrijdagavond
Een medewerker mailt om 20.00 uur een export met namen en financiële gegevens naar een verkeerd adres. De eerste ontvanger zegt meteen dat hij de mail zal wissen, maar er is nog geen bevestiging. De meldkamer registreert de tijd, laat de toegang tot een eventuele link intrekken en vraagt welke records werkelijk in de export staan. Het privacyteam beoordeelt wat de ontvanger al kon zien, of verdere verspreiding mogelijk is en welke schade betrokkenen kunnen ondervinden. De belofte tot wissen is een maatregel, geen automatisch bewijs van nul risico. De verantwoordelijke beslist over de AP-melding op grond van die feiten, niet pas na het weekend.
Verschijnt maandag bewijs dat de mail toch is doorgestuurd, dan wordt de risico- en artikel-34-beoordeling herzien. Het oorspronkelijke besluit verdwijnt niet uit het dossier; de nieuwe feiten en aanvullingen komen erbij. Na herstel onderzoekt het team waarom een externe ontvanger kon worden gekozen en test het een passende technische wijziging. Dit scenario laat zien waarom een werkende bereikbaarheid en een versiegeschiedenis belangrijker zijn dan een formulier dat alleen vijf lege fasen bevat.
FAQ
Begint de 72-uursperiode bij de eerste interne melding?
Niet noodzakelijk. Zij hangt samen met kennis van de verantwoordelijke van een inbreuk in persoonsgegevens. Een eerste vermoeden kan onderzoek vragen, maar een bevestigde inbreuk mag niet intern blijven liggen om de klok kunstmatig uit te stellen. Leg aanwijzing, bevestiging en besluit afzonderlijk vast.
Moet ik melden als ik na 72 uur nog geen volledig rapport heb?
Als de inbreuk niet onder de uitzondering ‘risico onwaarschijnlijk’ valt, meldt u zonder onredelijke vertraging en indien mogelijk binnen 72 uur met de bekende gegevens. Ontbrekende informatie kunt u zonder onredelijke verdere vertraging gefaseerd aanvullen. Bij een latere melding verklaart u de vertraging. Een onvolledig eerste bericht is geen vrijbrief voor speculatie; label schattingen en open vragen.
Moeten betrokkenen altijd na een AP-melding worden geïnformeerd?
Nee. Artikel 34 kent in beginsel de drempel van waarschijnlijk hoog risico en eigen voorwaarden en uitzonderingen. Beoordeel die afzonderlijk van artikel 33. Schrijf het besluit en eventuele alternatieve openbare mededeling in het dossier.
Wat leert het Booking.com-besluit?
De AP legde in een besluit van december 2020 een boete van €475.000 op wegens te late melding; de bekendmaking volgde in maart 2021. Het incident illustreert dat interne escalatie en tijdige feitenoverdracht ertoe doen. Het leert niet dat elk datalek gemeld moet worden of dat een procedure op papier sancties uitsluit.
Is een datalekprocedure hetzelfde als het datalekregister?
Nee. De procedure bepaalt wie wanneer onderzoekt, beslist, meldt en verbetert. Het register documenteert elke bevestigde inbreuk, de feiten, gevolgen en maatregelen zodat naleving controleerbaar is. Beide sluiten op elkaar aan, maar een ingevuld register vervangt geen tijdige externe melding.
Primaire bronnen: AVG artikelen 4, 28 en 32–34, AP: datalek, dit moet u doen, AP-besluit Booking.com en de bekendmaking van maart 2021.