Moeten bedrijven een schadevergoeding betalen voor datalekken?

Ja, bedrijven kunnen verplicht zijn een schadevergoeding te betalen als zij een datalek niet goed hebben voorkomen of afgehandeld. De AVG geeft betrokkenen het recht om een schadeclaim in te dienen wanneer hun persoonsgegevens onrechtmatig zijn verwerkt of onvoldoende zijn beveiligd. In dit artikel beantwoorden we de meest gestelde vragen over aansprakelijkheid, schadevergoedingen en wat u kunt doen om claims te voorkomen.

Wanneer bent u als bedrijf aansprakelijk voor een datalek?

Een bedrijf is aansprakelijk voor een datalek wanneer het niet heeft voldaan aan de beveiligingsverplichtingen uit de AVG. Concreet betekent dit: als persoonsgegevens verloren zijn gegaan, gestolen zijn of in verkeerde handen zijn gevallen doordat de organisatie onvoldoende technische of organisatorische maatregelen had getroffen, dan kan de verantwoordelijke partij aansprakelijk worden gesteld door de gedupeerden.

De AVG hanteert daarbij een omgekeerde bewijslast. Niet het slachtoffer hoeft te bewijzen dat u nalatig was, maar u als bedrijf moet aantonen dat u alles heeft gedaan wat redelijkerwijs van u verwacht mocht worden. Dat is een wezenlijk verschil met veel andere aansprakelijkheidsvraagstukken. Denk aan situaties zoals een gehackte database, een per ongeluk doorgestuurde e-mail met klantgegevens, of een medewerker die een laptop verliest zonder versleuteling. In al deze gevallen kan aansprakelijkheid ontstaan.

Zowel de verwerkingsverantwoordelijke als een verwerker (bijvoorbeeld een externe IT-leverancier) kan aansprakelijk zijn. Als u als opdrachtgever onvoldoende toezicht heeft gehouden op uw verwerkers, draagt u alsnog een deel van de verantwoordelijkheid.

Wat voor soorten schade kunnen slachtoffers claimen?

Slachtoffers van een datalek kunnen zowel materiële als immateriële schade claimen. Materiële schade omvat aantoonbare financiële gevolgen, zoals kosten door identiteitsfraude of verlies van inkomsten. Immateriële schade gaat over emotioneel leed, reputatieschade of verlies van controle over de eigen gegevens, ook als er geen directe financiële schade is geleden.

Het Europese Hof van Justitie heeft in meerdere uitspraken bevestigd dat immateriële schade door een datalek serieus wordt genomen, zelfs als het slachtoffer geen concreet geldverlies kan aantonen. Angst voor misbruik van gegevens of het gevoel van controleverlies kan al voldoende grond zijn voor een claim. Dit maakt het voor bedrijven extra belangrijk om informatiebeveiliging MKB serieus te nemen, ook zonder dat er al iets mis is gegaan.

Hoe hoog zijn schadevergoedingen bij datalekken in de praktijk?

De hoogte van schadevergoedingen bij datalekken varieert sterk en is afhankelijk van de ernst van het lek, de gevoeligheid van de gegevens en de omvang van de groep gedupeerden. In individuele zaken gaat het vaak om bedragen tussen enkele honderden en enkele duizenden euro’s per persoon. Bij grootschalige lekken met veel slachtoffers kunnen de totale claims oplopen tot aanzienlijke bedragen.

Naast civiele schadeclaims van gedupeerden kunt u als bedrijf ook te maken krijgen met boetes van de Autoriteit Persoonsgegevens. Die boetes staan los van de schadevergoedingen en kunnen bij ernstige overtredingen oplopen tot tientallen miljoenen euro’s. De combinatie van een AP-boete én civiele claims maakt een datalek financieel zeer risicovol. Voor advies over de fiscale en juridische gevolgen hiervan kunt u terecht bij onze tax en legal dienstverlening.

Kan een bedrijf zich verweren tegen een schadeclaim?

Ja, een bedrijf kan zich verweren tegen een schadeclaim, maar de lat ligt hoog. De AVG biedt twee concrete verweergronden: u kunt aantonen dat u op geen enkele wijze verantwoordelijk bent voor de schade, of dat de schade het gevolg is van overmacht. In de praktijk slagen deze verweren zelden volledig, maar ze kunnen de aansprakelijkheid wel beperken.

Wat wel werkt als verweer, is het aantonen dat u aantoonbaar passende maatregelen had getroffen. Denk aan gedocumenteerd beveiligingsbeleid, regelmatige risicobeoordelingen, encryptie van gevoelige gegevens en bewustzijnstraining voor medewerkers. Wie dit alles op orde heeft en het ook kan bewijzen, staat sterker. Dat is precies waarom een onafhankelijke IT-audit en cyberadvies zo waardevol is: het geeft u niet alleen inzicht, maar ook een aantoonbaar spoor van zorgvuldigheid.

Wat moet een bedrijf doen direct na een datalek?

Direct na een datalek gelden strikte wettelijke verplichtingen. Handelen op basis van de volgende stappen verkleint zowel de schade als de juridische risico’s:

Meld het datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor betrokkenen.
Informeer de gedupeerden zo snel mogelijk als het lek een hoog risico voor hen oplevert.
Documenteer alles: wat er is gebeurd, welke gegevens zijn betrokken, welke maatregelen u heeft genomen en wanneer.
Beperk de schade direct: sluit het lek, isoleer getroffen systemen en schakel indien nodig externe expertise in.

Wie te laat meldt of nalaat betrokkenen te informeren, riskeert niet alleen een boete, maar ook een verzwakte positie in eventuele aansprakelijkheidsprocedures. Snelheid en transparantie zijn hier geen optie, maar een verplichting.

Hoe voorkomt u dat een datalek tot schadeclaims leidt?

Voorkomen is beter dan genezen, en dat geldt zeker voor datalekken. De beste bescherming tegen schadeclaims is het aantoonbaar naleven van de AVG en het structureel beveiligen van uw IT-omgeving. Bedrijven die hun beveiliging op orde hebben en dit kunnen documenteren, staan juridisch en reputatiegewijs veel sterker als er toch iets misgaat.

Concrete stappen die het risico op claims sterk verminderen:

Voer een risicoanalyse uit op uw IT-omgeving en verwerk de uitkomsten in een actueel beveiligingsbeleid.
Zorg dat toegangsrechten, wachtwoordbeleid en versleuteling structureel zijn geregeld.
Train medewerkers regelmatig op bewustwording rondom phishing en veilig omgaan met gegevens.
Laat uw maatregelen periodiek toetsen door een onafhankelijke partij.

De NIS2-richtlijn voor het MKB en de AVG verlangen beide dat organisaties niet alleen maatregelen nemen, maar ook aantonen dat die maatregelen effectief zijn. Dat vraagt om meer dan een IT’er die systemen beheert. Het vraagt om een onafhankelijke blik van buitenaf. Wilt u meer weten over hoe wij organisaties hierbij ondersteunen, ontdek dan wie Auren is en wat wij voor u kunnen betekenen.

Hoe Auren u helpt uw aansprakelijkheid te beperken

Een datalek is zelden het gevolg van pech alleen. Vaker is het het resultaat van een IT-omgeving die nooit systematisch is beoordeeld. Wij helpen MKB-organisaties om grip te krijgen op hun digitale risico’s, voordat het misgaat.

Wat wij concreet voor u doen:

Wij brengen uw IT-omgeving en beveiligingsmaatregelen in kaart via een onafhankelijke IT-audit, zodat u weet waar u staat.
Wij toetsen of uw organisatie voldoet aan de AVG, NIS2 en andere relevante wet- en regelgeving.
Wij helpen u bij het opstellen of versterken van een cybersecuritybeleid dat werkbaar is én aantoonbaar effectief.
Wij ondersteunen u met audit- en assurancediensten voor uw organisatie die u ook richting klanten en accountants kunt laten zien als bewijs van zorgvuldigheid.

Wilt u weten of uw organisatie voldoende beschermd is en wat u kunt doen om aansprakelijkheid bij een datalek te beperken? Neem contact op met Auren. We denken graag met u mee, zonder jargon en met oog voor wat er in uw specifieke situatie écht toe doet.