Wat is een datalek volgens de AVG?

Een datalek onder de AVG is elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Dat kan gaan om een gestolen laptop, een verkeerd verzonden e-mail of een cyberaanval. De AVG legt bedrijven concrete verplichtingen op zodra zo’n incident zich voordoet. In dit artikel beantwoorden we de meest gestelde vragen over datalekken, zodat je weet waar je aan toe bent.

Welke soorten incidenten tellen als datalek onder de AVG?

Een datalek onder de AVG is elke beveiligingsinbreuk waarbij persoonsgegevens verloren gaan, worden gewijzigd, worden vernietigd of in handen komen van iemand die er geen toegang toe zou mogen hebben. Het gaat dus niet alleen om hacking of ransomware, maar ook om menselijke fouten en fysieke incidenten.

In de praktijk zien we dat veel bedrijven verrast worden door hoe breed dit begrip is. Voorbeelden die als datalek kwalificeren:

Een e-mail met klantgegevens die naar de verkeerde ontvanger wordt gestuurd
Een laptop of USB-stick met persoonsgegevens die wordt gestolen of verloren raakt
Ransomware die bestanden versleutelt en daarmee ontoegankelijk maakt
Een medewerker die zonder toestemming toegang krijgt tot klantdossiers

Kortom: als persoonsgegevens betrokken zijn bij een beveiligingsincident, is de kans groot dat het juridisch als datalek telt. Twijfel je? Dan is de veiligste aanname dat je het wél als datalek behandelt.

Wanneer ben je als bedrijf verplicht een datalek te melden?

Als verwerkingsverantwoordelijke ben je verplicht een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het datalek een risico vormt voor de rechten en vrijheden van de betrokkenen. Die afweging moet je zelf maken, en dat vereist een heldere blik op wat er precies is gebeurd.

Melding aan de Autoriteit Persoonsgegevens is verplicht wanneer er een reëel risico bestaat op schade voor de mensen van wie de gegevens zijn gelekt. Denk aan financiële schade, identiteitsfraude, reputatieschade of discriminatie. Gaat het om gevoelige categorieën zoals gezondheidsgegevens, financiële informatie of BSN-nummers, dan is de drempel voor melding lager.

Naast de melding aan de toezichthouder geldt er in veel gevallen ook een meldplicht richting de betrokkenen zelf, namelijk de mensen van wie de gegevens zijn gelekt. Dit is verplicht wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun persoonlijke rechten en vrijheden. Transparantie naar de betrokkenen is daarmee niet alleen een wettelijke verplichting, maar ook een kwestie van vertrouwen.

Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?

Een datalek meld je via het online meldloket op de website van de Autoriteit Persoonsgegevens. Je hebt daarvoor 72 uur de tijd vanaf het moment dat je het datalek ontdekt. De melding moet een aantal concrete gegevens bevatten over wat er is gebeurd, welke gegevens zijn betrokken en welke maatregelen je hebt genomen.

In de melding geef je in ieder geval aan:

Wat de aard van het datalek is en welke persoonsgegevens zijn betrokken
Het (geschatte) aantal betrokkenen en welke categorieën gegevens het betreft
De waarschijnlijke gevolgen van het datalek
Welke maatregelen je hebt genomen of nog gaat nemen om het incident te beheersen

Heb je niet alle informatie direct beschikbaar? Dat is geen reden om de melding uit te stellen. Je kunt een initiële melding doen en die later aanvullen. Wachten tot alles volledig helder is, telt niet als geldige reden om de 72-uurstermijn te overschrijden. Zorg er daarom voor dat je intern een duidelijk proces hebt: wie signaleert een incident, wie beoordeelt het, en wie doet de melding?

Wat zijn de gevolgen van een datalek niet melden?

Als je een meldplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete van maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Maar de financiële schade is vaak niet het enige gevolg.

Het niet melden van een datalek kan ook leiden tot reputatieschade, verlies van klantvertrouwen en in ernstige gevallen tot aansprakelijkstelling door de gedupeerde betrokkenen. Juist voor mkb-bedrijven kan dat laatste een forse impact hebben, zeker als het gaat om gevoelige klant- of personeelsgegevens.

Wat de Autoriteit Persoonsgegevens zwaar meeweegt bij handhaving, is of een organisatie aantoonbaar heeft geprobeerd de AVG na te leven. Een bedrijf dat een incident snel signaleert, intern onderzoekt en tijdig meldt, staat er juridisch heel anders voor dan een bedrijf dat een datalek maanden stilhoudt. Transparantie en een gestructureerde aanpak zijn daarmee ook een vorm van risicomanagement. Een solide informatiebeveiliging MKB-aanpak helpt je niet alleen datalekken te voorkomen, maar ook om snel en correct te handelen als er toch iets misgaat.

Hoe voorkom je een datalek in je bedrijf?

Datalekken voorkomen begint bij bewustzijn en structuur. De meeste incidenten ontstaan niet door geavanceerde aanvallen, maar door menselijke fouten, zwakke wachtwoorden, verouderde systemen of het ontbreken van duidelijke procedures. Een combinatie van technische maatregelen en organisatorisch beleid vormt de basis van een solide verdediging.

Concrete stappen die het risico op een datalek aanzienlijk verlagen:

Stel een helder cybersecurity beleid op en zorg dat medewerkers weten wat ze moeten doen bij een verdacht incident
Gebruik sterke authenticatie, zoals meerfactorauthenticatie, voor toegang tot systemen met persoonsgegevens
Zorg voor regelmatige updates en patches van software en systemen
Beperk toegangsrechten: niet iedereen hoeft bij alle gegevens te kunnen

Daarnaast is het verstandig om periodiek te toetsen of je maatregelen nog afdoende zijn. De digitale omgeving verandert snel, en wat vorig jaar voldoende was, is dat vandaag niet per se meer. Een IT-audit geeft je onafhankelijk inzicht in waar de kwetsbaarheden zitten, zonder dat je daarvoor zelf een IT-beveiligingsspecialist in dienst hoeft te nemen. Voor organisaties die werken met gevoelige gegevens of onder toezicht staan van regelgeving zoals NIS2 of de AVG, is zo’n externe beoordeling geen luxe maar een logische stap.

Hoe Auren u helpt bij het voorkomen en beheersen van datalekken

Een datalek is zelden het gevolg van één fout. Het is vaak het resultaat van een IT-omgeving die nooit systematisch is beoordeeld, gecombineerd met een gebrek aan duidelijke procedures. Precies daar helpen wij organisaties verder.

Wij ondersteunen mkb-bedrijven en familiebedrijven bij het versterken van hun digitale weerbaarheid, van beleid tot uitvoering. Concreet betekent dat:

IT-audits en risicobeoordelingen die inzicht geven in kwetsbaarheden in je IT-omgeving
Begeleiding bij het opstellen van een cybersecurity beleid dat aansluit op jouw bedrijfsvoering
Ondersteuning bij AVG-compliance en voorbereiding op regelgeving zoals de NIS2-richtlijn voor MKB
Assurance-diensten zoals ISAE 3402 voor organisaties die aan klanten of toezichthouders moeten aantonen dat hun beheersing op orde is

Wil je weten waar jouw organisatie nu staat en wat er nodig is om datalekken te voorkomen? Neem contact op met Auren voor een vrijblijvend gesprek. Wij kijken met je mee, zonder jargon en met een concrete aanpak die past bij jouw situatie.