Wat zijn de verplichtingen bij een datalek?

Bij een datalek ben je als organisatie verplicht om dit te registreren en in veel gevallen te melden bij de Autoriteit Persoonsgegevens (AP), soms ook aan de betrokkenen zelf. De Algemene Verordening Gegevensbescherming (AVG) stelt duidelijke eisen aan wat je moet doen, wanneer, en hoe. Voor veel MKB-ondernemers is dit terrein onbekend en daardoor risicovol. In dit artikel beantwoorden we de meest gestelde vragen over datalekken, zodat je weet waar je aan toe bent.

Wanneer is er officieel sprake van een datalek?

Er is sprake van een datalek zodra persoonsgegevens onbedoeld verloren gaan, worden gewijzigd, vernietigd, vrijgegeven of toegankelijk worden voor mensen die daar geen recht op hebben. Dat klinkt technisch, maar het gaat in de praktijk om situaties die vaker voorkomen dan je denkt: een gestolen laptop, een verkeerd verstuurde e-mail, een gehackt systeem of een medewerker die per ongeluk een bestand deelt.

Belangrijk om te weten: een datalek hoeft niet altijd het gevolg te zijn van een cyberaanval. Ook menselijke fouten vallen onder de definitie. Denk aan het kwijtraken van een USB-stick met klantgegevens, of een cloudopslag die per ongeluk openbaar toegankelijk was. Zolang het om persoonsgegevens gaat en er sprake is van een inbreuk op de beveiliging, is de AVG van toepassing. Een solide cybersecurity beleid helpt om dit soort situaties te voorkomen en te beperken.

Wanneer moet een datalek gemeld worden bij de Autoriteit Persoonsgegevens?

Een datalek moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de rechten en vrijheden van de betrokken personen. Die 72 uur telt vanaf het moment dat je als organisatie op de hoogte bent van het lek, niet vanaf het moment dat het lek daadwerkelijk plaatsvond.

De drempel voor melding is bewust laag gehouden. Twijfel je of een incident meldingsplichtig is, dan is de vuistregel: meld liever te vroeg dan te laat. De AP beoordeelt de ernst van het lek en bepaalt of er verdere actie nodig is. Lekken waarbij bijzondere persoonsgegevens betrokken zijn, zoals gezondheidsgegevens of financiële informatie, wegen zwaarder en vereisen vrijwel altijd een melding.

Organisaties die vallen onder sectorspecifieke regelgeving, zoals de NIS2 richtlijn of DORA, kunnen te maken krijgen met aanvullende meldplichten en kortere termijnen. Voor het MKB is het verstandig om dit vooraf in kaart te brengen, zodat je niet verrast wordt op het moment dat het er echt toe doet.

Moet je betrokkenen ook informeren bij een datalek?

Ja, maar niet altijd. Je bent verplicht om de betrokkenen, de mensen van wie de gegevens zijn gelekt, te informeren wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Dat is een hoger criterium dan de meldplicht bij de AP, maar het gaat sneller dan je denkt.

Voorbeelden waarbij je betrokkenen moet informeren zijn situaties waarbij identiteitsfraude mogelijk is, waarbij financiële gegevens zijn buitgemaakt, of waarbij gevoelige informatie in verkeerde handen is gevallen. De communicatie moet helder en begrijpelijk zijn: wat is er gebeurd, welke gegevens zijn betrokken, wat zijn de mogelijke gevolgen en wat doe je eraan?

Uitzonderingen bestaan, bijvoorbeeld als de gelekte gegevens versleuteld waren en daardoor onleesbaar zijn voor buitenstaanders. In dat geval is de kans op schade klein en vervalt de informatieplicht richting betrokkenen. Goede veilige dataopslag oplossingen, waaronder encryptie, kunnen dus letterlijk het verschil maken.

Wat moet een datalekmelding inhouden?

Een datalekmelding aan de Autoriteit Persoonsgegevens moet ten minste de volgende informatie bevatten: een beschrijving van de aard van het lek, de categorieën en het aantal betrokkenen, de categorieën en het aantal getroffen gegevensrecords, de naam en contactgegevens van de functionaris voor gegevensbescherming (FG) of een ander contactpunt, en de maatregelen die zijn genomen of worden voorgesteld.

Aard en oorzaak van het datalek
Welke persoonsgegevens zijn betrokken en van wie
Welke maatregelen je hebt genomen om de schade te beperken
Contactgegevens van de verantwoordelijke binnen je organisatie

Als je op het moment van melding nog niet alle informatie hebt, mag je een voorlopige melding doen en deze later aanvullen. De AP verwacht wel dat je actief bezig bent met het onderzoek en de aanvulling zo snel mogelijk aanlevert. Stel de melding dus niet uit omdat het plaatje nog niet compleet is.

Wat zijn de gevolgen als je een datalek niet (op tijd) meldt?

Als je een meldingsplichtig datalek niet of niet tijdig meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete. De AP kan boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Bij ernstigere overtredingen kunnen die bedragen oplopen tot 20 miljoen euro of 4% van de omzet.

Naast financiële sancties is er reputatieschade. Een datalek dat later uitkomt terwijl je het had moeten melden, ondermijnt het vertrouwen van klanten, partners en medewerkers. Voor een MKB-bedrijf kan dat langdurige gevolgen hebben voor klantrelaties en nieuwe opdrachten. Zeker wanneer opdrachtgevers vragen stellen over informatiebeveiliging of assurancerapportages en audit diensten eisen, wil je geen achterstallige meldingen in je dossier hebben.

De AP houdt ook rekening met hoe een organisatie heeft gehandeld na het ontdekken van een lek. Transparantie en snelle actie werken in je voordeel; stilzitten of verdoezelen werkt sterk in je nadeel.

Hoe voorkom je een datalek in je bedrijf?

Een datalek volledig uitsluiten is niet realistisch, maar de kans erop aanzienlijk verkleinen is dat wel. De basis ligt in bewustzijn, goede processen en de juiste technische maatregelen. Voor informatiebeveiliging in het MKB hoeft dat niet ingewikkeld of kostbaar te zijn, als je maar weet waar de risico’s zitten.

Praktische stappen die het verschil maken:

Train medewerkers regelmatig op het herkennen van phishing en veilig omgaan met gegevens
Beperk toegang tot persoonsgegevens tot wie het echt nodig heeft
Gebruik sterke wachtwoorden en meerfactorauthenticatie
Versleutel gevoelige gegevens, zowel bij opslag als bij verzending

Daarnaast is het verstandig om je IT-omgeving periodiek te laten beoordelen door een onafhankelijke partij. Veel organisaties weten niet waar de zwakke plekken in hun systemen zitten, simpelweg omdat die nooit systematisch zijn bekeken. Een IT-audit voor digitale kwetsbaarheden brengt die risico’s in kaart voordat ze tot een incident leiden. Kaders zoals ISO 27001 bieden een bewezen structuur om informatiebeveiliging organisatiebreed te borgen, ook voor het MKB.

Hoe Auren u helpt bij datalekken voorkomen en beheersen

Wij begrijpen dat datalekken voor veel ondernemers een abstract risico zijn, totdat het te laat is. Ontdek wat Auren voor uw organisatie kan betekenen om grip te krijgen op hun digitale weerbaarheid, van het in kaart brengen van risico’s tot het opzetten van een werkend beveiligingsbeleid.

Concreet bieden we:

IT-audits die inzichtelijk maken waar de kwetsbaarheden in uw IT-omgeving zitten
Ondersteuning bij AVG-compliance en het opzetten van een datalekprocedure
Begeleiding bij NIS2-voorbereiding en andere relevante wet- en regelgeving
Audit en assurance diensten voor organisaties die aantoonbaar in control willen zijn

We werken niet met dikke rapporten vol jargon, maar met heldere inzichten en concrete vervolgstappen die passen bij uw organisatie. Wilt u weten hoe uw bedrijf er nu voorstaat op het gebied van informatiebeveiliging? Neem contact op met Auren en we kijken samen wat er nodig is. Bekijk ook onze evenementen en kennissessies over beveiliging voor praktische inzichten.