Zijn bedrijven aansprakelijk voor datalekken?

Ja, bedrijven kunnen aansprakelijk worden gesteld voor datalekken. Wanneer persoonsgegevens onvoldoende worden beschermd en er schade ontstaat bij betrokkenen, kan de organisatie verantwoordelijk worden gehouden op grond van de Algemene Verordening Gegevensbescherming (AVG). Dit geldt voor vrijwel elk bedrijf dat persoonsgegevens verwerkt, van kleine MKB-ondernemingen tot grote multinationals. In dit artikel beantwoorden we de meest gestelde vragen over aansprakelijkheid, meldplicht en wat je kunt doen om risico’s te beperken.

Wanneer is een bedrijf aansprakelijk voor een datalek?

Een bedrijf is aansprakelijk voor een datalek wanneer het heeft nagelaten passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen, en daardoor schade is ontstaan bij de betrokkenen. De AVG legt de bewijslast bij de organisatie: niet de gedupeerde moet aantonen dat het bedrijf fout zat, maar het bedrijf moet aantonen dat het alles heeft gedaan wat redelijkerwijs mogelijk was.

Aansprakelijkheid ontstaat niet automatisch bij elk incident. Beslissend is of de organisatie aantoonbaar heeft voldaan aan haar zorgplicht. Denk aan het gebruik van sterke toegangsbeveiliging, versleuteling van gevoelige gegevens en een actueel privacybeleid. Ontbreekt dat bewijs, dan staat de deur open voor claims van gedupeerde personen én handhaving door de Autoriteit Persoonsgegevens (AP).

Belangrijk is ook het onderscheid tussen de rol van verwerkingsverantwoordelijke en verwerker. Als je als bedrijf bepaalt waarvoor persoonsgegevens worden gebruikt, ben je verwerkingsverantwoordelijke en draag je de zwaarste verantwoordelijkheid. Schakel je een externe partij in, zoals een clouddienst of salarisverwerker, dan blijf je als opdrachtgever verantwoordelijk voor de keuze van die partij en de afspraken die je met hen maakt.

Wat zijn de gevolgen van een datalek voor een bedrijf?

De gevolgen van een datalek reiken verder dan een boete alleen. Een datalek kan leiden tot financiële schade, reputatieschade, verlies van klantvertrouwen en juridische aansprakelijkheid tegenover de gedupeerden. Voor MKB-bedrijven zijn de indirecte gevolgen soms zwaarder dan de directe: een grote opdrachtgever die het vertrouwen verliest, kan meer kosten dan de boete zelf.

De meest voorkomende gevolgen op een rij:

Boetes van de Autoriteit Persoonsgegevens op basis van de ernst van de overtreding
Schadeclaims van betrokkenen van wie gegevens zijn gelekt
Reputatieschade en negatieve publiciteit, zeker bij media-aandacht
Verlies van klanten of contracten, met name bij zakelijke opdrachtgevers die compliance eisen

Naast de directe financiële klap kost een datalek ook veel tijd en energie. Intern onderzoek, communicatie naar betrokkenen, overleg met juristen en het herstel van systemen binden capaciteit die je liever ergens anders inzet. Voorkomen is dan ook niet alleen verstandig vanuit compliance-oogpunt, maar ook puur bedrijfseconomisch.

Hoe hoog kan een boete zijn bij een datalek?

Onder de AVG kan de Autoriteit Persoonsgegevens boetes opleggen tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. De hoogte van de boete hangt af van de ernst van de overtreding, de mate van nalatigheid, het aantal betrokkenen en de medewerking van de organisatie tijdens het onderzoek.

In de praktijk zijn boetes voor MKB-bedrijven vaak lager, maar ze zijn niet symbolisch. De AP heeft de afgelopen jaren meerdere organisaties beboet voor het niet naleven van meldplichten, onvoldoende beveiliging of het ontbreken van een verwerkersovereenkomst. Juist voor kleinere bedrijven kan een boete van enkele tienduizenden euro’s al een serieuze aanslag zijn op de bedrijfsvoering.

Naast de AP-boete kunnen betrokkenen ook zelf een civiele schadeclaim indienen. Dat recht is expliciet vastgelegd in de AVG. De hoogte van die claims varieert, maar de cumulatieve impact van meerdere claims tegelijk kan aanzienlijk zijn.

Moet een bedrijf een datalek altijd melden?

Niet elk datalek hoeft gemeld te worden, maar de drempel is laag. Een datalek moet binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens als het waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Is er een hoog risico, dan moeten ook de betrokkenen zelf worden geïnformeerd. Alleen als het risico verwaarloosbaar is, mag je afzien van melding.

In de praktijk betekent dit dat je bij twijfel bijna altijd moet melden. Wacht je te lang of meld je helemaal niet terwijl dat wel had gemoeten, dan loopt het bedrijf extra risico op handhaving. De 72-uursgrens gaat in op het moment dat de organisatie redelijkerwijs op de hoogte had kunnen zijn van het lek, niet pas wanneer het officieel is vastgesteld.

Voor bedrijven die vallen onder de NIS2-richtlijn MKB of de DORA-regelgeving gelden aanvullende meldverplichtingen met eigen termijnen en rapportagevereisten. Het is verstandig om vooraf te weten onder welk regime je valt, zodat je bij een incident niet in tijdnood komt.

Hoe kunnen bedrijven hun aansprakelijkheid bij datalekken beperken?

Bedrijven beperken hun aansprakelijkheid bij datalekken door aantoonbaar te voldoen aan de AVG-vereisten voor informatiebeveiliging: passende technische maatregelen, heldere procedures, actuele verwerkersovereenkomsten en een gedocumenteerde aanpak van risicobeheer. Wie kan laten zien dat hij zijn verantwoordelijkheid serieus heeft genomen, staat bij een incident veel sterker.

Concrete stappen die het verschil maken:

Voer een IT-audit of risicoanalyse uit om kwetsbaarheden in je IT-omgeving te identificeren
Stel een cybersecuritybeleid op en zorg dat medewerkers dit kennen en naleven
Sluit verwerkersovereenkomsten af met alle externe partijen die persoonsgegevens verwerken
Documenteer je beveiligingsmaatregelen zodat je bij een incident kunt aantonen wat je hebt gedaan

Voor MKB-bedrijven is informatiebeveiliging MKB geen luxe maar een basisvereiste. Een onafhankelijke beoordeling van je IT-omgeving geeft inzicht in waar de risico’s zitten en wat prioriteit verdient. Dat is niet alleen nuttig voor je eigen gemoedsrust, maar ook als je klanten of accountants vragen stellen over de beheersing van je systemen.

Wat is het verschil tussen een datalek en een beveiligingsincident?

Een beveiligingsincident is elke gebeurtenis die de beschikbaarheid, integriteit of vertrouwelijkheid van informatie bedreigt. Een datalek is een specifieke categorie daarvan: een beveiligingsincident waarbij persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren, gewijzigd, verspreid of ingezien door onbevoegden. Niet elk beveiligingsincident is dus een datalek, maar elk datalek begint als een beveiligingsincident.

Het onderscheid is praktisch relevant. Een server die tijdelijk uitvalt zonder dat er gegevens zijn gelekt, is een beveiligingsincident maar geen datalek. Een medewerker die een e-mail met klantgegevens naar het verkeerde adres stuurt, is wél een datalek en valt daarmee onder de meldplicht van de AVG.

Voor de praktijk geldt: behandel elk beveiligingsincident serieus en beoordeel altijd of er persoonsgegevens bij betrokken zijn. Heb je daar intern geen zicht op, dan is dat op zichzelf al een risico. Een heldere incidentprocedure en goed getrainde medewerkers maken het verschil tussen een incident dat beheerst wordt en een incident dat escaleert.

Hoe Auren u helpt uw aansprakelijkheid te beperken

Wij begrijpen dat datalekken en aansprakelijkheid voor veel ondernemers abstract aanvoelen, totdat het dichtbij komt. Bij Auren combineren we inhoudelijke expertise op het gebied van IT-audit en informatiebeveiliging met een aanpak die praktisch en begrijpelijk is. Geen stapels jargon, maar concrete inzichten die je direct kunt gebruiken.

Wat wij voor je kunnen betekenen:

Een onafhankelijke IT-audit die blootlegt waar je IT-omgeving kwetsbaar is
Begeleiding bij het opstellen van een cybersecuritybeleid dat aansluit bij jouw organisatie
Ondersteuning bij compliance met de AVG, NIS2 en andere relevante regelgeving
Audit en assurance diensten die aantoonbaar maken dat je beveiliging op orde is

Of je nu reageert op een vraag van je accountant, een klant die om bewijs vraagt of gewoon wilt weten waar je staat: wij helpen je van onzekerheid naar overzicht. Neem contact op met Auren en ontdek wat een onafhankelijke beoordeling voor jouw organisatie kan betekenen.