Meldplicht datalekken: wanneer, hoe en binnen 72 uur

Wat is een datalek volgens de AP?

Volgens de AP gaat het bij een datalek om toegang tot persoonsgegevens zonder dat dit mag of de bedoeling is, en de oorzaak is een inbreuk op de beveiliging. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo'n inbreuk valt eronder. Een datalek is dus een beveiligingsincident waarbij persoonsgegevens betrokken zijn. Daarom werken privacy en security samen. Zie de AP-uitleg over wat een datalek is.

De AP noemt voorbeelden. Persoonsgegevens die naar een verkeerde geadresseerde gaan, inzage in een medisch dossier door een onbevoegde medewerker, het verlies van een USB-stick of apparaat met niet-versleutelde persoonsgegevens, een cyberaanval waarbij persoonsgegevens zijn buitgemaakt, en ransomware waarbij persoonsgegevens ontoegankelijk zijn gemaakt, vallen er allemaal onder. Een brief naar het verkeerde adres is dus ook een datalek, zonder dat er een hacker aan te pas kwam.

Volgens de AP zijn er drie soorten. Bij een inbreuk op de vertrouwelijkheid zijn gegevens openbaar geworden of door een onbevoegde ingezien. Bij een inbreuk op de integriteit zijn gegevens gewijzigd, door een onbevoegde of per ongeluk. Bij een inbreuk op de beschikbaarheid kun je niet meer bij de gegevens, of ze zijn vernietigd. Een datalek kan in meer dan één categorie vallen.

De regels voor de melding staan in artikel 33 en 34 van de AVG. De AP verwijst daarnaast naar de uitzonderingen in de Uitvoeringswet AVG (UAVG). Het bredere kader van de AVG staat in de kennisbank over de AVG voor privacy professionals.

Wanneer moet je een datalek melden?

Artikel 33 AVG zegt dat je een inbreuk meldt bij de toezichthouder, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen. Of je meldt, hangt dus af van een risico-inschatting. De AP noemt acht factoren voor die afweging:

• de aard van de inbreuk;
• de aard, gevoeligheid en hoeveelheid van de persoonsgegevens;
• het gemak waarmee personen kunnen worden geïdentificeerd;
• de ernst van de gevolgen voor de slachtoffers;
• kenmerken van de onbevoegde ontvanger;
• bijzondere kenmerken van de persoon;
• bijzondere kenmerken van de organisatie;
• het aantal slachtoffers.

In ieder geval een hoog risico verwacht je bij bijzondere persoonsgegevens, zoals gezondheidsgegevens, bij strafrechtelijke persoonsgegevens en bij gegevens die bedoeld zijn om profielen op te stellen. Creditcardgegevens, kopieën van identiteitsdocumenten en het burgerservicenummer in combinatie met aanvullende gegevens zijn ook gevoelig. Ook een telefoonnummer en e-mailadres kunnen in handen van criminelen worden misbruikt voor gerichte phishing. De AP-uitleg over wel of niet melden gaat hier verder op in.

Twijfel je, dan kun je volgens de AP het beste het zekere voor het onzekere nemen en het datalek wel melden. Je hoeft niet te melden als je vooraf passende maatregelen hebt getroffen waardoor de gelekte gegevens onbegrijpelijk zijn voor onbevoegden, bijvoorbeeld door goede versleuteling of een hashwaarde. Die uitzondering geldt alleen onder drie voorwaarden. De gegevens zijn nog volledig intact, je hebt nog steeds volledige controle over de gegevens (je beschikt over een recente back-up), en de sleutel is niet in gevaar gekomen en is met de beschikbare technologie niet vindbaar voor onbevoegden.

De risico-inschatting is geen rekensom. De acht factoren geven richting, maar de afweging leg je vast. Een privacy officer of functionaris voor gegevensbescherming legt de factoren naast elkaar en noteert de motivering, zodat die later te controleren is.

Een andere meldplicht, die van de NIS2-richtlijn en de Cyberbeveiligingswet, staat los van de AVG-meldplicht. Die behandelt het NIS2-artikel apart.

Binnen welke termijn moet je melden?

Je meldt een datalek binnen 72 uur nadat je er kennis van hebt genomen, zonder onredelijke vertraging. De klok start dus bij kennisname en niet bij het eerste signaal. Heb je een mogelijk datalek opgemerkt, dan hoef je het nog niet direct te melden. Dat moet pas na kennisname. Zie ook de AP-pagina over melden.

Met kennisname bedoelt de AP dat je er redelijk zeker van bent dat een beveiligingsincident de vertrouwelijkheid, integriteit en/of beschikbaarheid van persoonsgegevens heeft aangetast. Dat moment kan duidelijk zijn, maar het kan ook even duren voordat vaststaat of er persoonsgegevens zijn geraakt. In die tijd onderzoek je het incident onmiddellijk. Blijkt het een datalek te zijn, dan neem je maatregelen om het te beëindigen en meld je het als dat moet.

Bij een complexe inbreuk, zoals ransomware of phishing, doe je de eerste, voorlopige melding toch binnen 72 uur, ook als je nog niet alle informatie hebt. Wat later bekend wordt, lever je aan via een vervolgmelding. Artikel 33 lid 4 AVG staat toe dat informatie zonder onredelijke vertraging in stappen wordt verstrekt als het niet mogelijk is alles gelijktijdig te verstrekken.

Ben je te laat, dan moet je daarvoor een reden geven. De AP accepteert een late melding alleen in uitzonderlijke gevallen. Een weekend, vakantie, ziekte of drukte zijn volgens de AP geen geldige redenen. Ook als de functionaris voor gegevensbescherming te laat is geïnformeerd, is dat geen reden, omdat de verantwoordelijkheid bij de organisatie ligt.

Een goede interne meldroute bepaalt dus of je de termijn haalt. Volgens de AP leg je in het interne werkproces vast wie het eerste aanspreekpunt is en binnen welke termijn medewerkers een mogelijk datalek intern melden. Een voorbeeld van een goed intern proces is een vaste vragenlijst, snelle terugkoppeling, achtervang buiten kantoortijd en een jaarlijkse oefening. Dat is een suggestie en geen eis uit de AVG.

Wat moet je melden aan de Autoriteit Persoonsgegevens?

Artikel 33 lid 3 AVG bepaalt wat de melding ten minste bevat. Dat is de aard van de inbreuk, waar mogelijk met de categorieën en het bij benadering aantal betrokkenen en registers. Verder de naam en contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt, de waarschijnlijke gevolgen, en de maatregelen die je hebt genomen of voorgesteld, ook om de nadelige gevolgen te beperken. Het meldformulier vraagt daarnaast hoeveel gegevensrecords zijn getroffen. Een record is een vastlegging van informatie over een bepaald persoon, zoals een regel in een Excel-bestand.

Je meldt een datalek alleen via het Meldformulier datalekken. Telefonisch, per post of per e-mail melden kan niet. Een grensoverschrijdend datalek meld je bij de privacytoezichthouder van het Europese land waar je hoofdkantoor is gevestigd. Bij de functionaris voor gegevensbescherming van je eigen organisatie kun je een datalek niet melden. Na het versturen krijg je een ontvangstbevestiging met een meldingsnummer. Daarmee kun je je melding later aanvullen, aanpassen of intrekken. De AP biedt een vragenlijst om het formulier voor te bereiden.

Meestal krijg je geen reactie van de AP. Dat betekent dat je de melding goed hebt gedaan en dat de AP geen inhoudelijke vragen heeft. Zijn er wel vragen, dan neemt de AP binnen twee weken contact op. Het toezicht is risicogestuurd en richt zich vooral op de datalekken met de grootste risico's voor slachtoffers. De AP kan onder meer verplichten de slachtoffers te informeren als je dat ten onrechte niet deed, een onderzoek starten, een inlichtingenverzoek doen of de melding sluiten. Meld je een datalek ten onrechte niet, dan kan de AP een boete opleggen. Het boetekader staat in de AVG, zie de kennisbank over de AVG.

Wat je vooraf verzamelt, bepaalt of je binnen de termijn kunt melden. Denk aan een korte beschrijving van wat er is gebeurd, de systemen en soorten persoonsgegevens die zijn geraakt, het aantal mensen bij benadering, de eerste maatregelen en het aanspreekpunt. Dat is de inhoud die artikel 33 lid 3 vraagt. Je hoeft niet te wachten tot alles zeker is.

Wanneer moet je ook de betrokkenen informeren?

Het informeren van betrokkenen is een zwaardere drempel dan melden aan de AP. Volgens artikel 34 AVG deel je de inbreuk onverwijld mee aan de betrokkenen als de inbreuk waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen. De mededeling beschrijft de aard van de inbreuk in duidelijke en eenvoudige taal. Ze bevat ten minste de naam en contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen.

Hoef je het datalek niet bij de AP te melden, dan hoef je de slachtoffers ook niet te informeren. Moet je wel melden maar niet informeren, dan vermeld je in de melding dat je de betrokkenen niet hebt geïnformeerd en waarom.

Artikel 34 lid 3 AVG noemt drie situaties waarin de mededeling niet vereist is. Je hebt vooraf passende beschermingsmaatregelen genomen die de gegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling. Of je hebt achteraf maatregelen genomen waardoor het hoge risico zich waarschijnlijk niet meer voordoet. Of de mededeling vergt onevenredige inspanning, waarbij een openbare mededeling of een soortgelijke maatregel in de plaats komt die de betrokkenen even doeltreffend informeert. Heeft de verwerkingsverantwoordelijke de betrokkene nog niet geïnformeerd, dan kan de toezichthouder hem daartoe verplichten.

De AP noemt twee aanvullende uitzonderingen uit de UAVG. Je hoeft de slachtoffers niet te informeren als dat noodzakelijk en evenredig is om een zwaarwegend belang te waarborgen, zoals de nationale of openbare veiligheid. Ook als je organisatie een financiële onderneming is in de zin van de Wet op het financieel toezicht (artikel 42 UAVG), hoef je niet te informeren. De meldplicht aan de AP blijft dan wel gelden. De wettekst van de UAVG staat op wetten.overheid.nl.

De AP geeft acht aanbevelingen voor een goed waarschuwingsbericht. Communiceer zo snel mogelijk, schrijf simpel en helder, beschrijf duidelijk wat er is gebeurd en welke gegevens zijn gelekt, noem de waarschijnlijke gevolgen, geef waar mogelijk een specifiek advies, beschrijf welke maatregelen je neemt en noem een contactpunt. Een tekst bestaat volgens de AP bij voorkeur uit zinnen van gemiddeld 10 woorden en maximaal 15 woorden. Ben je het lek nog aan het onderzoeken, dan stuur je eerst een voorlopig bericht. Zie ook de AP-pagina over het informeren van slachtoffers.

Wat is het datalekregister?

Artikel 33 lid 5 AVG verplicht je alle inbreuken in verband met persoonsgegevens te documenteren. Dat gaat om de feiten, de gevolgen en de genomen corrigerende maatregelen, zodat de toezichthouder de naleving kan controleren. Het register bevat ook de datalekken die je niet bij de AP hebt gemeld. De wet schrijft geen vorm voor, zolang de verplichte informatie erin staat. De AP heeft een voorbeeld-datalekregister gepubliceerd dat organisaties mogen gebruiken.

De AP raadt aan het register niet alleen als administratieve verplichting te zien, maar ook om van datalekken te leren. Ze noemt onder meer: maak onderscheid tussen corrigerende en preventieve maatregelen, houd één overzichtelijke registratie voor de hele organisatie, leg per incident vast of de functionaris voor gegevensbescherming betrokken was en welke andere organisaties erbij betrokken waren, bewaar het bewijs van de communicatie met slachtoffers en bespreek het register regelmatig binnen een plan-do-check-act-cyclus. De AP biedt daarvoor een voorbeeldstappenplan.

Wat als het datalek bij een verwerker plaatsvindt?

Vindt het datalek plaats bij een verwerker, bijvoorbeeld een leverancier die persoonsgegevens voor jou verwerkt, dan meld je het in beginsel zelf bij de AP. Je kunt met de verwerker afspreken dat die het namens jou doet. De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij kennis heeft genomen van een inbreuk (artikel 33 lid 2 AVG).

Die machtiging aan de verwerker moet expliciet en schriftelijk zijn. De verwerkingsverantwoordelijke blijft wettelijk verantwoordelijk voor de melding. De AP heeft een voorbeeldformulier voor de machtiging. Bij gezamenlijke verantwoordelijkheid spreken de verantwoordelijken onderling af wie meldt en wie de slachtoffers informeert. In juni 2026 heeft de AP de tekst over een melding door de verwerker aangescherpt. Raadpleeg de pagina over melden als verwerker voor de actuele tekst.

Welke functies werken aan een datalekmelding?

De melding doet de organisatie, niet de functionaris voor gegevensbescherming. Meerdere functies werken er wel aan mee. Het werk valt onder het vakgebied compliance en privacy en raakt aan security operations. De rollen hieronder zijn een duiding en geen vaste organisatiestructuur, want die verschilt per organisatie.

• Functionaris voor gegevensbescherming (data protection officer). Die adviseert, ziet toe en is het contactpunt voor de AP. De functionaris kan de melding niet zelf doen, maar wordt bij het datalek betrokken, bijvoorbeeld bij de risico-inschatting en bij het informeren van slachtoffers. Zie de vacatures voor data protection officers en de werkgevers met deze functie.
• Privacy officer. Die werkt het dagelijkse proces uit, beoordeelt of er sprake is van een datalek, vult het meldformulier voor en houdt het datalekregister bij. Zie de vacatures voor privacy officers.
• Incident responder. Die stelt de feiten vast, zet de technische maatregelen in en levert de gegevens die de privacyfunctionaris nodig heeft, zoals het moment van kennisname, de systemen en de omvang. Zie de vacatures voor incident responders en de skillpagina over incidentafhandeling.
• CISO of information security officer. Die zorgt dat het incidentproces en het meldproces op elkaar aansluiten en koppelt terug naar het bestuur. Zie de vacatures voor CISO's en de vacatures voor information security officers.
• Digital forensics-specialist. Die voert bij complexe lekken diepgaand onderzoek uit, zoals bij ransomware. Zie de vacatures voor digital forensics-specialisten.
• Compliance officer en IT-auditor. Die toetsen of het meldproces en het register bestaan en werken. Zie de vacatures voor compliance officers en de vacatures voor IT-auditors.

Wie zich wil richten op Europees privacyrecht, kan kijken naar de CIPP-E-certificering. Meer rolgidsen en wetten vind je in de kennisbank.