Datalek melden: wanneer moet het en hoe doet u het?
Een e-mail met een klantenlijst naar de verkeerde ontvanger, een gestolen laptop of een brief op het verkeerde adres: een datalek is snel gebeurd. De AVG schrijft precies voor wat u dan moet doen. In dit artikel leest u wanneer u een lek moet melden, bij wie, en hoe u het in de toekomst voorkomt.
Wat is een datalek?
De AVG spreekt van een "inbreuk in verband met persoonsgegevens" (artikel 4, punt 12): een beveiligingsincident dat per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Het hoeft dus geen hack te zijn. Ook een verkeerd verstuurde brief of het onbedoeld delen van gegevens met een externe dienst, zoals een AI-chatbot, kan een datalek zijn.
Melden bij de Autoriteit Persoonsgegevens
Volgens artikel 33 AVG meldt de verwerkingsverantwoordelijke een datalek zonder onnodige vertraging en zo mogelijk binnen 72 uur nadat hij ervan op de hoogte is geraakt bij de toezichthouder; in Nederland is dat de Autoriteit Persoonsgegevens (AP). U hoeft niet te melden als het lek waarschijnlijk geen risico oplevert voor de rechten en vrijheden van de betrokkenen. Meldt u later dan 72 uur, dan geeft u de reden van de vertraging op.
De melding bevat onder meer de aard van het lek, de soorten en het (geschatte) aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de maatregelen die u neemt. Heeft u nog niet alle informatie? Dan mag u die in stappen aanvullen.
Betrokkenen informeren
Levert het lek waarschijnlijk een hoog risico op, bijvoorbeeld bij gezondheidsgegevens, financiële gegevens of een BSN, dan moet u ook de betrokkenen zelf zonder onnodige vertraging informeren (artikel 34 AVG). Dat hoeft niet als de gegevens bijvoorbeeld goed versleuteld waren, of als u maatregelen heeft genomen waardoor het hoge risico waarschijnlijk niet meer bestaat.
Altijd: het datalekregister
Ook lekken die u niet hoeft te melden, legt u intern vast: de feiten, de gevolgen en de genomen maatregelen (artikel 33, lid 5 AVG). Zo kunt u aan de toezichthouder laten zien dat u de regels naleeft. Werkt u als verwerker voor een andere organisatie? Dan meldt u een lek zonder onnodige vertraging aan uw opdrachtgever (artikel 33, lid 2).
Veelvoorkomende oorzaken
Volgens de Rapportage datalekken 2024 van de AP ging het in de sectoren zorg, openbaar bestuur en financiële dienstverlening in ongeveer de helft van de meldingen om een brief aan een verkeerde ontvanger, en in ongeveer 15% om een verkeerd verzonden e-mail. Daarnaast ontving de AP in 2024 meerdere meldingen van medewerkers die persoonsgegevens in een AI-chatbot hadden ingevoerd; lees daarover ChatGPT AVG-proof gebruiken.
Zo voorkomt u een datalek bij het delen van documenten
- Deel alleen wat de ontvanger echt nodig heeft (dataminimalisatie, artikel 5 AVG).
- Anonimiseer of pseudonimiseer documenten voordat u ze met externe partijen of AI-tools deelt. VerumVault doet dat lokaal, zonder upload.
- Controleer de ontvanger voordat u op verzenden drukt, en gebruik bcc bij groepsmails.
- Versleutel laptops en gebruikte USB-sticks.
Lees ook: AVG voor mkb en zzp en BSN zwartlakken.
Anonimiseer uw document gratis met VerumVault →Werkt lokaal in uw browser · geen upload · geen accountVeelgestelde vragen
Binnen hoeveel tijd moet ik een datalek melden?
Zonder onnodige vertraging en zo mogelijk binnen 72 uur nadat u ervan op de hoogte bent, bij de Autoriteit Persoonsgegevens. Later melden mag, maar dan met een verklaring voor de vertraging.
Moet ik elk datalek melden?
Nee. U hoeft niet te melden als het lek waarschijnlijk geen risico oplevert voor de betrokkenen. Wel moet u elk datalek intern registreren.
Wanneer moet ik de betrokkenen informeren?
Als het lek waarschijnlijk een hoog risico voor hen oplevert, bijvoorbeeld bij gezondheids- of financiële gegevens of een BSN.
Is een verkeerd verzonden e-mail een datalek?
Ja, als er persoonsgegevens in stonden. Of u het moet melden, hangt af van het risico voor de betrokkenen.