Wanneer moet je een datalek melden bij de Autoriteit Persoonsgegevens?

Je meldt een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens (AP) zodra het lek waarschijnlijk een risico vormt voor de rechten en vrijheden van betrokkenen. Is dat risico onwaarschijnlijk, dan hoef je niet te melden, maar moet je het lek wel intern vastleggen. Het gaat hierbij om elke inbreuk op persoonsgegevens die onder de AVG valt. In dit artikel lees je hoe je het risico beoordeelt, welke termijnen gelden en hoe je fouten voorkomt. Wil je meer weten over de achtergrond van onze opleidingen op het gebied van privacy en security, bekijk dan meer over ons.

Hoe beoordeel je of een datalek meldplichtig is?

Een datalek is meldplichtig als er een beveiligingsincident plaatsvindt waarbij persoonsgegevens verloren gaan, gelekt worden of onrechtmatig worden verwerkt, en er een reële kans is op nadelige gevolgen voor de betrokkenen. Je maakt dit onderscheid met een gedocumenteerde risicobeoordeling.

Een datalekrisicobeoordeling bestaat uit twee stappen. Eerst stel je vast of er daadwerkelijk sprake is van een inbreuk op persoonsgegevens. Daarna weeg je het risico voor de betrokkenen. Let bij dat laatste op de volgende factoren:

• Aard van de gegevens: gaat het om gewone contactgegevens of om gevoelige gegevens zoals gezondheids-, financiële of identiteitsgegevens?
• Omvang: hoeveel personen zijn getroffen en hoeveel gegevens per persoon?
• Toegankelijkheid: waren de gegevens versleuteld of op een andere manier onleesbaar gemaakt?
• Oorzaak: was er sprake van opzet, zoals een hack, of van een menselijke fout, zoals een verkeerd verzonden e-mail?
• Mogelijke gevolgen: kan het lek leiden tot identiteitsfraude, financiële schade, discriminatie of reputatieschade?

Twijfel je na de beoordeling, dan is melden meestal de veiligere keuze. Leg de gemaakte afwegingen altijd schriftelijk vast, zodat je ze later kunt verantwoorden.

Binnen welke termijn moet een datalek gemeld worden?

Een meldplichtig datalek moet zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat je ervan op de hoogte raakte worden gemeld bij de Autoriteit Persoonsgegevens. De termijn van 72 uur begint te lopen op het moment dat je redelijkerwijs zeker weet dat er een datalek is.

Het gaat hierbij om kalenderuren, dus weekenden en feestdagen tellen mee. Heb je binnen 72 uur nog niet alle informatie, dan kun je een eerste melding doen en die later aanvullen. Meld je later dan 72 uur, dan moet je de vertraging kunnen motiveren.

Ben je verwerker en niet verwerkingsverantwoordelijke? Dan meld je het datalek onverwijld aan de verwerkingsverantwoordelijke. Die is vervolgens zelf verantwoordelijk voor de melding bij de AP. Maak hierover duidelijke afspraken in de verwerkersovereenkomst.

Welke informatie moet de melding bij de AP bevatten?

De melding bij de AP bevat een beschrijving van de aard van het datalek, de categorieën en het aantal getroffen betrokkenen en gegevens, de mogelijke gevolgen, de genomen of voorgestelde maatregelen en de contactgegevens van de functionaris voor gegevensbescherming of een andere contactpersoon.

In de praktijk helpt het om vooraf een vaste opzet klaar te hebben. Denk aan de volgende onderdelen:

1. Wat is er gebeurd en wanneer is het lek ontdekt?
2. Om welke soorten persoonsgegevens gaat het en hoeveel mensen zijn getroffen?
3. Wat zijn de waarschijnlijke gevolgen voor de betrokkenen?
4. Welke maatregelen heb je genomen om het lek te dichten en de schade te beperken?
5. Zijn de betrokkenen al geïnformeerd, en zo niet, wanneer gebeurt dat?

De melding doe je via het online meldformulier van de AP. Is nog niet alles bekend, dan kun je later aanvullende informatie doorgeven.

Wanneer moet je ook de betrokkenen informeren?

Je moet de betrokkenen informeren wanneer het datalek waarschijnlijk een hoog risico voor hun persoonlijke levenssfeer oplevert. Dit moet zonder onredelijke vertraging gebeuren. Het datalek melden aan betrokkenen is dus een aparte plicht naast de melding bij de AP.

Een hoog risico speelt bijvoorbeeld bij gevoelige gegevens, zoals medische of financiële informatie, of wanneer misbruik zoals identiteitsfraude realistisch is. Het bericht aan betrokkenen moet in duidelijke en begrijpelijke taal zijn opgesteld en bevat minimaal:

• een beschrijving van wat er is gebeurd;
• de contactgegevens van de verantwoordelijke contactpersoon;
• de mogelijke gevolgen van het lek;
• concrete adviezen, zoals het wijzigen van een wachtwoord.

Er zijn uitzonderingen. Waren de gegevens bijvoorbeeld versleuteld en onleesbaar voor onbevoegden, of heb je achteraf maatregelen genomen waardoor het hoge risico niet meer bestaat, dan hoef je betrokkenen niet te informeren. De AP kan je daarnaast verplichten alsnog te informeren als zij het risico hoger inschat dan jij.

Moet je ook niet-meldplichtige datalekken registreren?

Ja, je moet elk datalek intern registreren, ook als je het niet hoeft te melden bij de AP. Dit staat in de AVG als documentatieplicht. Het datalekkenregister is daarmee een verplicht onderdeel van je privacyadministratie.

Een goed datalekkenregister bevat per incident de feiten rondom het lek, de gevolgen en de genomen maatregelen. Leg ook vast waarom je wel of niet hebt gemeld. Bij een controle kan de AP dit register opvragen om te beoordelen of je zorgvuldig hebt gehandeld. Een volledig register laat bovendien patronen zien, bijvoorbeeld dat bepaalde fouten steeds terugkomen, zodat je gericht kunt verbeteren.

Hoe voorkom je fouten bij het melden van datalekken?

Je voorkomt fouten bij het melden van datalekken door vooraf een duidelijk datalekprotocol vast te stellen, medewerkers te trainen in het herkennen van incidenten en de verantwoordelijkheden helder te beleggen. Zo verlies je geen kostbare uren zodra een incident zich voordoet.

De volgende maatregelen zijn in de praktijk het meest effectief:

• Stel een protocol op: beschrijf wie een incident beoordeelt, wie meldt en wie communiceert met betrokkenen.
• Maak melden laagdrempelig: medewerkers moeten een (vermoeden van een) lek direct en zonder schroom intern kunnen melden.
• Oefen scenario’s: loop periodiek een voorbeeldincident door om de 72 uur termijn realistisch te toetsen.
• Documenteer alles: noteer tijdstippen, beslissingen en onderbouwingen direct tijdens het incident.
• Houd kennis actueel: regels en richtlijnen rondom de AVG blijven zich ontwikkelen, ook in 2026.

Een belangrijke bron van fouten is gebrek aan kennis bij de mensen die de eerste beoordeling doen. Investeren in training en bewustwording maakt daarom het grootste verschil.

Hoe Startel helpt met het melden van datalekken

Een datalek goed beoordelen en tijdig melden vraagt om kennis van zowel privacywetgeving als informatiebeveiliging. Wij helpen je en je team daarbij met trainingen en certificeringen waarmee je de juiste vaardigheden opbouwt. Dit is wat we je bieden:

• klassikale en live online opleidingen op het gebied van security en privacy, onder leiding van ervaren trainers;
• zelfstudiepakketten voor wie in eigen tempo wil leren;
• maatwerktrainingen die we afstemmen op de situatie en processen van jouw organisatie;
• begeleiding bij examenvoorbereiding en certificering, onder meer via onze erkende examencentra.

Bekijk ons volledige trainingsaanbod om de opleiding te vinden die past bij jouw rol. Heb je vragen over welke training het beste aansluit op jouw situatie? Neem gerust contact met ons op, dan denken we graag met je mee.