Hoe hoog is de boete bij een datalek?

Een boete bij een datalek kan oplopen tot tientallen miljoenen euro’s, afhankelijk van de ernst van het incident en de mate waarin een organisatie haar verplichtingen heeft nageleefd. Onder de Algemene Verordening Gegevensbescherming (AVG) beschikt de Autoriteit Persoonsgegevens (AP) over ruime bevoegdheden om sancties op te leggen aan organisaties die onvoldoende maatregelen hebben getroffen of een datalek niet correct hebben gemeld. In dit artikel beantwoorden we de meest gestelde vragen over de hoogte van de boete bij een datalek, wanneer je moet melden en hoe je het risico verkleint.

Wie legt een boete op bij een datalek?

In Nederland legt de Autoriteit Persoonsgegevens (AP) boetes op bij datalekken die in strijd zijn met de AVG. De AP is de nationale toezichthouder voor gegevensbescherming en heeft de wettelijke bevoegdheid om organisaties te controleren, te onderzoeken en te sanctioneren wanneer zij persoonsgegevens onvoldoende beschermen of hun meldplicht niet nakomen.

De AP handelt op basis van de AVG, die in heel Europa geldt. Dat betekent dat ook buitenlandse toezichthouders een rol kunnen spelen als een datalek grensoverschrijdend is. Voor Nederlandse organisaties is de AP echter het primaire aanspreekpunt. De toezichthouder kan ambtshalve onderzoek starten, maar ook reageren op meldingen van betrokkenen of op datalekken die organisaties zelf aanmelden.

Naast boetes beschikt de AP over andere handhavingsinstrumenten, zoals het opleggen van een last onder dwangsom of het geven van een bindende aanwijzing. Een boete is daarmee het zwaarste middel, maar zeker niet het enige.

Hoe hoog kan een boete bij een datalek zijn?

Onder de AVG zijn er twee boetecategorieën. De hoogste categorie bedraagt maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. De lagere categorie gaat tot maximaal 10 miljoen euro of 2% van de jaaromzet. Welke categorie van toepassing is, hangt af van de aard van de overtreding.

De zwaarste boetes zijn voorbehouden aan ernstige schendingen, zoals het verwerken van persoonsgegevens zonder rechtsgrond, het niet respecteren van de rechten van betrokkenen of het structureel tekortschieten in beveiliging. Het niet of te laat melden van een datalek valt doorgaans in de lagere categorie, maar ook dat kan leiden tot aanzienlijke sancties.

In de praktijk legt de AP lang niet altijd de maximale boete op. De hoogte wordt per geval beoordeeld op basis van meerdere factoren. Toch laten recente handhavingsbesluiten zien dat de AP bereid is forse bedragen op te leggen, ook aan relatief kleine organisaties.

Welke factoren bepalen de hoogte van de boete?

De hoogte van een AVG-boete bij een datalek is geen vast bedrag maar het resultaat van een afweging van meerdere factoren. De Autoriteit Persoonsgegevens kijkt naar de aard, ernst en duur van de overtreding, het aantal betrokkenen, de categorie persoonsgegevens en de mate van verwijtbaarheid van de organisatie.

De voornaamste factoren die de AP meeneemt zijn:

• Ernst van het datalek: zijn bijzondere persoonsgegevens gelekt, zoals medische of financiële gegevens?
• Aantal getroffen personen: hoe meer mensen zijn geraakt, hoe groter de potentiële schade.
• Opzet of nalatigheid: was er sprake van bewuste overtreding of aantoonbare nalatigheid?
• Genomen maatregelen: had de organisatie vooraf passende beveiligingsmaatregelen getroffen?
• Medewerking aan het onderzoek: werkte de organisatie transparant mee met de AP?
• Eerdere overtredingen: is de organisatie al eerder in aanraking gekomen met de toezichthouder?
• Schade voor betrokkenen: welke daadwerkelijke gevolgen heeft het lek gehad voor de betrokkenen?

Een organisatie die aantoonbaar investeert in informatiebeveiliging, snel reageert op een incident en transparant communiceert, staat er bij een eventueel onderzoek beduidend beter voor dan een organisatie die geen beleid had of het lek probeerde te verdoezelen.

Wanneer moet je een datalek melden om een boete te voorkomen?

Een datalek moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de rechten en vrijheden van betrokkenen. Als het lek ook een hoog risico oplevert voor de betrokkenen zelf, moeten zij eveneens worden geïnformeerd, en wel zo snel mogelijk.

De 72-uurstermijn begint te lopen op het moment dat een organisatie redelijkerwijs op de hoogte is van het datalek. Dat hoeft niet het moment te zijn waarop alle details bekend zijn. Als een melding nog niet compleet is, kan die in fasen worden aangevuld. Wat telt, is dat je tijdig handelt en de AP informeert zodra je weet dat er sprake is van een incident.

Niet elk datalek hoeft gemeld te worden. Voorbeelden van situaties waarbij melding doorgaans niet nodig is:

• Een versleuteld apparaat raakt kwijt en de sleutel is niet gecompromitteerd.
• Persoonsgegevens worden per ongeluk intern naar de verkeerde collega gestuurd zonder verdere verspreiding.

Twijfel je of een incident meldingsplichtig is? Leg het altijd voor aan een deskundige. Te laat of helemaal niet melden is een zelfstandige overtreding waarop de AP een boete kan opleggen, los van het datalek zelf. Het aanstellen van een Functionaris Gegevensbescherming kan hierbij helpen: die heeft kennis van de meldplicht en kan snel beoordelen of actie vereist is.

Welke Nederlandse bedrijven kregen al een boete voor een datalek?

De Autoriteit Persoonsgegevens heeft de afgelopen jaren meerdere boetes opgelegd aan Nederlandse en internationaal opererende organisaties vanwege datalekken of gebrekkige beveiliging van persoonsgegevens. Bekende voorbeelden illustreren de breedte van sectoren die geraakt kunnen worden.

Enkele illustratieve handhavingsbesluiten van de AP:

• Uber ontving een boete van 600.000 euro voor het te laat melden van een grootschalig datalek waarbij gegevens van miljoenen chauffeurs en passagiers waren buitgemaakt.
• het HagaZiekenhuis kreeg een boete van 460.000 euro omdat medewerkers zonder noodzaak de medische gegevens van een bekende patiënt hadden ingezien en de toegangsbeveiliging onvoldoende was geregeld.
• Transavia werd beboet met 400.000 euro vanwege onvoldoende technische en organisatorische maatregelen waardoor een hacker toegang kon krijgen tot persoonsgegevens van honderdduizenden reizigers.
• Nederlandse Spoorwegen (NS) ontving een boete vanwege het onrechtmatig verwerken van reisgedraggegevens van OV-chipkaarthouders.

Deze voorbeelden laten zien dat de AP actief handhaaft in uiteenlopende sectoren, van zorg tot transport en technologie. Omvang biedt geen bescherming: ook kleinere organisaties zijn al beboet. De gemeenschappelijke noemer is steeds een combinatie van onvoldoende beveiliging, te late melding of gebrekkig intern beleid.

Hoe verklein je de kans op een boete bij een datalek?

De kans op een boete bij een datalek verklein je door vooraf passende technische en organisatorische maatregelen te treffen, een heldere meldprocedure in te richten en medewerkers bewust te maken van hun rol bij informatiebeveiliging. Wie aantoonbaar grip heeft op beveiliging, staat bij een incident veel sterker tegenover de toezichthouder.

Concrete stappen die het risico structureel verlagen:

• Voer een risicoanalyse uit om te bepalen welke gegevens gevoelig zijn en wat de kwetsbaarheden zijn binnen uw organisatie.
• Stel een incidentresponsprocedure op zodat iedereen weet wat te doen bij een (vermoedelijk) datalek en de 72-uurstermijn haalbaar is.
• Train medewerkers op het herkennen van datalekken en de interne meldprocedure, want de meeste lekken beginnen bij menselijk handelen.
• Beperk toegang tot persoonsgegevens op basis van het principe van minimale rechten: alleen wie gegevens nodig heeft, mag erbij.
• Versleutel gevoelige gegevens zodat een verloren apparaat of onderschepte verbinding geen direct risico oplevert.
• Documenteer alles: de AP verwacht dat je kunt aantonen welke maatregelen je hebt genomen en hoe je hebt gereageerd op incidenten.

Werken met een erkend normenkader, zoals ISO 27001, helpt organisaties om informatiebeveiliging structureel in te bedden in de bedrijfsvoering. Zo zijn maatregelen niet eenmalig maar onderdeel van een continu verbeterproces.

Hoe Kwinzo helpt bij het voorkomen van een datalekboete

Wij helpen organisaties in zorg, ICT en onderwijs om informatiebeveiliging structureel op orde te brengen, zodat zij aantoonbaar voldoen aan de eisen van de AVG en aanverwante normen. Dat is de meest effectieve manier om het risico op een boete bij een datalek te beperken.

Wat wij concreet voor uw organisatie kunnen doen:

• Nulmeting en risicoanalyse: we brengen in kaart waar de kwetsbaarheden zitten en welke gegevens het meeste risico lopen.
• Implementatiebegeleiding: we ondersteunen bij het opzetten van een werkend Information Security Management System dat aansluit bij uw bedrijfsvoering, niet andersom.
• Interne audits: een onafhankelijke interne audit toetst of uw maatregelen daadwerkelijk werken en bereidt uw organisatie voor op externe controle.
• Trainingen voor medewerkers: we maken medewerkers bewust van hun verantwoordelijkheden bij het omgaan met persoonsgegevens en het herkennen van incidenten.
• Begeleiding bij normen: van ISO 27001 tot NIS2, we stemmen het normenkader af op uw situatie en zorgen dat het in de praktijk werkt.

Wilt u weten hoe uw organisatie er nu voor staat en welke stappen het meeste verschil maken? Neem contact op voor een vrijblijvend adviesgesprek. We maken samen een concrete inschatting van de risico’s en de aanpak die bij uw organisatie past.