Een datalek is elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Onder de Algemene Verordening Gegevensbescherming (AVG) ben je als verwerkingsverantwoordelijke verplicht een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen. In dit artikel vind je antwoord op de meest gestelde vragen rondom datalekken: van wat er precies onder valt tot hoe je ze intern correct registreert.
Welke soorten incidenten tellen als datalek?
Een datalek is elke beveiligingsinbreuk waarbij persoonsgegevens verloren gaan, onbedoeld worden gewijzigd, worden vernietigd of in handen komen van iemand die er geen toegang toe mag hebben. Het gaat nadrukkelijk om persoonsgegevens: informatie waarmee een persoon direct of indirect te identificeren is.
Niet elk IT-incident is automatisch een datalek. Pas als er persoonsgegevens bij betrokken zijn, spreek je van een datalek in de zin van de AVG. Voorbeelden van incidenten die als datalek kwalificeren:
- Een laptop met klantgegevens wordt gestolen of verloren
- Een e-mail met persoonsgegevens wordt naar de verkeerde ontvanger gestuurd
- Een hacker krijgt toegang tot een database met patiëntdossiers of personeelsgegevens
- Een medewerker verwijdert per ongeluk een bestand met klantinformatie zonder back-up
- Ransomware versleutelt systemen waardoor persoonsgegevens tijdelijk niet beschikbaar zijn
- Een cloudopslag wordt per ongeluk publiek toegankelijk gemaakt
Ook een tijdelijk verlies van beschikbaarheid van persoonsgegevens kan een datalek zijn, zelfs als de gegevens niet in verkeerde handen zijn gevallen. Het gaat erom dat de integriteit, vertrouwelijkheid of beschikbaarheid van persoonsgegevens is aangetast. Twijfel je of een incident kwalificeert als datalek? Behandel het dan intern als zodanig totdat het tegendeel is vastgesteld.
Wanneer ben je verplicht een datalek te melden bij de AP?
Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens (AP) als het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Dit is de wettelijke drempel uit de AVG. De melding moet plaatsvinden binnen 72 uur nadat je het lek hebt ontdekt.
Of een datalek meldingsplichtig is, hangt af van een risicobeoordeling. Relevante factoren zijn:
- De aard van de gelekte gegevens: bijzondere persoonsgegevens (zoals gezondheidsgegevens, financiële informatie of BSN-nummers) wegen zwaarder
- De hoeveelheid betrokken personen en gegevens
- De kans dat de gegevens daadwerkelijk worden misbruikt
- De mogelijke gevolgen voor betrokkenen, zoals identiteitsfraude, discriminatie of reputatieschade
Lekt er een versleuteld bestand waarbij de sleutel niet is buitgemaakt? Dan is het risico voor betrokkenen waarschijnlijk laag en hoef je mogelijk niet te melden. Gaat het om een onversleuteld bestand met medische gegevens van honderden patiënten? Dan is melding vrijwel zeker verplicht. Als je niet zeker weet of het risico aanwezig is, kies dan voor melden. De AP hanteert het uitgangspunt: bij twijfel, melden.
Werk je in de zorg? Dan gelden aanvullende verplichtingen op grond van NEN 7510, de norm voor informatiebeveiliging in de zorg. Deze norm sluit aan op de AVG maar stelt op onderdelen strengere eisen aan het omgaan met patiëntgegevens.
Moet je betrokkenen ook zelf informeren over een datalek?
Ja, in bepaalde gevallen ben je ook verplicht de betrokken personen zelf te informeren over een datalek. Dit is het geval als het lek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. De drempel voor het informeren van betrokkenen ligt dus hoger dan voor de melding bij de AP.
Een hoog risico is aanwezig als het lek kan leiden tot ernstige gevolgen voor de betrokkenen, zoals:
- Identiteitsfraude of financieel misbruik
- Discriminatie of stigmatisering
- Aantasting van de persoonlijke levenssfeer
- Reputatieschade
De informatie aan betrokkenen moet duidelijk en begrijpelijk zijn en in ieder geval bevatten: wat er is gebeurd, welke gegevens het betreft, wat de mogelijke gevolgen zijn en welke maatregelen je hebt genomen. Informeer betrokkenen zo snel mogelijk, zodat zij zelf actie kunnen ondernemen, zoals het wijzigen van wachtwoorden of het bewaken van hun bankrekening.
Er zijn uitzonderingen op de informatieplicht richting betrokkenen, bijvoorbeeld als je afdoende maatregelen hebt genomen waardoor de gegevens onleesbaar zijn voor onbevoegden, of als het informeren onevenredig veel inspanning zou kosten. In dat laatste geval is een publieke mededeling soms toegestaan. Leg altijd vast waarom je wel of niet hebt besloten betrokkenen te informeren.
Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?
Een datalek meld je bij de Autoriteit Persoonsgegevens via het online meldloket op de website van de AP. Je hebt hiervoor een DigiD of eHerkenning nodig. De melding moet binnen 72 uur na ontdekking worden ingediend, ook als je op dat moment nog niet alle informatie compleet hebt.
Bij het melden geef je in ieder geval de volgende informatie op:
- Een beschrijving van het datalek: wat is er gebeurd en hoe?
- De aard van de betrokken persoonsgegevens en de categorieën betrokkenen
- Het geschatte aantal betrokken personen en gegevensrecords
- De naam en contactgegevens van de Functionaris voor de Gegevensbescherming (FG) of een andere contactpersoon
- De waarschijnlijke gevolgen van het datalek
- De maatregelen die zijn genomen of worden overwogen om het lek te beheersen
Als je nog niet alle informatie hebt op het moment van melden, kun je de melding in fasen indienen en later aanvullen. Documenteer alle stappen die je zet, inclusief het tijdstip van ontdekking en de beslissingen die je neemt. Heb je een Functionaris voor de Gegevensbescherming aangesteld? Betrek die dan direct bij het meldproces, want de FG heeft een formele rol bij het toezicht op de naleving van de AVG binnen jouw organisatie.
Wat zijn de gevolgen van een datalek niet melden?
Als je een meldingsplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete van de AP. De AVG staat boetes toe tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties kan de AP ook andere handhavingsmaatregelen opleggen.
De gevolgen van niet melden zijn breder dan alleen een boete:
- Reputatieschade: als het datalek later toch uitlekt, is de schade voor het vertrouwen van klanten en partners groter dan wanneer je transparant had gecommuniceerd
- Aansprakelijkheid: betrokkenen die schade hebben geleden door het lek kunnen een schadevergoeding eisen
- Verscherpt toezicht: de AP kan besluiten je organisatie nauwlettender te volgen na een overtreding
- Juridische consequenties: in ernstige gevallen kan het niet melden worden aangemerkt als een bewuste overtreding, wat de hoogte van de boete beïnvloedt
Melden is dus ook in het belang van de organisatie zelf. Transparantie richting de toezichthouder en betrokkenen beperkt de schade en toont aan dat je serieus omgaat met privacybescherming. De AP houdt bij haar beoordeling rekening met de mate waarin een organisatie heeft meegewerkt en maatregelen heeft getroffen.
Hoe registreer je datalekken intern correct?
Onder de AVG ben je verplicht alle datalekken intern te documenteren, ook de lekken die je niet hoeft te melden bij de AP. Deze interne registratie heet het datalekkenregister. Het bijhouden van dit register is geen formaliteit, maar een wettelijke verplichting die bij een controle door de AP kan worden opgevraagd.
Een volledig datalekkenregister bevat per incident minimaal:
- De datum en het tijdstip van ontdekking
- Een beschrijving van het incident en de oorzaak
- Welke persoonsgegevens en hoeveel betrokkenen het betreft
- De beoordeling van het risico voor betrokkenen
- De genomen maatregelen om het lek te beheersen en herhaling te voorkomen
- Of het lek is gemeld bij de AP en/of betrokkenen, en zo niet, waarom niet
Zorg dat medewerkers weten hoe ze een (vermoedelijk) datalek intern moeten melden. Hoe sneller een incident intern bekend is, hoe groter de kans dat je de 72-uurtermijn haalt. Een duidelijke interne meldprocedure is daarvoor onmisbaar. Koppel de datalekregistratie aan je bredere ISO 27001-managementsysteem: incidentbeheer is een vast onderdeel van een goed ingericht ISMS en helpt je om structureel te leren van beveiligingsincidenten.
Hoe Kwinzo helpt bij datalekken en informatiebeveiliging
Een datalek voorkomen begint met een goed ingericht systeem voor informatiebeveiliging. Wij helpen organisaties in de zorg, het onderwijs en de ICT-sector om dat fundament te leggen en te onderhouden, zodat datalekken zoveel mogelijk worden voorkomen en de organisatie weet hoe te handelen als er toch iets misgaat.
Wat wij concreet bieden:
- Implementatiebegeleiding: we helpen bij het opzetten van een ISMS en bijbehorende procedures, inclusief een datalekprocedure en intern register
- Interne audits: een onafhankelijke consultant toetst of je processen rondom incidentbeheer en datalekregistratie in de praktijk werken
- Functionaris voor de Gegevensbescherming (FG): voor organisaties die een FG nodig hebben of willen uitbesteden, verzorgen wij deze rol
- Trainingen: we maken medewerkers bewust van hun rol bij het herkennen en melden van datalekken via interactieve trainingen
- Normbegeleiding: we begeleiden bij AVG-gerelateerde normen zoals ISO 27001, NEN 7510 en NIS2, zodat je aantoonbaar voldoet aan de eisen van toezichthouders en ketenpartners
Wil je weten hoe jouw organisatie er nu voor staat op het gebied van informatiebeveiliging en datalekbeheer? Neem contact met ons op voor een vrijblijvend adviesgesprek.