Datalek melden bij de AP: termijn, wanneer wel en niet
Een datalek meld je binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens (AP), tenzij het waarschijnlijk geen risico oplevert voor de mensen van wie de gegevens zijn. Is het risico hoog, dan informeer je die mensen ook zelf. Dat staat in artikel 33 en 34 van de AVG . Je meldt uitsluitend via het meldformulier van de AP ; bellen, mailen of een brief sturen kan niet.
Elk datalek, ook een datalek dat je niet hoeft te melden, registreer je in een intern datalekregister. Binnen ISO 27701 is dit onderdeel van je incidentprocedure, die aansluit op het bredere afhandelen van beveiligingsincidenten. Hieronder lees je wanneer je moet melden, hoe de 72 uur loopt en hoe je een register bijhoudt.
Wat is een datalek?
Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan, worden gewijzigd, of bij iemand terechtkomen die er geen toegang toe mag hebben. De AP onderscheidt drie soorten.
| Soort | Wat er gebeurt | Voorbeeld |
|---|---|---|
| Vertrouwelijkheid | Onbevoegden zien of krijgen gegevens | Mail met klantenlijst naar het verkeerde adres |
| Integriteit | Gegevens worden onbevoegd gewijzigd | Hacker past bankrekeningnummers aan |
| Beschikbaarheid | Gegevens zijn tijdelijk of blijvend weg | Ransomware versleutelt de klantendatabase |
Ook een medewerker die zonder reden in een medisch dossier kijkt, is volgens de AP een datalek. Net als een verloren USB-stick met onversleutelde gegevens.
Wanneer moet je een datalek melden en wanneer niet?
Je meldt bij de AP, tenzij het niet waarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Je informeert de betrokkenen zelf als het risico waarschijnlijk hoog is. Bij gezondheidsgegevens, strafrechtelijke gegevens, BSN met NAW-gegevens of kopieën van identiteitsbewijzen gaat de AP uit van een hoog risico.
| Situatie | Melden bij AP? | Betrokkenen informeren? |
|---|---|---|
| Mail met naam en e-mailadres van één klant naar een vaste leverancier, die bevestigt te verwijderen | Waarschijnlijk niet | Nee |
| Versleutelde laptop gestolen, sleutel niet gelekt | Waarschijnlijk niet | Nee |
| Onversleutelde laptop met personeelsdossiers gestolen | Ja | Ja, bij gevoelige inhoud |
| Phishing: aanvaller had een week toegang tot een mailbox met klantgegevens | Ja | Afhankelijk van de inhoud |
| Ransomware op het patiëntsysteem, geen back-up beschikbaar | Ja | Ja |
| Medewerker bekijkt dossiers van bekenden zonder behandelrelatie | Ja | Meestal ja |
Twijfel je? Gebruik de factoren van de AP: aard van de inbreuk, gevoeligheid en hoeveelheid gegevens, hoe makkelijk mensen herkenbaar zijn, ernst van de gevolgen, wie de ontvanger is en hoeveel mensen het treft. Leg je afweging altijd vast, ook als je besluit niet te melden.
Hoe loopt de termijn van 72 uur?
De 72 uur start bij kennisname. Dat is het moment waarop je redelijk zeker weet dat een incident persoonsgegevens heeft geraakt. Een vermoeden is nog geen kennisname, maar je moet wel meteen onderzoeken. Weekenden en vakanties tellen gewoon mee.
Fictief voorbeeld van een tijdlijn. Een adviesbureau met 30 medewerkers ontdekt een phishingaanval.
| Moment | Wat er gebeurt |
|---|---|
| Vrijdag 16:00 | Medewerker meldt een vreemde doorstuurregel in haar mailbox |
| Vrijdag 17:30 | IT blokkeert het account en ziet dat 400 mails naar een extern adres zijn doorgestuurd |
| Vrijdag 18:00 | Mails bevatten offertes met namen en telefoonnummers en twee kopieën van paspoorten. Kennisname: de 72 uur lopen |
| Zaterdag 11:00 | Risico-inschatting: identiteitsbewijzen gelekt, dus hoog risico voor twee personen |
| Zondag 14:00 | Melding bij de AP via het formulier; meldingsnummer bewaard |
| Maandag 10:00 | De twee betrokkenen krijgen een brief met advies; datalekregister bijgewerkt |
| Week erna | Vervolgmelding met uitkomst forensisch onderzoek |
Heb je na 72 uur nog niet alle informatie, doe dan toch een voorlopige melding. Je kunt later aanvullen. Te laat melden kan een boete opleveren: de AP beboette Booking.com in 2021 met 475.000 euro omdat een datalek te laat werd gemeld.
Wat moet je doen als verwerker?
Als verwerker meld je een datalek niet zelf bij de AP, tenzij je klant je daarvoor schriftelijk heeft gemachtigd. Je informeert de verwerkingsverantwoordelijke “zonder onredelijke vertraging” (artikel 33 lid 2). De klant blijft wettelijk verantwoordelijk voor tijdig melden.
Spreek daarom in de verwerkersovereenkomst een concrete meldtermijn af, bijvoorbeeld 24 uur. Meldt een verwerker namens meerdere klanten, dan doet hij volgens de AP per klant een aparte melding, met een kopie van de machtiging.
Stappenplan bij een datalek
Krijg overzicht
Wat is er gebeurd, sinds wanneer, welke gegevens, hoeveel mensen en wie had toegang? Waren de gegevens versleuteld?
Stop het lek en beperk de schade
Blokkeer accounts, wis een apparaat op afstand, haal een bestand offline of vraag een verkeerde ontvanger om verwijdering.
Beoordeel en meld
Bepaal of melden bij de AP nodig is en of je betrokkenen informeert. Meld binnen 72 uur na kennisname.
Registreer en leer
Zet het datalek in je datalekregister, ook als je niet meldt. Bespreek de oorzaak en neem maatregelen.
Voorbeeld: datalekregister (template)
Artikel 33 lid 5 van de AVG verplicht je alle datalekken te documenteren: de feiten, de gevolgen en de genomen maatregelen. Deze kolommen kun je overnemen.
| Nr. | Datum kennisname | Wat gebeurde er | Gegevens en aantal betrokkenen | Risico | Gemeld bij AP | Betrokkenen geïnformeerd | Maatregelen |
|---|---|---|---|---|---|---|---|
| 2026-07 | 4 sep 2026 | Offerte naar verkeerde klant gemaild | Naam, adres, 1 persoon | Laag: bekende ontvanger heeft verwijderd | Nee, motivering vastgelegd | Nee | Autocomplete in mail uitgezet |
| 2026-08 | 18 sep 2026 | Phishing, mailbox doorgestuurd | Contactgegevens 140 personen, 2 paspoortkopieën | Hoog voor 2 personen | Ja, meldingsnr. vastgelegd | Ja, 2 personen | MFA verplicht, training |
Datalekken en ISO 27701
ISO 27701 vraagt een procedure voor incidenten met persoonsgegevens, inclusief de beoordeling of een melding nodig is. De auditor bekijkt in de ISO 27701-audit of de procedure bestaat, of hij is getest en of het register compleet is. Een leeg register na een jaar wekt vaak meer vragen op dan een register met kleine lekken.
Werk je in de zorg? Dan raakt een datalek bijna altijd gezondheidsgegevens. Lees ook AVG en NEN 7510 over de meldplicht in de zorg.
Veelgestelde vragen over datalek melden
Kan ik een datalekmelding aanpassen of intrekken?
Ja. Met het meldingsnummer kun je een melding aanvullen, aanpassen of intrekken. Bewaar dat nummer dus goed, want je kunt een verstuurde melding niet meer online inzien.
Krijg ik een reactie van de AP op mijn melding?
Meestal niet. De AP kan wel vragen stellen of een onderzoek starten. Je krijgt direct na het versturen een ontvangstbevestiging op je scherm.
Mag ik het datalek bij onze functionaris gegevensbescherming melden?
Nee, een melding bij je FG telt niet als melding bij de AP. Betrek de FG wel bij de afhandeling, bijvoorbeeld bij het informeren van betrokkenen.
Meer lezen
- AP: datalek wel of niet melden - De risicofactoren van de toezichthouder
- Verwerkersovereenkomst - Meldtermijnen afspreken met leveranciers
- Verwerkingsregister - Snel zien welke gegevens zijn geraakt
- Het PIMS uitgelegd - Waar de incidentprocedure in past