Als er een datalek is bij jouw bedrijf, moet je direct actie ondernemen: beoordeel de situatie, beperk de schade en documenteer alles. Onder de AVG geldt bovendien een meldplicht: in de meeste gevallen moet je het datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Hoe je dat precies aanpakt, en wanneer je ook betrokkenen moet informeren, lees je hieronder stap voor stap.
Wanneer is er officieel sprake van een datalek?
Er is sprake van een datalek wanneer persoonsgegevens verloren zijn gegaan, onbedoeld zijn vrijgekomen of toegankelijk zijn geworden voor onbevoegden. Dat klinkt technisch, maar het gaat om elke situatie waarbij de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens in het geding is. Denk aan een gestolen laptop, een verkeerd verzonden e-mail of een gehackt systeem.
Concrete voorbeelden van datalekken zijn:
- Verlies of diefstal van een apparaat met persoonsgegevens
- Een e-mail met vertrouwelijke gegevens die naar de verkeerde ontvanger is gestuurd
- Ongeautoriseerde toegang tot een systeem of database
- Ransomware-aanval waarbij gegevens versleuteld of gestolen zijn
- Per ongeluk gepubliceerde persoonsgegevens op een website
Belangrijk om te begrijpen: niet elk beveiligingsincident is automatisch een datalek. Als een laptop is gestolen maar de harde schijf volledig versleuteld was en er geen toegang tot de gegevens mogelijk is, hoeft er in veel gevallen geen melding te worden gedaan. De beoordeling van de impact is dus cruciaal.
Welke stappen moet je direct ondernemen na een datalek?
Direct na het ontdekken van een datalek zijn er vier prioritaire stappen: beperk de schade, breng de situatie in kaart, informeer intern de juiste mensen en begin met documenteren. Hoe sneller je handelt, hoe beter je de gevolgen kunt beheersen en aan je wettelijke verplichtingen kunt voldoen.
Stap 1: Beperk de schade direct
Zorg er als eerste voor dat het lek wordt gedicht. Blokkeer onbevoegde toegang, verwijder foutief gepubliceerde gegevens, wijzig wachtwoorden of isoleer getroffen systemen. Het doel is verdere verspreiding of misbruik van de gegevens te stoppen.
Stap 2: Breng de situatie in kaart
Stel zo snel mogelijk vast welke persoonsgegevens betrokken zijn, hoeveel personen het betreft en wat de mogelijke gevolgen zijn. Gaat het om gevoelige gegevens zoals medische informatie, financiële gegevens of BSN-nummers? Dan is de impact doorgaans groter en is snelle actie nog urgenter.
Informeer ook intern de juiste personen: je privacyverantwoordelijke, directie of Functionaris Gegevensbescherming (FG). Een Functionaris Gegevensbescherming speelt bij veel organisaties een centrale rol in het beoordelen en coördineren van de respons op een datalek.
Moet je een datalek melden bij de Autoriteit Persoonsgegevens?
Ja, in de meeste gevallen ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens (AP), en wel binnen 72 uur nadat je het lek hebt ontdekt. Dit is een wettelijke verplichting onder de AVG. De meldplicht geldt tenzij het onwaarschijnlijk is dat het datalek een risico vormt voor de rechten en vrijheden van betrokkenen.
De 72-uurtermijn is strikt. Als je na 72 uur meldt, moet je in de melding uitleggen waarom de melding vertraagd is. Melden doe je via de website van de Autoriteit Persoonsgegevens, waar een speciaal meldformulier beschikbaar is.
In de melding neem je in ieder geval op:
- De aard van het datalek en welke gegevens betrokken zijn
- Een schatting van het aantal betrokken personen en gegevensrecords
- De waarschijnlijke gevolgen van het datalek
- De maatregelen die je hebt genomen of gaat nemen
- De contactgegevens van je FG of privacycontactpersoon
Als je organisatie nog geen structurele aanpak heeft voor informatiebeveiliging, is dit het moment om daar serieus mee aan de slag te gaan. Een goed ingericht ISO 27001-managementsysteem helpt je om dit soort situaties beter te beheersen en aan te tonen dat je de juiste maatregelen hebt getroffen.
Wanneer moet je betrokkenen informeren over een datalek?
Je bent verplicht de betrokkenen (de mensen van wie de gegevens gelekt zijn) te informeren wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Dit is een hogere drempel dan de meldplicht bij de AP, maar als die drempel wordt bereikt, moet je snel handelen.
Van een hoog risico is sprake als het lek kan leiden tot:
- Identiteitsfraude of financiële schade
- Discriminatie of reputatieschade
- Aantasting van de persoonlijke levenssfeer
- Verlies van controle over eigen gegevens
De communicatie naar betrokkenen moet duidelijk en begrijpelijk zijn. Vertel wat er is gebeurd, welke gegevens betrokken zijn, wat de mogelijke gevolgen zijn en welke maatregelen je hebt genomen. Geef ook aan wat betrokkenen zelf kunnen doen om zichzelf te beschermen.
Er zijn situaties waarin je de melding aan betrokkenen achterwege mag laten, bijvoorbeeld als de gegevens aantoonbaar versleuteld waren of als individuele melding een onevenredige inspanning vergt. In dat laatste geval is een publieke mededeling soms een alternatief, maar bespreek dit altijd met je FG of juridisch adviseur.
Hoe registreer je een datalek in je eigen datalekregister?
Elke organisatie die de AVG moet naleven, is verplicht alle datalekken te registreren in een intern datalekregister, ook als je besluit het lek niet te melden bij de AP. Dit register dient als aantoonbaar bewijs dat je de situatie serieus hebt genomen en zorgvuldig hebt beoordeeld.
In het datalekregister leg je vast:
- De datum en het tijdstip van ontdekking
- Een beschrijving van het incident en de oorzaak
- Welke persoonsgegevens betrokken waren en van hoeveel personen
- De beoordeling van het risico en de onderbouwing
- Of er gemeld is bij de AP en/of betrokkenen, en zo nee, waarom niet
- Welke maatregelen zijn genomen naar aanleiding van het incident
Het bijhouden van dit register is niet alleen een wettelijke verplichting, maar ook een waardevol intern instrument. Het geeft inzicht in terugkerende kwetsbaarheden en helpt je te leren van incidenten.
Hoe voorkom je dat een vergelijkbaar datalek opnieuw gebeurt?
Een datalek voorkomen begint met structurele informatiebeveiliging: beleid, bewustwording en technische maatregelen die samen een solide fundament vormen. Na een incident is het essentieel om de grondoorzaak te analyseren en gerichte verbeteringen door te voeren, zodat hetzelfde lek niet opnieuw kan optreden.
Praktische stappen na een datalek zijn:
- Voer een grondoorzaakanalyse uit: Wat heeft het lek veroorzaakt? Was het menselijk handelen, een technisch gebrek of een procesfout?
- Versterk technische maatregelen: Denk aan betere toegangscontrole, versleuteling van gevoelige gegevens en veiligere configuraties.
- Train medewerkers: Veel datalekken ontstaan door menselijke fouten. Regelmatige bewustzijnstrainingen verlagen dit risico aanzienlijk.
- Actualiseer je beleid en procedures: Zorg dat protocollen voor het omgaan met persoonsgegevens up-to-date zijn en bekend bij alle medewerkers.
- Voer periodieke interne audits uit: Een interne audit helpt je om kwetsbaarheden te identificeren voordat ze tot incidenten leiden.
Informatiebeveiliging is geen eenmalig project, maar een doorlopend proces. Organisaties die werken met een erkend normenkader, zoals ISO 27001 of NEN-7510, hebben structureel meer grip op risico’s en zijn beter voorbereid op incidenten.
Hoe Kwinzo helpt bij het voorkomen en afhandelen van datalekken
Een datalek is ingrijpend, maar met de juiste voorbereiding hoef je niet in paniek te raken. Wij helpen organisaties om informatiebeveiliging structureel op orde te brengen, zodat je weet wat je moet doen als het misgaat en de kans op incidenten zo klein mogelijk is.
Wat wij voor jouw organisatie kunnen betekenen:
- Implementatie van een ISMS: Wij begeleiden je bij het opzetten van een Information Security Management System dat aansluit op jouw organisatie, inclusief procedures voor datalekken.
- Functionaris Gegevensbescherming (FG): Wij kunnen de rol van FG invullen of ondersteunen, zodat je altijd een deskundige aanspreekpartner hebt bij incidenten.
- Interne audits: Wij voeren interne audits uit om kwetsbaarheden in kaart te brengen voordat ze tot problemen leiden.
- Trainingen: Via interactieve trainingen vergroten wij het bewustzijn van jouw medewerkers rondom informatiebeveiliging en privacyregels.
- Certificeringsbegeleiding: Wij begeleiden je naar ISO 27001 of NEN-7510-certificering, zodat je aantoonbaar voldoet aan de hoogste standaarden.
Wil je weten hoe jouw organisatie er nu voor staat? Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe wij jou kunnen helpen om informatiebeveiliging echt te laten werken in de praktijk.