Datalekprocedure: melden, onderzoeken, voorkomen

Volgens IBM’s Cost of a Data Breach Report bedragen de gemiddelde kosten van een datalek wereldwijd €4,4 miljoen. Voor kleinere organisaties zijn de directe kosten lager, maar de impact — reputatieschade, boetes, verlies van klanten en herstelkosten — kan existentieel zijn. Toch beschikt een meerderheid van de Nederlandse MKB-organisaties niet over een uitgeschreven procedure voor als een datalek zich voordoet. De AVG eist echter dat je niet alleen een lek meldt, maar ook aantoont dat je adequaat heeft gehandeld. Zonder procedure is dat vrijwel onmogelijk.

Wat een datalek precies is onder de AVG

Een datalek is onder de AVG elk beveiligingsincident waarbij persoonsgegevens verloren gaan, onrechtmatig worden verwerkt, openbaar worden gemaakt of toegankelijk worden voor onbevoegden. Dit is breder dan veel organisaties denken:

• Een gestolen laptop zonder schijfversleuteling is een datalek
• Een e-mail met persoonsgegevens naar de verkeerde ontvanger is een datalek
• Ransomware die persoonsgegevens versleutelt is een datalek
• Een onbeveiligde cloudomgeving waar onbevoegden bij kunnen is een datalek

Niet elk datalek hoeft gemeld te worden bij de Autoriteit Persoonsgegevens (AP). De meldplicht geldt wanneer het lek waarschijnlijk een risico voor de rechten en vrijheden van betrokkenen met zich meebrengt. Is er ook een hoog risico voor betrokkenen, dan moet je hen persoonlijk informeren.

Type datalek	Melding bij AP	Melding aan betrokkenen
Laag risico (bijv. versleuteld, snel hersteld)	Nee (wel intern documenteren)	Nee
Risico voor betrokkenen	Ja, binnen 72 uur	Nee
Hoog risico voor betrokkenen	Ja, binnen 72 uur	Ja, onverwijld

De vijf stappen van een effectieve datalekprocedure

Een datalekprocedure beschrijft wat je organisatie doet van het moment van ontdekking tot afsluiting van het dossier. De vijf kernstappen:

Stap 1 — Ontdekking en melding intern: Wie ontdekt een lek, meldt dit onmiddellijk bij de aangewezen contactpersoon (Functionaris Gegevensbescherming, security officer of IT-verantwoordelijke). Definieer een laagdrempelig meldkanaal en zorg dat medewerkers weten wat een datalek is.

Stap 2 — Beoordeling: Bepaal de aard, omvang en ernst van het lek. Welke categorieën persoonsgegevens zijn betrokken? Hoeveel betrokkenen? Is er sprake van bijzondere persoonsgegevens (gezondheid, financiën, BSN)? De uitkomst van deze beoordeling bepaalt de meldplicht.

Stap 3 — Inperking: Stop het lek. Isoleer getroffen systemen, wijzig wachtwoorden, trek toegangsrechten in. Documenteer alle acties met tijdstempel — dit is cruciaal voor de verantwoording achteraf.

Stap 4 — Melding: Indien meldplichtig, meld het lek bij de AP binnen 72 uur na ontdekking via het AP-meldloket. Informeer betrokkenen als sprake is van hoog risico. Notificeer verwerkers en verwerkingsverantwoordelijken conform je verwerkersovereenkomsten.

Stap 5 — Onderzoek en preventie: Analyseer de oorzaak van het lek. Wat ging er mis? Welke maatregel had dit kunnen voorkomen? Implementeer verbeteringen en documenteer de lessen in je informatiebeveiligingsdossier.

Tip van Control One: De 72-uurstermijn begint op het moment dat je organisatie redelijkerwijs op de hoogte kon zijn van het lek — niet pas als je zeker weet dat het een datalek is. Wacht dus niet op volledig bewijs voordat je begint met beoordelen en documenteren.

Documentatie: je schild bij een AP-onderzoek

De AP heeft in de afgelopen jaren aanzienlijke boetes opgelegd aan organisaties die een datalek hadden maar dit niet of te laat meldden, of die geen aantoonbare procedure hadden. Documentatie is je bescherming:

Datalekregister: De AVG vereist dat je alle datalekken bijhoudt in een intern register, ook als melding bij de AP niet vereist is. Het register bevat minimaal: datum ontdekking, aard van het lek, betrokken gegevens en betrokkenen, genomen maatregelen en beslissing over meldplicht.

Tijdlijn van acties: Leg vast wie wanneer wat heeft gedaan en besloten. Een aantoonbare tijdlijn bewijst dat je organisatie adequaat en tijdig heeft gehandeld.

Communicatiedossier: Bewaar alle correspondentie over het lek, inclusief interne meldingen, de AP-melding, notificaties aan betrokkenen en communicatie met leveranciers.

Preventie: de beste procedure is er een die je nooit nodig heeft

Een datalekprocedure is reactief; voorkomen is beter. De meest voorkomende oorzaken van datalekken zijn te voorkomen met basismaatregelen:

• Menselijke fouten (verkeerde ontvanger, bijlage vergissing): E-mailbeveiliging, DLP-tools, bewustzijnstraining
• Verlies of diefstal van apparaten: Schijfversleuteling, MDM, screen-lock beleid
• Ransomware en malware: Patch management, back-upstrategie, endpoint detectie
• Onbeveiligde toegang: Minimale rechten, MFA, toegangscontrole-audits

Koppel je datalekprocedure aan je bredere informatiebeveiligingsbeleid. Een procedure die los staat van de rest is effectiever dan niets, maar een geïntegreerde aanpak — preventie, detectie, respons en evaluatie — is wat je organisatie echt weerbaar maakt.

Veelgestelde vragen

Moet ik elk datalek melden bij de AP? Nee. Alleen lekken waarbij een risico bestaat voor de rechten en vrijheden van betrokkenen zijn meldplichtig. Kleine lekken zonder risico documenteer je intern maar meldt je niet.

Wat gebeurt er als ik een datalek niet meld? De AP kan een boete opleggen van maximaal €20 miljoen of 4% van de wereldwijde jaaromzet. In de praktijk lopen boetes voor MKB op tot enkele tienduizenden euro’s bij aantoonbare nalatigheid.

Hoe informeer ik betrokkenen bij een hoog-risico datalek? Helder, tijdig en in begrijpelijke taal. Beschrijf wat er is gebeurd, welke gegevens betrokken zijn, welke risico’s de betrokkene loopt en welke stappen je organisatie neemt. Vermijd juridisch jargon.

Wat is de rol van de FG (Functionaris Gegevensbescherming) bij een datalek? De FG adviseert over de meldplicht, begeleidt het onderzoek en zorgt voor naleving van de procedure. Organisaties die verplicht een FG hebben aangesteld, moeten hem onmiddellijk informeren bij ontdekking.

Zijn verwerkers ook verantwoordelijk voor het melden van datalekken? Verwerkers (zoals IT-leveranciers die data verwerken in je opdracht) zijn verplicht een datalek onverwijld — bij voorkeur binnen 24 uur — te melden aan je als verwerkingsverantwoordelijke. Je meldt vervolgens aan de AP als dat vereist is.

---

Wil je een datalekprocedure laten opstellen die voldoet aan de AVG en aansluit op je ISO 27001-traject? Bekijk onze diensten op de prijzenpagina en ontdek hoe Control One je helpt compliance om te zetten naar aantoonbare praktijk.