Dinsdagmiddag ontdek je een datalek. Je stuurt per ongeluk een Excel met klantgegevens naar de verkeerde ontvanger. Of een leverancier meldt dat een aanvaller jullie database raakte. Je ontdekt een datalek. Wat nu? Onder de AVG heb je maximaal 72 uur om het lek te melden bij de Autoriteit Persoonsgegevens. Meld je niet op tijd, dan riskeer je een boete tot 20 miljoen euro of 4 procent van je jaaromzet. Voor het mkb doet dat snel pijn. Hieronder loop je door het complete stappenplan.
Wat is een datalek?
Een datalek is elke inbreuk op de beveiliging die per ongeluk of opzettelijk leidt tot vernietiging, verlies, wijziging, of ongeautoriseerde toegang tot persoonsgegevens. Denk aan een gestolen laptop met klantbestanden, een verkeerd verzonden e-mail met adresgegevens, een hack van je webshop, of een cloudprovider die data heeft gelekt. Het gaat dus niet alleen om digitale aanvallen. Een kwijtgeraakte USB-stick of een prullenbak vol papier met NAW-gegevens telt ook.
Belangrijk detail: meld alleen datalekken met persoonsgegevens. Gaat het om bedrijfsgeheimen zonder persoonsgegevens, dan valt het niet onder de meldplicht. Twijfel je? Meld dan toch, want de drempel voor een meldplicht is laag en de AP weegt het risico voor betrokkenen zwaarder dan jouw twijfel.
Eén verkeerd verzonden e-mail met NAW-gegevens hoef je meestal niet te melden. Een hele database met honderden klanten, of een hack waarbij wachtwoorden vrijwel altijd wel.
Vanaf welk moment begint de 72 uur-termijn?
De klok begint op het moment dat je het datalek ontdekt. Niet op het moment dat het gebeurde. Dat verschil kan soms dagen zijn in de praktijk. Als een aanvaller op maandag inbreekt en je ontdekt het pas woensdag, heb je tot zaterdag de tijd om te melden. Belangrijk is dat je het exacte tijdstip van ontdekking goed documenteert. Dat vraagt de AP later in je interne registratie terug.
De ontdekking hoeft niet door je eigen IT-team te gebeuren. Een melding van een leverancier, klacht van een betrokkene, of bericht in de media kan het startpunt zijn. Noteer altijd direct het moment, de bron, en wat er op dat moment bekend was. Die eerste registratie is later je bewijs dat je de termijn bent begonnen op het juiste moment.
Lukt het je niet om binnen 72 uur te melden, dan kun je ook later melden. De AP vraagt dan in je melding uitleg te geven over de vertraging. Doe je dat niet, dan kan dat op zichzelf al een overtreding zijn, los van het oorspronkelijke datalek.
Het complete stappenplan voor de eerste 72 uur
Het is verleidelijk om meteen te repareren. Reset wachtwoorden, patch systemen. Denk pas daarna aan de melding. Doe dat niet. De volgorde is belangrijk, want je hebt maar drie dagen en je moet ondertussen ook informatie verzamelen voor je melding.
Het stappenplan start met inschatten van de ernst. Hoeveel personen raakten getroffen, wat voor type gegevens zijn gelekt, en wat is het risico voor die personen. Gaat het om namen en adressen, dan is het risico anders dan wanneer het gaat om BSN-nummers, medische gegevens, of inloggegevens. Deze eerste inschatting bepaalt of je überhaupt moet melden en hoeveel haast je hebt.
Je beperkt de schade als volgende stap. Reset waar mogelijk wachtwoorden, blokkeer accounts, zet systemen tijdelijk uit, en zorg dat het lek niet groter wordt. Maar documenteer ondertussen wat je doet, want die informatie heb je nodig voor je melding. Het contrast met alleen technisch fixen is groot, want zonder documentatie kun je later niet uitleggen wat je hebt gedaan.
Je logt in met DigiHoofd of eHerkenning. Daarna vul je de aard van het datalek in, het aantal getroffen personen, en de soort gegevens. Tot slot beschrijf je de maatregelen die je hebt genomen. De melding is gratis. Je hoeft geen bijlagen mee te sturen. Je kunt later aanvullen als je meer weet.
Onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, moet je ook rekening houden met een aanvullende verplichting. Die geldt voor organisaties die onder die wet vallen. Je moet een significant incident dan in drie stappen aan het NCSC melden. Eerst een early warning binnen 24 uur. Dan een incidentmelding binnen 72 uur. Tot slot een eindrapport binnen een maand. Die plicht kan naast je AVG-meldplicht gelden, en dat betekent dat je feitelijk twee meldingen moet doen. Onze NIS2-stappenplangids voor het mkb helpt je bepalen of jouw organisatie onder die extra verplichting valt.
Tot slot: informeer je de betrokkenen zelf? Doe dat wanneer de risico’s voor betrokkenen groot zijn, denk aan gestolen wachtwoorden, financiële gegevens, of medische dossiers. Een verkeerd verzonden e-mail aan één persoon vraagt meestal niet om een brede melding, een hele database met klantgegevens wel.
Welke informatie heeft de AP nodig in je melding?
Het meldformulier van de AP vraagt je om een vaste set gegevens. Het is handig om die informatie vooraf te verzamelen, zodat je niet tijdens de melding hoeft te zoeken. De AP wil de aard van het datalek weten. Ook wanneer het gebeurde en wanneer je het hebt ontdekt. Verder: hoeveel personen raakten getroffen, welke categorieën persoonsgegevens er weglekten, en welke maatregelen je hebt genomen.
De categorieën persoonsgegevens lopen uiteen van naam en adres tot Burgerservicenummer, pasfoto, financiële gegevens, gezondheidsgegevens, of inloggegevens. Hoe gevoeliger de gegevens, hoe groter de kans dat de AP een onderzoek start. Een datalek met een paar honderd e-mailadressen behandelt de AP anders dan een datalek met tienduizenden BSN-nummers of medische dossiers.
De maatregelen die je noemt moeten concreet zijn. Reset alle wachtwoorden van getroffen accounts, blokkeer de toegang tot de getroffen database, schakel een incident-responsteam in, en stuur een melding aan de getroffen personen. Vermeld ook wanneer je deze maatregelen nam, want dat toont aan dat je adequaat handelde. Belangrijk: overdrijf niet. Wanneer je in de melding zegt dat je een heel onderzoek instelde, moet je dat ook echt hebben gedaan. De AP kan dat controleren.
Twijfel je nog over de exacte inhoud, meld dan eerst met de informatie die je hebt en vul later aan. Een eerste melding zonder alle details is altijd beter dan een te late melding met alle details. De AP waardeert het als je transparant bent over wat je op dat moment weet en wat je nog onderzoekt.
Wat kost te laat of niet melden van een datalek?
De AP kan boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor een mkb-bedrijf met 10 miljoen omzet betekent dat potentieel een boete van 400.000 euro. Voor eenmanszaken en klein mkb ligt de ondergrens lager, maar de reputatieschade is vaak groter dan de boete zelf.
Naast de directe boete zijn er andere kosten. Klanten die hun gegevens in verkeerde handen zien, stappen over naar de concurrent. Leveranciers die twijfelen aan je security, schrappen je uit hun keten. Een cyberverzekeraar die ontdekt dat je een datalek niet hebt gemeld, kan de uitkering weigeren of de polis opzeggen. In onze gids over aantoonbare security als voorwaarde voor een cyberverzekering leggen we uit hoe verzekeraars hier in de praktijk mee omgaan.
Onder de Cyberbeveiligingswet kunnen aanvullende bestuurlijke sancties volgen, zoals een aanwijzing van de toezichthouder of een last onder dwangsom. Voor mkb-organisaties die niet onder NIS2 vallen, blijft de AVG het wettelijke kader, maar de trend is duidelijk: handhavers worden strenger, termijnen worden korter, en de verwachting is dat organisaties hun incidentrespons serieus hebben ingericht.
De maatregelen die je neemt voordat er een datalek is, bepalen hoe snel je kunt handelen. Vulnerability management voor het mkb laat zien hoe je met dagelijkse scans en continue monitoring veel datalekken voorkomt. Voor een mkb dat snel wil weten waar de zwakke plekken zitten, is de gratis CyberScan van NetCaptain een goede eerste stap.
Veelgestelde vragen over het melden van een datalek
Wat is de 72 uur-termijn bij een datalek precies?
Je hebt vanaf het moment dat je het datalek ontdekt 72 uur de tijd om het te melden bij de Autoriteit Persoonsgegevens. Ontdek je het later, dan geldt 72 uur na het moment van ontdekking. Lukt binnen 72 uur niet, dan lever je in je melding uitleg aan waarom.
Wanneer hoef ik een datalek niet bij de AP te melden?
Als het onwaarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen. In de praktijk is die drempel laag, want bij twijfel geldt een meldplicht. Een verkeerd verzonden e-mail met één klantnaam is meestal niet meldingsplichtig, een gelekte database met honderden klanten wel.
Moet ik betrokkenen zelf ook informeren over het datalek?
Ja, wanneer het datalek een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Dan informeer je de getroffen personen zo snel mogelijk, onverwijld, met uitleg over de aard van het lek en de gevolgen. Een melding aan de AP vervangt deze communicatie niet.
Wat is het verschil tussen de meldplicht onder de AVG en onder de Cyberbeveiligingswet (NIS2)?
Onder de AVG meld je datalekken met persoonsgegevens bij de Autoriteit Persoonsgegevens. Onder de Cyberbeveiligingswet meld je significante incidenten bij het Nationaal Cyber Security Centrum, in drie stappen: early warning binnen 24 uur, incidentmelding binnen 72 uur, eindrapport binnen een maand. Beide kunnen naast elkaar gelden voor mkb-bedrijven die onder NIS2 vallen.
Wat kost te laat of niet melden van een datalek?
De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Daarnaast riskeer je reputatieschade, claims van getroffen betrokkenen, en problemen met je cyberverzekering. Onder de Cyberbeveiligingswet kunnen aanvullende bestuurlijke sancties volgen.
Wacht niet op een datalek, bereid je nu voor
Een datalek overkomt je, maar de manier waarop je ermee omgaat, heb je zelf in de hand. Zorg dat je weet wie binnen je organisatie de melding doet. Zorg dat de inloggegevens voor het AP-meldformulier klaarliggen. En zorg dat je een kort draaiboek hebt voor de eerste 24 uur.
Die voorbereiding scheelt je uren wanneer het ertoe doet. Het verschil tussen een gecontroleerde melding en een chaos die de AP later in je auditdossier terugziet, zit in die eerste 24 uur. Denk ook na over wie binnen je organisatie de FG of DPO is. Wanneer je die rol nog niet hebt ingevuld, wijst de AVG je automatisch aan als verwerkingsverantwoordelijke. Dat betekent dat jij of je bestuurder persoonlijk aanspreekpunt wordt voor de AP.
Wil je weten hoe kwetsbaar je organisatie vandaag is voor dit soort incidenten? Met de gratis CyberScan krijg je in vijf minuten een eerste indicatie. Voor een structurele aanpak werkt NetCaptain met je samen in een vrijblijvend kennismakingsgesprek, zodat je weet welke maatregelen voor jouw mkb-bedrijf de meeste waarde opleveren. Liever eerst rondkijken in onze kennisbank? In het overzicht van vulnerability management voor het mkb vind je de uitgangspunten om je beveiliging structureel op orde te krijgen.
