Wat is een datalek?
Een datalek (of “inbreuk in verband met persoonsgegevens”) is elke inbreuk op de beveiliging die leidt tot:
- Vernietiging van persoonsgegevens (bijv. ransomware die je database versleutelt)
- Verlies van persoonsgegevens (bijv. een gestolen laptop, een zoekgeraakte USB-stick)
- Wijziging van persoonsgegevens (bijv. een hacker die klantgegevens aanpast)
- Ongeautoriseerde verstrekking of toegang (bijv. een verkeerd verstuurde e-mail, een hack van je CRM)
Het hoeft geen spectaculaire hackaanval te zijn. De meest voorkomende datalekken bij MKB-bedrijven zijn alledaags:
- Een medewerker stuurt een klantlijst naar het verkeerde e-mailadres
- Een laptop met onversleutelde personeelsdossiers wordt gestolen uit een auto
- Een oud-medewerker behoudt toegang tot het CRM-systeem na vertrek
- Klantgegevens worden gedeeld in een WhatsApp-groep met medewerkers
- Een phishingmail leidt tot gelekte inloggegevens
De drie stappen bij een datalek
Stap 1: Beoordeel het risico
Niet elk datalek hoeft gemeld te worden. De cruciale vraag is: vormt dit datalek waarschijnlijk een risico voor de rechten en vrijheden van de betrokkenen?
Waarschijnlijk WEL melden:
- Gelekte financiele gegevens, medische dossiers, BSN-nummers
- Gelekte inloggegevens (wachtwoorden, accounts)
- Persoonsgegevens van kwetsbare groepen (kinderen, patienten)
- Grote aantallen betrokkenen
- Gegevens die misbruikt kunnen worden voor identiteitsfraude
Waarschijnlijk NIET melden:
- Verloren USB-stick met volledig versleutelde gegevens (de gegevens zijn onleesbaar)
- Korte, ongeautoriseerde toegang waarbij geen gegevens zijn gekopieerd of gewijzigd
- Intern datalek dat direct is hersteld en geen externe gevolgen heeft
Twijfel je? Meld het. Een onterechte melding heeft geen gevolgen; een gemiste melding kan een boete opleveren.
Stap 2: Meld bij de toezichthouder (binnen 72 uur)
Als je besluit te melden, heb je maximaal 72 uur na ontdekking. Niet na het incident zelf, maar na het moment dat je het ontdekt. Als je meer informatie nodig hebt, kun je in fasen melden: eerste melding binnen 72 uur, aanvulling later.
Waar meld je het?
| Land | Toezichthouder | Hoe |
|---|---|---|
| Belgie | Gegevensbeschermingsautoriteit (GBA) | Online formulier op gegevensbeschermingsautoriteit.be |
| Nederland | Autoriteit Persoonsgegevens (AP) | Meldloket datalekken op autoriteitpersoonsgegevens.nl |
| Duitsland | BfDI / Landesbehorde | Verschilt per deelstaat |
| Frankrijk | CNIL | Online formulier op cnil.fr |
Sjabloon: Datalekmelding aan de Toezichthouder
Een meldingsformulier met alle verplichte velden, plus een sjabloon voor de kennisgeving aan betrokkenen.
Bekijk het sjabloon arrow_forwardStap 3: Informeer betrokkenen (bij hoog risico)
Als het datalek een hoog risico vormt, moet je naast de toezichthouder ook de betrokkenen zelf informeren. Vertel hen:
- Wat er is gebeurd
- Welke gegevens betrokken zijn
- Wat je hebt gedaan om het te verhelpen
- Wat zij zelf kunnen doen (wachtwoord wijzigen, alert zijn op phishing)
Het datalekregister (incidentenlogboek)
Elk datalek, ook als je het niet meldt bij de toezichthouder, moet je vastleggen in een datalekregister. Dit is geen goed gebruik maar een zelfstandige wettelijke verplichting: artikel 33 lid 5 GDPR schrijft voor dat je alle inbreuken documenteert, inclusief de feiten, de gevolgen en de genomen corrigerende maatregelen. De toezichthouder kan dit register op elk moment opvragen, juist om te toetsen of een niet-gemeld lek terecht niet is gemeld.
Het register wordt ook wel incidentenlogboek of datalekregister genoemd. De wet schrijft geen vast format voor, maar in de praktijk leg je per incident deze velden vast:
| Veld | Wat je noteert |
|---|---|
| Incidentnummer | Uniek volgnummer voor interne verwijzing |
| Datum incident | Wanneer het lek plaatsvond, voor zover bekend |
| Datum ontdekking | Wanneer je het ontdekte; hier start de 72-uurstermijn |
| Ontdekt door | Wie het incident meldde of aantrof |
| Beschrijving | Wat er precies is gebeurd en hoe het aan het licht kwam |
| Oorzaak | Menselijke fout, phishing, verloren laptop, verkeerde e-mail, hack, systeemfout |
| Type inbreuk | Vertrouwelijkheid, integriteit of beschikbaarheid |
| Betrokken gegevens | Welke categorieen persoonsgegevens, en of er bijzondere gegevens bij zaten |
| Categorie betrokkenen | Klanten, werknemers, patienten, leveranciers |
| Omvang | Geschat aantal betrokken personen en records |
| Risicobeoordeling | Waarschijnlijkheid en ernst voor de rechten en vrijheden van betrokkenen |
| Directe maatregelen | Wat je deed om het lek te stoppen of de schade te beperken |
| Melding toezichthouder | Wel of niet gemeld, datum, en de motivatie voor die keuze |
| Informeren betrokkenen | Wel of niet geinformeerd, datum, en de motivatie |
| Structurele maatregelen | Wat je aanpast om herhaling te voorkomen |
| Afsluitdatum en verantwoordelijke | Wanneer het incident is afgehandeld en door wie |
De motivatie bij de laatste twee is het veld dat organisaties het vaakst overslaan, en juist het veld waar de toezichthouder naar kijkt. “Niet gemeld” zonder onderbouwing is in de praktijk hetzelfde als geen beoordeling gedaan hebben.
Hoe lang bewaar je het register?
De GDPR noemt geen termijn. Houd het register aan zolang je je verantwoordingsplicht moet kunnen aantonen, en beperk daarbinnen de persoonsgegevens: na afhandeling kun je het incident zelf bewaren terwijl je de gegevens van betrokkenen verwijdert of anonimiseert. Leg de termijn die je kiest vast in je bewaartermijnenbeleid, zodat de keuze onderbouwd is.
Veelgemaakte fouten
- “Het was maar een e-mail” - ook een verkeerd verstuurde e-mail met persoonsgegevens is een datalek
- Intern onderzoek boven melding stellen - begin de melding binnen 72 uur, je kunt later aanvullen met onderzoeksresultaten
- Betrokkenen niet informeren bij hoog risico - dit is een aparte verplichting
- Geen datalekregister bijhouden - ook niet-gemelde datalekken moeten gedocumenteerd worden
- WhatsApp-groepen als veilig beschouwen - het delen van klantgegevens in een WhatsApp-groep met medewerkers is riskant; je hebt geen controle over wie de gegevens ziet of bewaart
Voorkomen is beter dan melden
De beste datalekprocedure is er een die je zelden hoeft te gebruiken:
- Versleutel laptops, USB-sticks en mobiele apparaten
- Beperk toegang tot persoonsgegevens op basis van noodzaak (niet iedereen hoeft alles te zien)
- Gebruik sterke wachtwoorden en 2FA voor alle systemen met persoonsgegevens
- Train je medewerkers - de meeste datalekken ontstaan door menselijke fouten
- Verwijder accounts van vertrekkende medewerkers direct
- Gebruik geen WhatsApp voor het delen van klant- of personeelsgegevens
Gratis cursus: Security awareness
Wil je je team trainen om een datalek snel te herkennen en correct te melden? Dat behandelen we stap voor stap in de module “Datalek herkennen en melden” van onze gratis cursus Security awareness. Geen account nodig, met certificaat.
Bekijk de module arrow_forwardGDPRWise brengt automatisch in kaart welke persoonsgegevens je verzamelt en met wie je ze deelt. Zo weet je bij een datalek precies wat er geraakt is.