Datalek melden: wat je doet in de eerste 72 uur

Heb je per ongeluk een datalek veroorzaakt op het werk? Meld het dan direct intern, bij je leidinggevende, de IT afdeling en / of de functionaris gegevensbescherming (FG). Probeer het niet stilletjes op te lossen en wacht niet tot je weet hoe erg het is. Onder de AVG heeft je organisatie 72 uur vanaf het moment dat ze van het lek weet om het te melden bij de Autoriteit Persoonsgegevens (AP), tenzij het lek geen risico oplevert voor de betrokkenen. Valt je organisatie onder de Cyberbeveiligingswet, dan kan daar een tweede melding bij komen, met een nog kortere termijn. Elk uur dat een medewerker aarzelt, gaat van die tijd af.

De meeste datalekken zijn niet het werk van hackers. Ze beginnen met een gewone fout: een e-mail naar de verkeerde persoon, een spreadsheet per ongeluk als bijlage, een laptop die in de trein blijft liggen. In dit artikel lees je wat een datalek is, zie je veelvoorkomende voorbeelden, loop je stap voor stap door de eerste 72 uur, lees je hoe de meldplicht datalekken in Nederland werkt en hoe je zorgt dat collega's fouten melden in plaats van verbergen.

Wat is een datalek?

Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan, vernietigd of gewijzigd worden, of in handen komen van iemand die er geen toegang toe mag hebben. Het maakt niet uit of het opzettelijk of per ongeluk gebeurde, en er hoeft geen hacker aan te pas te komen. Kon de verkeerde persoon gegevens over iemand zien, wijzigen of kwijtraken, dan is het een datalek in de zin van de AVG.

Een datalek gaat dus niet alleen over uitlekken. Een klantdossier verwijderen zonder back-up of gegevens die door ransomware op slot zitten, telt ook, omdat de gegevens niet meer beschikbaar zijn. Veel grote incidenten uit ons overzicht van de grootste cyberaanvallen in Nederland, zoals de ransomware-aanvallen bij gemeenten en zorgaanbieders, waren precies zo'n datalek.

Voorbeelden van datalekken op het werk

• E-mail naar de verkeerde ontvanger. Autocomplete kiest de verkeerde "Sanne" en een salarisoverzicht belandt buiten de organisatie. Volgens de Autoriteit Persoonsgegevens gaat een groot deel van alle gemelde datalekken over gegevens die bij de verkeerde ontvanger terechtkomen.
• CC in plaats van BCC. Een nieuwsbrief of klantupdate gaat de deur uit met de e-mailadressen van alle ontvangers zichtbaar voor iedereen.
• De verkeerde bijlage. Iemand wil een sjabloon sturen en stuurt de ingevulde versie met namen, BSN-nummers of medische gegevens.
• Een deellink die te open staat. Een document in OneDrive of Google Drive is gedeeld met "iedereen met de link", en die link komt terecht in een doorgestuurde mail of een groepsapp.
• Verloren of gestolen apparaten. Een onversleutelde laptop, telefoon of usb-stick raakt kwijt in de trein of op de fiets naar huis.
• Papier en schermen. Prints die op de printer blijven liggen, dossiers bij het oud papier, een scherm met patiënt- of klantgegevens in het zicht van bezoekers.
• Trappen in een phishingmail. Een medewerker vult zijn inloggegevens in op een nepsite en een aanvaller krijgt toegang tot een mailbox vol persoonsgegevens.

Wat je doet in de eerste 72 uur na een datalek

1. Meld het intern, direct. Wie de fout opmerkt, licht zijn leidinggevende, IT of de FG in. De termijn van 72 uur loopt vanaf het moment dat de organisatie het weet, dus een dag stilte binnen het team is een dag kwijt.
2. Beperk de schade. Roep de e-mail terug als dat kan, vraag de ontvanger om hem te verwijderen en dat schriftelijk te bevestigen, trek de deellink in, wis het verloren apparaat op afstand of reset het gelekte wachtwoord.
3. Stel vast wat er gebeurd is. Om welke gegevens gaat het, hoeveel mensen zijn betrokken, hoe gevoelig is het en wie kan het gezien hebben? Bijzondere persoonsgegevens, zoals gezondheidsgegevens, en het BSN wegen zwaarder.
4. Beoordeel het risico voor de betrokkenen. Kan dit leiden tot identiteitsfraude, discriminatie, financiële schade of reputatieschade? Die inschatting bepaalt of je moet melden bij de AP en of je de betrokkenen moet informeren, zoals hieronder uitgelegd.
5. Meld het op tijd. Doe de melding via het meldloket van de AP, ook als nog niet alles bekend is; je kunt de melding later aanvullen of intrekken. Informeer betrokkenen als dat nodig is, in duidelijke taal en met concreet advies.
6. Leg het vast, ook als je niet meldt. Elk datalek hoort in het interne datalekkenregister, met de feiten, de gevolgen en de genomen maatregelen. Dat is verplicht onder de AVG, ook voor lekken die je niet bij de AP meldt.
7. Leer ervan. Zoek de oorzaak en verbeter het proces: een autocomplete-instelling, een deelbeleid, phishing simulaties voor het team dat op de nepinlogpagina trapte.

De meldplicht datalekken in Nederland: AVG en Cyberbeveiligingswet

De stappen hierboven gelden voor elke organisatie, maar wanneer en waar je meldt, hangt af van het soort incident en of je organisatie onder de Cyberbeveiligingswet valt.

• Melden bij de Autoriteit Persoonsgegevens. Onder de AVG meld je een datalek binnen 72 uur bij de AP, tenzij het onwaarschijnlijk is dat het een risico oplevert voor de betrokkenen. De AP ontvangt jaarlijks tienduizenden meldingen; een melding is dus geen uitzondering, maar een normaal onderdeel van goed beheer.
• Betrokkenen informeren. Is het risico hoog, bijvoorbeeld bij medische gegevens, BSN-nummers of wachtwoorden, dan informeer je ook de mensen om wie het gaat, zonder onnodige vertraging.
• Cyberbeveiligingswet (Cbw). Sinds 15 augustus 2026 geldt de Cbw, de Nederlandse invulling van NIS2. Essentiële en belangrijke entiteiten melden significante incidenten bij hun CSIRT, voor veel sectoren het NCSC: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. Een ransomware-aanval kan dus zowel een AVG- als een Cbw-melding opleveren.
• Afspraken met klanten en ketenpartners. In verwerkersovereenkomsten staat vaak dat je een datalek binnen 24 of 48 uur doorgeeft aan de opdrachtgever, zodat die zelf op tijd bij de AP kan melden.

Twijfel je of een lek gemeld moet worden? Leg je afweging vast in het datalekkenregister. De AP kijkt bij controle niet alleen of je hebt gemeld, maar ook of je aantoonbaar zorgvuldig hebt beoordeeld waarom je dat wel of niet deed.

Waarom medewerkers fouten verbergen, en hoe je dat verandert

Het grootste risico bij datalekken is niet de fout zelf, maar de stilte daarna. Een collega die een bestand naar het verkeerde adres stuurde, hoopt vaak dat niemand het merkt, zeker als hij een berisping vreest. Tegen de tijd dat het lek boven water komt, is de 72-uurstermijn verstreken en is de schade groter geworden.

Organisaties die datalekken goed afhandelen, maken melden makkelijk en veilig. Iedereen weet bij wie hij terechtkan, de eerste reactie is "fijn dat je het meldt" en fouten worden besproken als procesprobleem, niet als persoonlijk falen. Training helpt op twee manieren: medewerkers leren hoe een datalek eruitziet, zodat ze het herkennen, en melden wordt een geoefende gewoonte in plaats van een ongemakkelijke bekentenis.

De tip: voorkom datalekken met korte wekelijkse training

Guardey helpt medewerkers de alledaagse fouten te vermijden waar de meeste datalekken mee beginnen. Elke week krijgen ze een challenge van ongeveer drie minuten, op hun laptop of in de mobiele app voor iOS en Android, over veilig gegevens versturen, bestanden delen, phishing herkennen en incidenten melden. Gamification met leaderboards en streaks houdt mensen betrokken, phishing simulaties testen wat ze geleerd hebben en audit-klare rapportage laat zien waar je staat voor de AVG, de Cyberbeveiligingswet en ISO 27001. Meer dan 500 organisaties, waaronder het Europees Parlement, gebruiken Guardey al. Lees meer over onze security awareness training of bekijk hoe we privacy awareness aanpakken.

Werk je met een IT partner? Zo helpen MSP's voor en na een datalek

Veel mkb-organisaties regelen hun IT niet zelf, maar via een managed service provider (MSP): een IT bedrijf dat voor een vast bedrag per maand systemen, beveiliging en support verzorgt. Bij een datalek is dat meestal het eerste telefoontje: kan de mail worden teruggehaald, kan de laptop worden gewist, welke mailboxen zijn ingezien? Werk je met een MSP, vraag dan of preventie van datalekken en security awareness training in je pakket zitten. Voor MSP's is die preventie een logische stap, zeker nu de Cyberbeveiligingswet ook leveranciers in de keten aanspreekt op hun beveiliging.

Guardey is onder meer verkrijgbaar via e92plus, een value-added distributeur die gespecialiseerd is in cybersecurity voor MSP's en resellers in het Verenigd Koninkrijk, Ierland, de Nordics en de Benelux, dus ook in Nederland. MSP's krijgen maandelijkse facturatie op basis van gebruik en één partnerportal om de licenties van al hun klanten te beheren, met vaste MSP-partnermanagers en marketingondersteuning om een nieuwe dienst in de markt te zetten. Zo combineert een MSP tools voor gegevensbescherming en training in één beheerde dienst.

Veelgestelde vragen over datalekken

Kun je ontslagen worden voor een datalek op het werk?

Een eerlijke fout die je direct meldt, is in Nederland vrijwel nooit een grond voor ontslag; daarvoor stelt het arbeidsrecht hoge eisen. Een lek verzwijgen, duidelijke instructies negeren of steeds dezelfde fout maken, ligt anders en kan wel gevolgen hebben. Snel melden is dus bijna altijd het beste wat je kunt doen, voor de organisatie en voor jezelf.

Moet je elk datalek melden bij de AP?

Nee. Je meldt een datalek bij de Autoriteit Persoonsgegevens als het waarschijnlijk een risico oplevert voor de betrokkenen. Een mail met het zakelijke telefoonnummer van een collega die bij het verkeerde interne team belandt, hoef je meestal niet te melden. Vastleggen in het datalekkenregister moet wel altijd.

Wat zijn voorbeelden van een datalek?

Typische voorbeelden zijn persoonsgegevens naar de verkeerde ontvanger sturen, CC gebruiken in plaats van BCC, een bestand delen met een open link, een onversleutelde laptop kwijtraken, dossiers onbeheerd laten liggen en een aanvaller via phishing toegang geven tot een mailbox. De meeste beginnen met een menselijke fout, niet met een technisch mankement.

Hoe voorkom je datalekken door menselijke fouten?

Combineer een paar technische maatregelen, zoals vertraagd verzenden, versleuteling en beperkte deellinks, met regelmatige training. Medewerkers die oefenen met het herkennen van risicovolle momenten maken minder fouten en melden de fouten die toch gebeuren veel sneller.

Geen enkele organisatie komt op nul fouten. Het verschil zit in wat er in de minuten erna gebeurt: of de medewerker de telefoon pakt of de laptop dichtklapt en er het beste van hoopt. Die reflex kun je trainen.