Een datalek ontstaat wanneer persoonsgegevens verloren gaan, worden gestolen of onbedoeld worden blootgesteld aan mensen die daar geen toegang toe mogen hebben. Onder de Algemene Verordening Gegevensbescherming (AVG) ben je als organisatie verplicht om ernstige datalekken binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP). Dit geldt voor vrijwel alle bedrijven en instellingen die persoonsgegevens verwerken, dus ook voor het mkb. In dit artikel beantwoorden we de meest gestelde vragen over datalekken, meldplichten en preventie.
Welke soorten incidenten tellen als een datalek onder de AVG?
Een datalek is elk beveiligingsincident waarbij persoonsgegevens per ongeluk of opzettelijk verloren gaan, worden gewijzigd, openbaar gemaakt of toegankelijk worden voor onbevoegden. Het gaat dus niet alleen om hacking of cybercriminaliteit, maar ook om menselijke fouten en fysieke incidenten.
Concrete voorbeelden van datalekken zijn:
- Een e-mail met persoonsgegevens die naar de verkeerde ontvanger wordt gestuurd
- Een laptop of USB-stick met klantgegevens die wordt gestolen of kwijtgeraakt
- Ransomware-aanvallen waarbij bestanden worden versleuteld en gegevens mogelijk zijn buitgemaakt
- Een medewerker die per ongeluk een bestand met klantdata openbaar deelt
- Inbraak in een systeem waarbij klantnamen, e-mailadressen of financiële gegevens worden ingezien
- Papieren dossiers die worden achtergelaten op een onbeveiligde plek
Belangrijk om te weten: niet elk incident telt automatisch als een meldplichtig datalek. Of je verplicht bent om te melden, hangt af van de ernst van het incident en het risico voor de betrokkenen. Dat onderscheid behandelen we in de volgende secties.
Wanneer ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens?
Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens wanneer het incident een risico oplevert voor de rechten en vrijheden van de betrokkenen van wie je gegevens verwerkt. De melding moet binnen 72 uur na ontdekking plaatsvinden, ook als je het onderzoek nog niet hebt afgerond.
De meldplicht geldt in de volgende situaties:
- Persoonsgegevens zijn in handen gevallen van mensen die er geen toegang toe mogen hebben
- Gegevens zijn verloren gegaan en er is geen back-up beschikbaar
- Het incident betreft gevoelige gegevens, zoals gezondheidsgegevens, financiële informatie of burgerservicenummers
- Een grote groep mensen is getroffen
- De betrokkenen lopen een reëel risico op identiteitsfraude, discriminatie of andere schade
Naast de melding aan de AP ben je in sommige gevallen ook verplicht om de betrokkenen zelf te informeren. Dit geldt wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Denk aan situaties waarbij medische gegevens zijn uitgelekt of waarbij financiële schade dreigt.
Wanneer hoef je een datalek niet te melden?
Je hoeft een datalek niet te melden bij de Autoriteit Persoonsgegevens wanneer het incident waarschijnlijk geen risico oplevert voor de betrokkenen. Als de kans op schade verwaarloosbaar is, vervalt de meldplicht.
Voorbeelden van situaties waarbij melden niet verplicht is:
- Een e-mail is per ongeluk naar een verkeerd intern adres gestuurd, maar de gegevens zijn niet naar buiten gelekt
- Gegevens zijn versleuteld opgeslagen en de sleutel is niet in handen gevallen van derden
- Het gaat om niet-gevoelige gegevens van slechts één persoon, zonder verdere gevolgen
Let op: ook al hoef je een incident niet te melden, je bent als organisatie altijd verplicht om het intern te registreren in je datalekregister. De AP kan dit register opvragen tijdens een controle. Het bijhouden van dit register is dus geen optie, maar een wettelijke verplichting, ongeacht de ernst van het incident.
Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?
Je meldt een datalek bij de Autoriteit Persoonsgegevens via het online meldloket op de website van de AP. De melding doe je zo snel mogelijk, uiterlijk binnen 72 uur na ontdekking van het incident. Als je nog niet alle informatie hebt, doe dan een voorlopige melding en vul deze later aan.
Bij de melding geef je in ieder geval de volgende informatie op:
- Omschrijving van het incident: wat er is gebeurd, wanneer het is ontdekt en hoe het heeft kunnen plaatsvinden
- Categorieën en aantallen betrokkenen: om welke mensen gaat het en hoeveel zijn er getroffen
- Categorieën en aantallen persoonsgegevens: welke soorten gegevens zijn betrokken
- Contactgegevens van de functionaris gegevensbescherming (FG) of een andere contactpersoon binnen je organisatie
- Genomen maatregelen: wat je al hebt gedaan om de schade te beperken en herhaling te voorkomen
Heb je een verwerkersovereenkomst met een externe partij, zoals een softwareleverancier of ICT-dienstverlener, en vond het datalek bij hen plaats? Dan is die partij verplicht om het lek direct bij jou te melden, zodat jij als verwerkingsverantwoordelijke de melding bij de AP kunt doen.
Wat zijn de gevolgen als je een datalek niet (op tijd) meldt?
Als je een meldplichtig datalek niet of niet op tijd meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete. De AP kan boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor mkb-bedrijven zijn de bedragen in de praktijk lager, maar ook een relatief kleine boete kan forse gevolgen hebben.
Naast financiële gevolgen zijn er ook andere risico’s:
- Reputatieschade: klanten en partners verliezen vertrouwen als blijkt dat je een datalek hebt verzwegen
- Aansprakelijkheid: betrokkenen kunnen schadevergoeding eisen als zij aantoonbaar schade hebben geleden door het lek
- Verhoogd toezicht: de AP kan je organisatie onder verscherpt toezicht plaatsen na een overtreding
- Operationele verstoringen: datalekken kosten tijd en geld om te herstellen, zeker als er geen goede procedures zijn
De AP houdt bij haar beoordeling rekening met de ernst van de overtreding, de medewerking van de organisatie en de maatregelen die zijn genomen. Transparantie en snelle actie werken in je voordeel.
Hoe voorkom je datalekken als mkb-bedrijf?
Als mkb-bedrijf voorkom je datalekken door een combinatie van technische maatregelen, duidelijke interne procedures en bewustwording bij medewerkers. De meeste datalekken ontstaan niet door geavanceerde aanvallen, maar door menselijke fouten of eenvoudig te vermijden kwetsbaarheden in de ICT-omgeving.
Praktische stappen die je kunt zetten:
- Gebruik sterke wachtwoorden en multifactorauthenticatie (MFA) voor alle systemen en accounts
- Werk software en systemen regelmatig bij om bekende beveiligingslekken te dichten
- Beperk toegangsrechten zodat medewerkers alleen toegang hebben tot de gegevens die zij nodig hebben voor hun werk
- Maak regelmatig back-ups en sla deze op een veilige, aparte locatie op
- Train medewerkers in het herkennen van phishing en veilig omgaan met persoonsgegevens
- Stel een intern datalekprotocol op zodat iedereen weet wat te doen bij een incident
- Voer periodiek een risicoanalyse uit om kwetsbaarheden in processen en systemen te identificeren
Voor veel mkb-bedrijven is ICT en security te complex geworden om er zelf volledig grip op te houden. Een goede ICT-partner helpt je de risico’s structureel te beheersen, zodat jij je kunt focussen op je corebusiness.
Hoe IC-Automatisering helpt bij het voorkomen van datalekken
Datalekken voorkomen vraagt om meer dan een antivirusprogramma. Wij bieden een volledig cybersecuritypakket dat aansluit op de specifieke risico’s en eisen van jouw organisatie. Onze aanpak is opgebouwd rond vier pijlers: beleid en organisatie, medewerkers en gedrag, techniek, en continu inzicht.
Wat wij voor jou kunnen doen:
- Informatiebeveiligingsbeleid opstellen dat voldoet aan ISO 27001, NEN 7510 en de NIS2-richtlijn
- Security 0-meting uitvoeren om de huidige staat van je beveiliging in kaart te brengen, inclusief directe verbeterpunten
- Awareness-trainingen en phishing-simulaties verzorgen via het KnowBe4-platform, gecertificeerd met het CCV Awareness Keurmerk
- Technische maatregelen implementeren zoals MFA, Endpoint Detection & Response, 24/7 serverbeveiliging en Vulnerability Management
- Penetratietesten laten uitvoeren door CCV-gecertificeerde specialisten om kwetsbaarheden proactief op te sporen
- Minimale toegangsrechten inrichten zodat medewerkers alleen toegang hebben tot wat zij nodig hebben
We werken van analyse tot implementatie en blijven daarna jouw aanspreekpunt voor beheer, ondersteuning en verdere ontwikkeling. Wil je weten hoe jouw organisatie er nu voor staat op het gebied van cybersecurity voor het mkb? Neem contact met ons op voor een vrijblijvend gesprek.
Related Articles
- Waarom zijn zwakke wachtwoorden nog steeds de grootste oorzaak van datalekken?
- Wat is een red team-oefening en verschilt dat van een gewone pentest?
- Wat is single sign-on (SSO) en hoe maakt het zakelijk inloggen veiliger?
- Hoe beheer je toegangsrechten van medewerkers op een veilige manier?
- Hoe beveilig je zakelijke smartphones en tablets van medewerkers?