Is iedere cyberaanval een datalek?

Nee. Een aanval is pas een datalek wanneer persoonsgegevens door een beveiligingsinbreuk verloren gaan, worden gewijzigd, vernietigd, ongeoorloofd bekendgemaakt of ontoegankelijk worden. Een geblokkeerde poging zonder effect op persoonsgegevens kan wel een ernstig beveiligingsincident zijn. Onderzoek daarom het feitelijke gevolg voor gegevens in plaats van alleen de technische oorzaak te benoemen.

Is iedere e-mail aan de verkeerde persoon een datalek?

Wanneer de e-mail persoonsgegevens bevat die de ontvanger niet mocht zien, is er gewoonlijk een inbreuk op de vertrouwelijkheid en dus een datalek. De ernst verschilt sterk: een verkeerd bezorgde afspraakbevestiging is iets anders dan een bestand met medische gegevens. Beperk de toegang, bewaar bewijs en beoordeel daarna afzonderlijk of melding noodzakelijk is.

Moet ieder datalek aan de Autoriteit Persoonsgegevens worden gemeld?

Nee. Een datalek wordt bij de bevoegde toezichthouder gemeld, tenzij het waarschijnlijk geen risico oplevert voor de rechten en vrijheden van personen. Dat is een afzonderlijke beslissing nadat is vastgesteld dat een datalek bestaat. Ook een niet-gemelde inbreuk moet worden gedocumenteerd, inclusief feiten, gevolgen, maatregelen en de reden om niet te melden.

Wanneer begint de termijn van 72 uur?

De termijn begint wanneer de organisatie zich ervan bewust is dat een beveiligingsinbreuk persoonsgegevens heeft aangetast, niet pas wanneer alle oorzaken vaststaan. Het eerste uur dient daarom voor snelle feitenvaststelling en beperking. Als melding nodig blijkt, kan informatie in fasen worden verstrekt; wachten op een perfect onderzoek kan de termijn laten verlopen.

Wat is de eerste handeling na een mogelijk datalek?

Stop verdere blootstelling zonder bruikbaar bewijs te vernietigen. Trek bijvoorbeeld een verkeerd gedeelde link in, blokkeer verloren apparatuur of stop een foutieve verzending. Leg tegelijk vast wie wat wanneer ontdekte, welke systemen en personen geraakt kunnen zijn en wie de incidentbeslissing leidt. Daarna volgen risicoanalyse en eventuele meldingen via de huidige toezichthouderroute.

Wat is een datalek onder de AVG?

Wat is een datalek? Onder de AVG is het een beveiligingsinbreuk die leidt tot vernietiging, verlies, wijziging, ongeoorloofde bekendmaking van of ongeoorloofde toegang tot persoonsgegevens. Ook tijdelijke onbeschikbaarheid kan meetellen; een hacker is niet vereist ¹.

Snel antwoord

Wat is een datalek? Iedere beveiligingsinbreuk waardoor persoonsgegevens per ongeluk of onrechtmatig verloren, vernietigd, gewijzigd, bekendgemaakt, ingezien of onbeschikbaar worden. Een verkeerd geadresseerde e-mail kan dus tellen, net als ransomware. Beperk het incident, leg de feiten vast en beoordeel daarna afzonderlijk risico, toezichthoudermelding en communicatie aan mensen ².

Laatst bijgewerkt: 28 augustus 2026

De definitie omvat drie soorten schade

De juridische definitie kijkt naar het gevolg voor persoonsgegevens, niet naar het etiket dat IT op het incident plakt. Een gebeurtenis kan één, twee of alle drie de basiseigenschappen aantasten ¹.

Eigenschap	Wat er misgaat	Praktisch voorbeeld
Vertrouwelijkheid	Iemand krijgt persoonsgegevens te zien of ontvangt ze zonder bevoegdheid	Een loonstrook gaat naar het verkeerde privéadres
Integriteit	Persoonsgegevens worden onbevoegd of onjuist gewijzigd	Rekeningnummers in klantdossiers worden overschreven
Beschikbaarheid	Persoonsgegevens worden vernietigd, verloren of tijdelijk onbereikbaar	Een storing wist de enige toegankelijke kopie van zorgafspraken

“Per ongeluk” valt uitdrukkelijk binnen het begrip. De medewerker die een bijlage verwisselt, hoeft geen regel te willen overtreden. Omgekeerd is een verdachte handeling zonder geraakt persoonsgegeven niet automatisch een datalek, al kan zij technisch onderzoek en beveiligingsmaatregelen vereisen.

Vernietiging en verlies zijn niet beperkt tot definitief verdwenen bestanden. Wanneer een zorgverlener of bezorgdienst persoonsgegevens op het noodzakelijke moment niet kan gebruiken, kan tijdelijke onbeschikbaarheid mensen werkelijk raken. Een herstelbare reservekopie verkleint mogelijk de gevolgen, maar wist de gebeurtenis niet automatisch uit de definitie.

Onder de AVG moet een verwerkingsverantwoordelijke ieder datalek documenteren en daarnaast beoordelen of de bevoegde toezichthouder en betrokken personen moeten worden geïnformeerd ¹. Voor Nederlandse organisaties loopt het actuele contact via de Autoriteit Persoonsgegevens.

De oorzaak kan heel gewoon zijn

Veel datalekken beginnen met alledaags werk: automatisch aanvullen kiest een verkeerde ontvanger, een pakket krijgt het verkeerde document, een laptop blijft in de trein of een gedeelde map staat te ruim open. De gebruikte techniek verandert de definitie niet, en het ontbreken van kwade opzet maakt de inbreuk niet minder werkelijk.

Onderzoek daarom eerst welke persoonsgegevens werkelijk zijn geraakt. Noteer gegevenssoorten, aantallen personen, toegankelijkheidsduur, ontvangers en beschermingsmaatregelen. “E-mailincident” zegt nauwelijks iets; “elf kandidaten ontvingen elkaars cv gedurende veertig minuten” maakt beperking en risicoanalyse mogelijk.

Een beveiligingsbeleid moet zulke menselijke fouten meenemen. Adrescontrole, beperkte deelrechten, versleuteling en een tweede controle bij gevoelige bestanden verkleinen kans en gevolgen. Het incidentproces moet desondanks aannemen dat een fout kan gebeuren. Medewerkers hebben een eenvoudige, veilige meldroute nodig; schuld zoeken in het eerste uur kost precies de tijd waarin een link nog kan worden ingetrokken.

Een verwerker meldt een inbreuk zonder onredelijke vertraging aan de verwerkingsverantwoordelijke. Leg daarom in contracten vast wie bereikbaar is, welke kernfeiten snel worden verstrekt en hoe bewijs beschikbaar blijft. De verwerkingsverantwoordelijke houdt de eigen bewustwording, risicobeoordeling en wettelijke route onder controle ¹^,2.

Vier datalekken en twee bijna-gevallen

Dezelfde zichtbare gebeurtenis kan juridisch anders uitpakken. Het beslissende punt is of persoonsgegevens daadwerkelijk zijn aangetast.

Gebeurtenis	Datalek?	Waarom
Een spreadsheet met klantadressen wordt naar een verkeerde leverancier gemaild	Ja	Een onbevoegde ontvanger kreeg persoonsgegevens
Een onbeveiligde werklaptop met personeelsdossiers raakt zoek	Ja	Verlies en mogelijke toegang raken beschikbaarheid en vertrouwelijkheid
Ransomware maakt de enige bruikbare kopie van planningsgegevens onbereikbaar	Ja	Beschikbaarheid van persoonsgegevens is aangetast
Een magazijn stopt een retourformulier in het pakket van een andere klant	Ja	Persoonsgegevens zijn aan de verkeerde persoon bekendgemaakt
Een phishingmail wordt verwijderd zonder openen of invoeren van gegevens	Nee, op deze feiten	Er is een dreiging, maar geen aangetoond gevolg voor persoonsgegevens
Sterke beveiliging blokkeert iedere inlogpoging van een aanvaller	Nee, op deze feiten	Het beveiligingsincident heeft geen persoonsgegevens aangetast

Een “nee” blijft voorlopig totdat logboeken en gesprekken de feiten ondersteunen. Bewaar die onderbouwing. Als later blijkt dat een sessie toch is gekaapt, verandert niet de definitie maar het feitenbeeld waarop de conclusie rust.

Schade is voor de definitie niet vereist. Een leverancier die een bestand meteen ongeopend verwijdert, kan het risico sterk beperken, maar de aanvankelijke ongeoorloofde bekendmaking blijft een datalek. Werk bij twijfel met bevestigde feiten en nog te toetsen aannames, zodat een latere correctie de oorspronkelijke tijdlijn niet overschrijft.

Een datalek is niet hetzelfde als een cyberincident

Een cyberincident beschrijft doorgaans de technische gebeurtenis en een datalek het gevolg voor persoonsgegevens; een defecte productiemachine zonder persoonsgegevens kan bedrijfskritiek zijn zonder datalek, terwijl een papieren klantenlijst in een verkeerd pakket een datalek kan zijn zonder cybercomponent. Laat beveiliging en privacy daarom parallel werken.

Ook “datalek” en “meldingsplichtig datalek” zijn niet hetzelfde; eerst stelt de organisatie vast of de definitie is vervuld, daarna beoordeelt zij het risico voor rechten en vrijheden van mensen. Alleen die tweede analyse bepaalt of melding aan de bevoegde of leidende toezichthouder nodig is ¹^,2.

Artikel 33 gebruikt een risicodrempel voor toezichthoudermelding; artikel 34 gebruikt de hogere drempel van waarschijnlijk hoog risico voor rechtstreekse communicatie aan betrokkenen. Voeg die uitkomsten niet samen. Een melding aan de toezichthouder is niet automatisch een bericht aan iedereen, en ieder datalek blijft intern gedocumenteerd.

De gewone Britse regeling is op deze kernpunten materieel gelijkwaardig: dezelfde brede definitie, het onderscheid tussen risico en hoog risico en de klok van 72 uur gelden daar eveneens. Voor een Nederlandse organisatie blijft echter de EU-route en de bevoegde EU-toezichthouder leidend.

Houd daarnaast rollen uit elkaar wanneer een leverancier of platform het incident ontdekt. De verwerker geeft zonder onredelijke vertraging de feiten door die de verwerkingsverantwoordelijke nodig heeft; de verwerkingsverantwoordelijke bepaalt vervolgens bewustwording, personenrisico, melding en communicatie, waarbij een contractuele klantmelding of een technisch ernstlabel die wettelijke conclusies niet kan vervangen. Eén incident kan dus tegelijk een beveiligingsincident, een datalek, een processorbericht en een toezichthouderbeslissing zijn, maar ieder label beantwoordt een andere vraag en krijgt zijn eigen eigenaar, tijdstip en bewijs.

Die scheiding voorkomt twee tegengestelde fouten die in de praktijk even kostbaar zijn: een organisatie kan een ernstig cyberincident zonder aangetaste persoonsgegevens ten onrechte als meldingsplichtig behandelen, of een gewone papier- of e-mailfout missen omdat geen alarmsysteem aansloeg. Laat daarom een privacybeoordelaar expliciet vastleggen welke persoonsgegevens zijn geraakt en laat beveiliging afzonderlijk verklaren welke technische toegang, wijziging of uitval is bevestigd, zodat beide conclusies op controleerbare feiten rusten.

Het eerste uur draait om feiten en beperking

De eerste reactie stopt verdere blootstelling, bewaart onderzoeksmateriaal en bouwt één gecontroleerde chronologie. Gebruik de onderstaande velden als voorbereidingsstructuur, niet als bewering dat ieder veld al verplicht in elk nationaal formulier staat.

Voorbereidingsveld	Wat het incidentrecord bevat
Route en status	Huidige route van de bevoegde toezichthouder; nieuw of vervolg; compleet of incompleet; eventuele intrekking
Organisatie en contact	Identiteit van de verwerkingsverantwoordelijke en bewaakte contactpunten voor rapportage
Chronologie	Gebeurtenis, ontdekking, bewustwording, beperking en tijdstip van de volgende update
Aard en oorzaak	Vertrouwelijkheid, integriteit of beschikbaarheid, betrokken systemen en voortdurende blootstelling
Personen en records	Categorieën en geschatte aantallen mensen en dossiers, met relevante kwetsbaarheid
Risico en onzekerheid	Bescherming, waarschijnlijke gevolgen, huidige beoordeling en ontbrekende feiten
Acties en bijlagen	Beperking, preventie, communicatie aan mensen, grensoverschrijdende feiten en bewijsstukken

De EDPB nam op 8 juni 2026 versie 1.0 van een gemeenschappelijk meldingssjabloon aan voor openbare raadpleging. Die raadpleging liep van 10 juni tot en met 5 augustus 2026 en is gesloten. De nationale invoering en planning moeten nog worden bepaald; het sjabloon is dus een voorbereidende gemeenschappelijke standaard, geen universeel actief indieningsformulier ⁴.

Gebruik totdat een nationale invoering plaatsvindt uitsluitend het actuele kanaal van de bevoegde toezichthouder. Voor een Nederlandse verwerkingsverantwoordelijke is de Autoriteit Persoonsgegevens het officiële contactpunt; controleer daar de huidige indieningsroute op het moment dat het incident wordt behandeld. Leg in het incidentrecord vast welk kanaal en welke versie zijn gebruikt, welk indieningsbewijs is ontvangen en welk bereikbaar contact de vervolgvragen bewaakt.

Behandel een eerste indiening, een aanvulling en een gemotiveerde intrekking als statussen van hetzelfde incident. Een aanvulling verfijnt bijvoorbeeld het geschatte aantal dossiers of de oorzaak; een intrekking vermeldt waarom de eerdere meldgrond niet meer wordt gedragen. Geen van beide herschrijft de oorspronkelijke feiten of start bewustwording en de 72-uursberekening opnieuw.

Beperk ondertussen feitelijk. Trek een gedeelde link in, blokkeer een account of apparaat en stop foutieve synchronisatie zonder relevante logs te wissen. Leg bij een verkeerde ontvanger vast of het bestand is geopend, doorgestuurd of lokaal opgeslagen. Kies de kleinste effectieve communicatie, want een te brede waarschuwing kan zelf nieuwe persoonsgegevens onthullen.

De volgende vraag gaat over risico

Na vaststelling van een datalek volgt geen automatische melding. Beoordeel mogelijke lichamelijke, financiële, sociale en andere gevolgen voor betrokken mensen, samen met waarschijnlijkheid, gevoeligheid, omvang, identificeerbaarheid en werkende beschermingsmaatregelen ²^,3.

De uitkomst leidt naar drie routes: intern documenteren zonder toezichthoudermelding wanneer risico waarschijnlijk ontbreekt; de bevoegde of leidende toezichthouder informeren wanneer risico mogelijk is; en betrokken personen bovendien rechtstreeks informeren wanneer hoog risico waarschijnlijk is. Die drempels blijven afzonderlijk ¹.

Kijk vanuit de betrokken persoon, niet vanuit reputatieschade voor de organisatie. Identiteitsfraude, financieel verlies, discriminatie, vertrouwelijkheidsverlies en veiligheidsrisico's kunnen relevant zijn. Sterke versleuteling of snelle bevestigde verwijdering kan de inschatting veranderen, mits het dossier aantoont dat de bescherming werkelijk werkte.

Leg altijd vast wat is gebeurd, welke gevolgen denkbaar waren, welke maatregelen zijn genomen en waarom de gekozen meldingsroute past. Herbeoordeel zodra aantallen, ontvangers, downloadlogs of beschermingsmaatregelen anders blijken dan aanvankelijk gedacht. Zo blijft een gewone fout een controleerbare beslissing in plaats van een label dat na het eerste uur niet meer wordt onderzocht.