Regels
Wat een datalek is, welke soorten er zijn, wanneer je het meldt bij de toezichthouder en bij de mensen zelf, en wat je in de eerste 72 uur doet.
Een datalek is een inbreuk op de beveiliging van persoonsgegevens, waardoor die gegevens worden vernietigd, verloren gaan, worden gewijzigd of terechtkomen bij iemand die er geen toegang toe had mogen hebben. Het kan per ongeluk gebeuren of met opzet. Ook een menselijke vergissing telt, zoals een e-mail aan de verkeerde ontvanger.
Het woord datalek staat niet in de wet. De tekst van de AVG spreekt in artikel 4, onder 12, van een "inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van, of de ongeoorloofde toegang tot, gegevens die zijn doorgezonden, opgeslagen of op een andere manier verwerkt.
Het gaat dus om persoonsgegevens, er moet iets zijn misgegaan met de beveiliging, en het hoeft niet naar buiten te zijn gelekt: ook verlies en wijziging tellen mee. Dit artikel is uitleg, geen juridisch advies. Of een incident gemeld moet worden, beoordeel je zelf, bij voorkeur met je functionaris gegevensbescherming of een jurist.
De Autoriteit Persoonsgegevens (AP) onderscheidt op haar pagina wat is een datalek drie soorten. Een datalek kan in meer dan één soort tegelijk vallen.
De soort bepaalt mee wat de gevolgen zijn. De AP noemt de aard van de inbreuk daarom als eerste factor bij de risicoafweging.
De AP noemt zelf onder meer de e-mail aan een verkeerde geadresseerde, inzage in een medisch dossier door een onbevoegde medewerker, een verloren apparaat met niet-versleutelde gegevens en een besmetting met gijzelsoftware. Hieronder staan vijf vormen die in een kantoor vaak voorkomen. De voorbeelden zijn fictief.
Een medewerker van een fictief administratiekantoor stuurt de jaaropgaaf van klant A naar klant B. Dat is een inbreuk op de vertrouwelijkheid. Of het gemeld moet worden, hangt af van de inhoud en van de ontvanger.
Een laptop blijft in de trein liggen. Stonden er persoonsgegevens op en was de schijf niet versleuteld, dan is het een datalek. Bij goede versleuteling ligt dat anders.
Bij gijzelsoftware (ransomware) is er een inbreuk op de beschikbaarheid, en vaak ook op de vertrouwelijkheid: de gegevens zijn dan gekopieerd voordat ze werden versleuteld. Bij phishing geeft een medewerker inloggegevens af en kan een buitenstaander in een mailbox meelezen, met alle persoonsgegevens die daarin staan.
Een personeelsmap die voor de hele organisatie openstaat, of een gedeelde link die iedereen kan openen, geeft mensen toegang die daar niet bevoegd voor zijn. Dit soort lekken valt vaak pas op als een zoekfunctie of een AI-assistent de map ineens vindbaar maakt; zie Copilot en SharePoint.
Een medewerker plakt een klantdossier in een AI-chatbot op een privé-account. De AP waarschuwde daar in augustus 2024 voor in het bericht Let op: gebruik AI-chatbot kan leiden tot datalekken. Gebeurt de invoer op eigen initiatief en tegen de afspraken met de werkgever in, dan is er volgens de AP sprake van een datalek: het bedrijf achter de chatbot krijgt ongeoorloofd toegang tot de gegevens. Hoort het gebruik bij het beleid van de organisatie, dan is het volgens de AP geen datalek, maar vaak niet wettelijk toegestaan. Dit onderwerp heeft een eigen artikel: Datalek via een AI-chatbot: wanneer moet je melden bij de AP?.
Artikel 33 van de AVG geeft de regel: je meldt een datalek bij de toezichthouder, tenzij het niet waarschijnlijk is dat het een risico inhoudt voor de rechten en vrijheden van de mensen over wie de gegevens gaan. Melden is het uitgangspunt. De inschatting maak je zelf.
De AP geeft op haar pagina datalek wel of niet melden de factoren waarmee je de afweging objectief maakt.
Welke gegevens als bijzonder gelden en waarom, staat in Bijzondere persoonsgegevens: welke zijn het, en mag AI ze verwerken?.
Volgens de AP hoef je niet te melden als je vóór het lek maatregelen had genomen waardoor de gegevens onbegrijpelijk zijn voor onbevoegden, bijvoorbeeld goede versleuteling of vervanging door een hashwaarde. Daar horen drie voorwaarden bij: de gegevens zijn nog intact, je hebt er nog de volledige controle over (er is een recente back-up), en de sleutel heeft geen gevaar gelopen.
De tabel past de factoren toe op fictieve situaties. Ze geeft aan welke kant de afweging in de regel op valt; de omstandigheden van jouw geval beslissen.
| Voorbeeld | Is het een datalek? | Melden bij de AP? | Betrokkenen informeren? |
|---|---|---|---|
| Loonstroken met BSN naar een onbekend e-mailadres gestuurd | Ja | In de regel ja: de AP noemt een BSN met aanvullende gegevens gevoelig | Hangt af van het risico op misbruik |
| Medisch dossier ingezien door een medewerker zonder behandelrelatie | Ja | In de regel ja: gezondheidsgegevens | Waarschijnlijk ja |
| Laptop met goed versleutelde schijf verloren, sleutel veilig, back-up aanwezig | Een inbreuk die je vastlegt | Nee, als aan de drie voorwaarden is voldaan | Nee |
| Gijzelsoftware versleutelt de dossiers en er zijn bestanden gekopieerd | Ja | In de regel ja | Waarschijnlijk ja; hangt af van wat er is buitgemaakt |
| Klantdossier tegen de afspraken in ingevoerd in een AI-chatbot op een privé-account | Ja, volgens de AP | Hangt af van de gevoeligheid en van wat de aanbieder met de invoer doet | Alleen bij een waarschijnlijk hoog risico |
| Prijslijst zonder persoonsgegevens naar een concurrent gestuurd | Nee | Niet van toepassing | Niet van toepassing |
Twijfel je, dan adviseert de AP het zekere voor het onzekere te nemen en te melden.
Voor de mensen over wie de gegevens gaan, ligt de drempel hoger. Artikel 34 vraagt een mededeling aan de betrokkene als het datalek waarschijnlijk een hoog risico inhoudt. Hoef je niet bij de AP te melden, dan hoef je de betrokkenen ook niet te informeren.
De mededeling doe je onverwijld en in duidelijke taal: wat er is gebeurd, de waarschijnlijke gevolgen, je maatregelen en een contactpunt. De AP adviseert op de pagina zo informeert u slachtoffers over een datalek vaktaal te vermijden en meteen te zeggen dat de gegevens van de lezer zijn geraakt.
Artikel 34 lid 3 noemt drie situaties: de gegevens waren vooraf onbegrijpelijk gemaakt, bijvoorbeeld door versleuteling; je hebt achteraf gezorgd dat het hoge risico zich waarschijnlijk niet meer voordoet; of individueel informeren vergt een onevenredige inspanning, en dan komt er een openbare mededeling voor in de plaats.
De Uitvoeringswet AVG voegt daar in de artikelen 41 en 42 Nederlandse uitzonderingen aan toe. Zo geldt artikel 34 niet voor financiële ondernemingen in de zin van de Wet op het financieel toezicht; de melding aan de AP geldt voor hen wel.
De termijn van 72 uur begint niet bij het incident, maar op het moment dat je er kennis van hebt. De Europese toezichthouders leggen in hun richtsnoeren 9/2022 over de melding van datalekken uit dat je kennis hebt zodra je met een redelijke mate van zekerheid weet dat persoonsgegevens zijn gecompromitteerd. Een eerste onderzoek mag, als het zo snel mogelijk begint.
Artikel 33 lid 3 noemt vier onderdelen: de aard van de inbreuk, waar mogelijk met de categorieën en het aantal betrokkenen en records bij benadering; de contactgegevens van de functionaris gegevensbescherming of een ander contactpunt; de waarschijnlijke gevolgen; en de maatregelen die je hebt genomen of voorstelt. Weet je nog niet alles, dan mag je de informatie zonder onredelijke vertraging in stappen aanleveren. Meld je later dan 72 uur, dan geef je de reden voor de vertraging erbij.
Artikel 33 lid 5 verplicht je alle inbreuken te documenteren: de feiten, de gevolgen en de corrigerende maatregelen. Daarmee kan de toezichthouder controleren of je de meldplicht naleeft. De Europese toezichthouders moedigen aan daarvoor een intern register bij te houden, ook van inbreuken die je niet hoefde te melden. De AP biedt op haar pagina over datalekken een voorbeeld van zo'n datalekregister.
Een bruikbare regel bevat de feiten en het moment van ontdekking, de soorten gegevens en de groepen mensen, de oorzaak, je risicoafweging met de reden waarom je wel of niet hebt gemeld, en de maatregelen.
Het datalekregister is iets anders dan het verwerkingsregister, dat beschrijft wat je organisatie met persoonsgegevens doet. Daarover gaat Verwerkingsregister: wat erin moet, met een voorbeeld voor AI-tools.
De meldplicht rust op de verwerkingsverantwoordelijke: de organisatie die bepaalt waarom en hoe de gegevens worden verwerkt. Ontstaat het lek bij een verwerker, zoals een salarisverwerker of een softwareleverancier, dan moet die jou volgens artikel 33 lid 2 zonder onredelijke vertraging informeren. De risicoafweging en de melding blijven van jou.
Spreek daarom in de verwerkersovereenkomst af hoe snel en met welke informatie een leverancier een incident meldt. Waar je bij AI-aanbieders op let, staat in de verwerkersovereenkomst met een AI-aanbieder.
De AP schrijft dat zij een boete kan opleggen als je een datalek ten onrechte niet meldt, en dat zij je kan verplichten de betrokkenen alsnog te informeren. De plichten uit de artikelen 33 en 34 vallen onder artikel 83 lid 4 van de AVG. Dat lid kent een maximum van 10 miljoen euro of, voor een onderneming, 2 procent van de wereldwijde jaaromzet in het voorgaande boekjaar, als dat bedrag hoger is.
Dat zijn maxima uit de wettekst, geen gebruikelijke bedragen. De hoogte in een concreet geval hangt af van de omstandigheden. Welke sancties de AP verder heeft, van een berisping tot een last onder dwangsom, staat op haar pagina boetes en andere sancties.
PrivaSearch richt zich op één oorzaak uit dit artikel: het dossier dat in zijn geheel naar een AI-dienst gaat omdat iemand een vraag beantwoord wil hebben. In PrivaSearch worden persoonsgegevens in documenten eerst herkend en vervangen door pseudoniemen. Een collega ziet het origineel naast de gepseudonimiseerde tekst en keurt goed. Pas daarna is een document doorzoekbaar. De stappen staan op hoe PrivaSearch werkt.
Een gekoppelde AI-assistent zoekt alleen in die vrijgegeven passages en krijgt geen originele bestanden, bestandsnamen of links. Koppelen kan met Claude, ChatGPT Business en Mistral Vibe (voorheen Le Chat). Toegang loopt per project, en handelingen worden gelogd. Meer daarover staat op ChatGPT, Claude, Mistral Vibe en de AVG.
Er zijn grenzen. Automatische herkenning is nooit volledig; daarom is de review verplicht. Wat een medewerker zelf in een assistent typt, gaat rechtstreeks naar de aanbieder daarvan. En gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens: de meldplicht, de risicoafweging en het register blijven van jou. Wat er misgaat bij ongecontroleerd gebruik, lees je op de risico's van AI op je dossiers.
Wil je zien hoe dat er met een eigen soort dossier uitziet, vraag dan een demo aan.
Een datalek is een incident waarbij persoonsgegevens door een fout in de beveiliging verloren gaan, worden veranderd of bij iemand terechtkomen die ze niet had mogen zien. Het hoeft geen aanval te zijn. Een e-mail naar het verkeerde adres, een verloren laptop zonder versleuteling of een map die voor iedereen openstaat, zijn net zo goed datalekken.
Nee. Je meldt een datalek tenzij het niet waarschijnlijk is dat het een risico oplevert voor de mensen over wie de gegevens gaan. Die inschatting maak je zelf, aan de hand van onder meer de gevoeligheid van de gegevens, de herleidbaarheid en de ontvanger. Bij twijfel adviseert de toezichthouder om wel te melden. Vastleggen in je eigen register moet altijd.
Zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat je van het datalek weet. De termijn begint dus op het moment dat je met redelijke zekerheid weet dat persoonsgegevens zijn geraakt, niet bij het incident zelf. Meld je later, dan geef je de reden voor de vertraging erbij. Informatie die je nog mist, mag je daarna in stappen aanvullen.
Een datalek melden doe je via het meldloket op de website van de Autoriteit Persoonsgegevens. Je beschrijft wat er is gebeurd, welke soorten gegevens en hoeveel mensen het ongeveer raakt, de waarschijnlijke gevolgen en de maatregelen die je hebt genomen. Via hetzelfde loket kun je een eerdere melding aanvullen, aanpassen of intrekken als uit je onderzoek iets anders blijkt.
Ja, als er persoonsgegevens in stonden. Het is een inbreuk op de vertrouwelijkheid, ook als het een vergissing was. Of je het moet melden, hangt af van de inhoud en van de ontvanger. Een afspraakbevestiging weegt anders dan een loonstrook met een BSN. Leg je afweging in beide gevallen vast.
Een beveiligingsincident is elke gebeurtenis waarbij de beveiliging is of dreigde te worden doorbroken. Het wordt een datalek als daardoor persoonsgegevens zijn vernietigd, verloren, gewijzigd of ongeoorloofd verstrekt of ingezien. Een tegengehouden inbraakpoging of een storing zonder gevolgen voor persoonsgegevens is dus wel een incident, maar geen datalek.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →