Een medewerker stuurt een offerte naar een klant. Pas na het versturen ziet ze het: in de bijlage zat ook een lijst met namen en adressen van andere klanten. Of de laptop van de zaak blijft achter in de trein.
Dan komen de vragen. Is dit een datalek? Moeten we dit melden? En bij wie? Veel ondernemers weten dat er regels voor zijn, maar niet precies welke. Dat is heel normaal.
Wat een datalek is
Persoonsgegevens zijn gegevens over mensen, zoals namen, adressen en telefoonnummers. Volgens de Autoriteit Persoonsgegevens (AP), die toezicht houdt op privacy, is er een datalek als de beveiliging van persoonsgegevens tekortschiet. Daardoor kan iemand erbij die daar niet bij mag, of raken de gegevens kwijt, worden ze veranderd of vernietigd. Dat kan door een aanval gebeuren, maar ook door een vergissing. De AP noemt als voorbeelden:
- gegevens die naar de verkeerde persoon zijn gestuurd;
- een usb-stick of apparaat dat kwijt is, met gegevens die niet versleuteld (met een code beveiligd) zijn;
- een cyberaanval waarbij gegevens zijn gestolen;
- gijzelsoftware die bestanden met persoonsgegevens op slot heeft gezet.
De klok loopt: 72 uur
Moet je een datalek melden, dan doe je dat binnen 72 uur bij de AP. Die tijd begint zodra je redelijk zeker weet dat er persoonsgegevens zijn geraakt. Het weekend telt mee: volgens de AP zijn weekend, vakantie of drukte geen geldige reden om later te melden.
Je hoeft niet alles te weten om te melden. Bij een ingewikkeld lek doe je binnen 72 uur een eerste melding, en vul je die later aan. Je kunt een melding ook aanpassen of intrekken. Melden gaat alleen online, via het meldformulier van de AP.
Niet elk datalek hoef je te melden. Is het niet waarschijnlijk dat het risico oplevert voor de mensen om wie het gaat, dan meld je het niet bij de AP. Maar vastleggen in je eigen datalekregister (een lijst van alle datalekken) doe je altijd, ook als je niet meldt. Is het risico hoog, dan informeer je ook de mensen zelf.
Hoe wij erover denken
Een datalek kan elk bedrijf overkomen. Wat telt, is wat je daarna doet: snel handelen, volgens een paar vaste stappen.
Melden zonder verwijt. De AP verwacht dat je medewerkers een incident op tijd melden bij de juiste persoon. Een medewerker die bang is voor een reactie, meldt het later of niet. Zeg daarom hardop dat je het liever te vaak dan te laat hoort.
Beslis met een paar vragen, niet op gevoel. De AP helpt je met factoren om het risico in te schatten. Welke gegevens zijn het? Hoeveel mensen gaat het om? Wie heeft ze nu? Waren ze versleuteld? Twijfel je daarna nog, dan raadt de AP aan om toch te melden.
Voorbereiden is klein werk. Voor een klein bedrijf is een afspraak over wie beslist, plus een eenvoudig register, meestal genoeg. Dat kost weinig tijd en scheelt veel gedoe als het zover is.
Hoe je je voorbereidt, bepaal jij. De meldplicht zelf ligt vast, maar hoe je dat in je bedrijf regelt, mag passen bij je omvang.
Vragen om jezelf te stellen
Wat je zelf kunt doen, op hoofdlijnen
De AP heeft een stappenplan. In gewone taal komt het hierop neer:
- Zorg voor overzicht. Wat is er gebeurd, welke gegevens, om hoeveel mensen gaat het, en is het nog bezig?
- Stop het lek en beperk de schade. Vraag een verkeerde ontvanger om de mail te verwijderen en dat te bevestigen. Wis een kwijtgeraakte laptop of telefoon op afstand. Blokkeer een account dat misbruikt wordt.
- Beslis over melden. Bij de AP binnen 72 uur als het risico oplevert, en bij de mensen zelf als het risico hoog is.
- Leg het vast. Wat er gebeurde, wat de gevolgen waren en wat je hebt gedaan. De AP heeft een voorbeeld van een datalekregister dat je kunt gebruiken.
Gebeurt het lek bij een dienst die gegevens voor je bewaart, zoals je IT-leverancier of een clouddienst? Dan meld jij het toch, tenzij je schriftelijk hebt afgesproken dat die dienst dat namens jou doet.
Waar wij bij helpen
In de +Z Checkup is privacy een van de onderwerpen. We kijken naar de dingen die een lek kleiner maken of voorkomen: weten waar je gegevens staan, versleutelde apparaten, goed inloggen met een tweede inlogstap. Jouw IT-plan laat zien waar je kwetsbaar bent en welke maatregel het eerst komt. Wil je inhoudelijke vragen kunnen bespreken met iemand die je organisatie kent? Dan past Checkup met raadgever.
We zijn geen privacyjurist. Heb je een juridische vraag over een concreet lek, laat je dan adviseren door een jurist of je branchevereniging.
Veelgestelde vragen
Moet ik elk datalek melden?
Nee. Je meldt een datalek bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het risico oplevert voor de mensen om wie het gaat. Vastleggen in je eigen datalekregister doe je wel altijd. Twijfel je, dan raadt de AP aan om te melden.
Het is vrijdagavond. Kan de melding wachten tot maandag?
Meestal niet. De 72 uur lopen door in het weekend. Volgens de AP zijn weekend, vakantie of drukte geen geldige reden om te laat te melden. Weet je nog niet alles? Doe dan een eerste melding en vul die later aan.
Ik weet nog niet precies wat er is gebeurd. Wat nu?
Onderzoek het meteen, en meld binnen 72 uur met wat je al weet. Je kunt je melding later aanvullen, aanpassen of intrekken. Bewaar het meldingsnummer, want dat heb je daarvoor nodig.
Het lek zit bij mijn IT-leverancier of een clouddienst. Wie meldt?
Jij, als het gaat om gegevens die die partij voor jou bewaart. Dat verandert alleen als je schriftelijk hebt afgesproken dat die partij namens jou meldt. Ook dan blijf jij verantwoordelijk.
Bronnen
Autoriteit Persoonsgegevens, Wat is een datalek?: definitie en voorbeelden
Autoriteit Persoonsgegevens, Datalek? Dit moet u doen: stappenplan, schade beperken, datalekregister voor alle datalekken
Autoriteit Persoonsgegevens, Datalek: wel of niet melden: risico inschatten, bij twijfel melden, slachtoffers informeren bij hoog risico
Autoriteit Persoonsgegevens, Zo meldt u een datalek: 72 uur na kennisname, alleen via het meldformulier, aanvullen of intrekken, geen uitstel voor weekend of vakantie, datalek bij een verwerker
Dit artikel geeft algemene uitleg, geen juridisch advies. Ook als je niet voor Insert Z kiest, helpen deze vragen je op weg.
Bijgewerkt op 29 september 2026. Feiten en bronnen nagekeken op die datum.
Lees ook
- Microsoft lag eruit. Kon jij door?
- Datalek bij je ledenadministratie: wat moet je als bestuur doen?
- Privacy (AVG) voor een klein bedrijf: wat is passend?
- Gijzelsoftware: wat helpt het meest?
- Nepmail en betaalfraude: zou jij die valse factuur herkennen?
Voor jouw branche: Taxibedrijf en zorgvervoer · Huidtherapie en salon met medische behandelingen · Apotheek · Mondhygiënistenpraktijk · Verloskundigenpraktijk · alle branches
Voor je vereniging of stichting: Wijkteam-stichting · Mantelzorgsteunpunt · Lokale vluchtelingenhulp · alle verenigingen
Liever iemand spreken over je eigen IT? Bewaar het kaartje van Jorn →
Deel het met wie erover gaat
Ben je zelf bestuurder, of ken je er een? Stuur dit artikel door naar wie over de IT beslist: de eigenaar van het bedrijf waar je werkt, je leidinggevende, of het bestuur van je voetbalclub, vereniging of stichting.
IT op orde is ook in jouw belang. Het beschermt de gegevens van klanten, leden en gebruikers, en het geeft de ondernemer of het bestuur zelf rust.
Help ons groeien. Help anderen.
Advies over IT geven we al jaren. Met de +Z Checkup maken we het nu toegankelijk voor iedere organisatie: eenvoudig en betaalbaar. De Checkup is nieuw, en nog niet veel mensen kennen hem. Daar helpt geen reclame bij, wel mensen die ons doorgeven. Vond je dit nuttig? Volg ons, en deel het met iemand die er iets aan heeft.
Heb je de Checkup al? Breng dan iemand aan met je eigen link in de app. Neemt die de Checkup ook, dan krijgen jullie allebei een maand extra.