Datalek: wanneer moet je het melden en wat doe je eerst?
Een verkeerd geadresseerde mail met een klantenlijst, een gestolen laptop zonder versleuteling, een gehackt mailaccount: dat zijn datalekken. De AVG geeft je 72 uur om te melden bij de Autoriteit Persoonsgegevens — maar de eerste uren bepalen de schade.
Stappenplan
- 1
Stop het lek
Wachtwoord wijzigen, account blokkeren, gedeelde link intrekken, toestel op afstand wissen. Bel ons direct: hoe sneller de toegang dicht is, hoe kleiner het lek. Bewaar wél de sporen — verwijder geen mails of logboeken.
- 2
Breng in kaart wát er is gelekt
Welke gegevens, van hoeveel mensen, en waren ze versleuteld? Een gestolen laptop met BitLocker is meestal géén meldplichtig lek; dezelfde laptop zonder versleuteling wel. Schrijf op wat je weet en wanneer je het ontdekte — die tijdstippen worden gevraagd.
- 3
Meld binnen 72 uur bij de Autoriteit Persoonsgegevens
Is er een risico voor de betrokkenen (identiteitsfraude, financiële schade, reputatie), dan meld je binnen 72 uur na ontdekking via het meldloket van de AP. Weet je nog niet alles? Meld toch en vul later aan — te laat melden is erger dan onvolledig melden.
- 4
Informeer de mensen om wie het gaat bij een hoog risico
Gaat het om wachtwoorden, financiële gegevens, medische informatie of BSN's, dan moet je de betrokkenen zelf ook informeren: wat er is gebeurd, wat het voor hen betekent en wat ze kunnen doen (wachtwoord wijzigen, alert zijn op phishing).
- 5
Leg het vast in je datalekregister
Élk datalek — ook het kleine dat je niet hoeft te melden — hoort in je eigen register: wat, wanneer, gevolgen, maatregelen. Dat register vraagt de AP bij een controle als eerste.
Tip: De meeste datalekken beginnen met een phishingmail. Investeer in MFA en in het herkennen van phishing (zie het artikel daarover) — dat voorkomt meer dan welke procedure ook.
Was dit artikel nuttig?
Gerelateerde artikelen
Kom je er niet uit?
Maak een ticket aan of bel ons — we kijken zo met je mee.