Wat is een datalek?

Uitleg in gewone taal

Een datalek hoeft geen hack te zijn. Ook een gestolen laptop zonder versleuteling, een verkeerd geadresseerde e-mail met een bijlage vol klantgegevens, of een medewerker die per ongeluk het verkeerde dossier deelt, telt mee.

De AVG onderscheidt lekken die wel en niet gemeld moeten worden aan de Autoriteit Persoonsgegevens — en soms ook aan de betrokkenen zelf — afhankelijk van het risico voor hen.

Waarom is dit belangrijk?

Een datalek dat niet (op tijd) gemeld wordt, kan een organisatie duurder komen te staan dan het lek zelf: de meldplicht geldt binnen 72 uur na ontdekking, en het niet naleven daarvan is zelf al een overtreding van de AVG.

• Kan leiden tot identiteitsfraude of schade voor betrokkenen
• Niet (tijdig) melden is een aparte overtreding, los van het lek zelf
• Vertrouwen herstellen na een lek kost vaak meer tijd dan het lek zelf

Voorbeeld uit de praktijk

Een onderwijsinstelling verstuurde per ongeluk een e-mail naar de hele mailinglijst in plaats van naar één ontvanger, met een bijlage die cijferlijsten van leerlingen bevatte. Omdat er een vast protocol was — direct intrekken waar mogelijk, betrokkenen informeren, melding bij de Autoriteit Persoonsgegevens binnen 72 uur — bleef de impact beperkt.

Wat kunt u als organisatie doen?

• Stel vooraf een protocol datalekken op: wie meldt, aan wie, en binnen welke termijn
• Beperk schade met versleuteling en toegangsbeperking, zodat een verloren apparaat geen lek hoeft te worden
• Leer van elk incident: pas processen aan zodat hetzelfde niet nog eens gebeurt
• Combineer dit met een goede back-upstrategie voor als data toch verloren gaat

Gerelateerde onderwerpen

• Wat is de AVG?
• Wat is een dreiging?
• Checklist AVG/NIS2