Binnen welke termijn moet ik een datalek melden bij de GBA?

Als verwerkingsverantwoordelijke moet je een meldingsplichtig datalek in principe binnen 72 uur na kennisname melden bij de Gegevensbeschermingsautoriteit. Lukt dat niet, dan mag je later melden, maar moet je de vertraging motiveren. Een onvolledige melding mag je in fasen aanvullen zodra je meer informatie hebt.

Wanneer moet ik de getroffen personen zelf informeren?

Wanneer het datalek een hoog risico inhoudt voor de betrokkenen, moet je hen ook rechtstreeks informeren in duidelijke en eenvoudige taal. Je legt uit wat er gebeurd is, welke gegevens betrokken zijn, wat de mogelijke gevolgen zijn en welke maatregelen je neemt.

Wat riskeer ik als ik een datalek niet meld?

Het niet of laattijdig melden van een datalek is een inbreuk op de AVG en kan leiden tot een onderzoek en sancties door de GBA, gaande van een berisping tot een geldboete. De hoogte hangt af van de ernst en de omstandigheden; een advocaat kan je risico inschatten en je dossier mee opbouwen.

Wat is precies een datalek?

Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Dat kan een hacking zijn, maar ook een verloren laptop, een verkeerd verstuurde e-mail of een gestolen dossier op papier.

Datalek melden bij de Gegevensbeschermingsautoriteit: stappenplan

Q: Moet ik elk datalek melden?

Nee. Je moet enkel melden wanneer het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Bij een laag of onbestaand risico hoef je niet te melden bij de GBA, maar je moet het incident wel intern registreren. De inschatting van het risico hangt af van je concrete situatie; laat dit bij twijfel nakijken.

Persoonsgegevens gelekt, gestolen of per ongeluk verloren? Een datalek met risico voor de betrokkenen moet je als verwerkingsverantwoordelijke in principe binnen 72 uur na kennisname melden bij de Gegevensbeschermingsautoriteit (GBA). Houdt het lek een hoog risico in, dan moet je ook de getroffen personen zelf informeren. Elk incident leg je bovendien intern vast, ook de gevallen die je niet meldt.

In dit artikel lees je wanneer je moet melden, hoe je dat stap voor stap doet en waarop je let om sancties onder de AVG te vermijden.

Wat is een datalek precies?

Een datalek (of “inbreuk in verband met persoonsgegevens”) is volgens de AVG elke inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Het gaat dus niet alleen om cyberaanvallen.

Typische voorbeelden zijn:

Een hacking of ransomware-aanval op je systemen.
Een verloren of gestolen laptop, gsm of USB-stick met klantgegevens.
Een e-mail met persoonsgegevens die naar de verkeerde ontvanger gaat.
Een papieren dossier dat zoekraakt of bij het verkeerde afval belandt.
Per ongeluk gewiste gegevens zonder back-up.

Zodra persoonsgegevens betrokken zijn, kan er sprake zijn van een datalek, ongeacht of het om een digitaal of fysiek incident gaat.

Moet ik elk datalek melden bij de GBA?

Nee. Je moet melden wanneer het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Houdt het lek geen of slechts een verwaarloosbaar risico in, dan hoef je het niet aan de GBA te melden, maar moet je het wel intern registreren.

Of er een risico is, beoordeel je op basis van factoren zoals:

De aard van de gegevens (gewone gegevens versus gevoelige gegevens zoals gezondheid, financiën of identiteit).
Het aantal betrokken personen.
De mogelijke gevolgen, zoals identiteitsfraude, financiële schade of reputatieschade.
Of de gegevens al dan niet versleuteld of onleesbaar waren.

Die risicobeoordeling is vaak een juridisch-technische afweging. Twijfel je of je moet melden, dan laat je dit best nakijken; in de praktijk kiezen veel organisaties bij twijfel voor melden.

Hoe meld ik een datalek binnen 72 uur?

Houdt het datalek een risico in, dan meld je het binnen 72 uur na kennisname bij de GBA. De klok begint te lopen op het moment dat je redelijkerwijs op de hoogte bent van het lek, niet pas wanneer het onderzoek is afgerond.

Je meldt via het meldingsformulier op de website van de Gegevensbeschermingsautoriteit. Een melding bevat in de regel:

Een omschrijving van de aard van het datalek.
De categorieën en het geschatte aantal betrokken personen en gegevens.
De gegevens van je contactpunt (bijvoorbeeld je functionaris voor gegevensbescherming/DPO).
De waarschijnlijke gevolgen van het lek.
De maatregelen die je hebt genomen of voorstelt om het lek aan te pakken en de gevolgen te beperken.

Heb je nog niet alle informatie binnen de 72 uur? Dan mag je een eerste melding doen en die later aanvullen. Lukt het niet om binnen 72 uur te melden, dan moet je de vertraging kunnen motiveren. Voor een correcte en volledige melding kan een advocaat ICT-recht je begeleiden.

Wanneer moet ik de betrokkenen zelf informeren?

Naast de melding aan de GBA moet je in bepaalde gevallen ook de getroffen personen rechtstreeks informeren. Dat is verplicht wanneer het datalek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden.

Je informeert hen in duidelijke en eenvoudige taal en legt minstens uit:

Wat er gebeurd is en welke gegevens betrokken zijn.
Wat de mogelijke gevolgen kunnen zijn.
Welke maatregelen je neemt en wat zij zelf kunnen doen (bijvoorbeeld een wachtwoord wijzigen of waakzaam zijn voor phishing).

In sommige gevallen mag je individuele communicatie vervangen door een algemene mededeling, bijvoorbeeld wanneer rechtstreeks contact onevenredig veel moeite zou kosten. Die uitzonderingen zijn beperkt en hangen af van je concrete situatie.

Welke sancties riskeer ik bij een datalek?

Het niet, onvolledig of laattijdig melden van een datalek is een inbreuk op de AVG. De GBA kan een onderzoek openen en verschillende maatregelen opleggen, van een berisping of bevel tot een geldboete. De hoogte van een sanctie hangt af van factoren zoals de ernst van het lek, de mate van nalatigheid en de samenwerking met de toezichthouder.

Belangrijk: ook de manier waarop je het lek hebt voorkomen en aangepakt speelt mee. Een organisatie die kan aantonen dat ze redelijke beveiligingsmaatregelen had en snel en correct reageerde, staat sterker. We geven hier bewust geen exacte bedragen, omdat die sterk afhangen van de omstandigheden; laat je risico inschatten door een specialist.

Hoe bereid ik me voor op een datalek?

De beste aanpak is preventief. Zorg dat je vooraf een interne procedure klaar hebt zodat je bij een incident snel kunt schakelen. Denk aan:

Een register van datalekken waarin je elk incident documenteert, ook de niet-gemelde.
Duidelijke interne afspraken over wie wat doet en wie de GBA contacteert.
Beveiligingsmaatregelen zoals versleuteling, toegangsbeheer en back-ups.
Bewustmaking van je medewerkers, want veel lekken ontstaan door menselijke fouten.

Wil je je organisatie indekken of sta je middenin een incident? Bekijk in onze gids de specialisten in privacy en gegevensbescherming of laat je via een gratis match koppelen aan een advocaat ICT-recht. Voor de bredere context van de rechten van betrokkenen lees je ook ons artikel over GDPR-privacyrechten.