Het datalek: wat telt, wat 72 uur betekenen — en de ene reflex die alles redt
De meeste datalekken zien er niet uit als een hack. Ze zien eruit als een dinsdagmiddag: een groepsmail met open adressenlijst, een loonstrook naar het verkeerde adres, een laptop in de trein. Wat dan telt is niet de fout — maar of de organisatie binnen 72 uur kan handelen. En dat wordt beslist in de eerste minuut: bij het melden.
Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op
Wat een datalek is — de eerlijke definitie
De wet spreekt van een „inbreuk in verband met persoonsgegevens”: elke gebeurtenis die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens — per ongeluk of opzettelijk. De mkb-klassiekers:
| Voorval | Datalek? |
|---|---|
| Groepsmail aan klanten met alle adressen in CC in plaats van BCC | Ja — verstrekking van de adressen aan alle ontvangers |
| Loonstrook of offerte naar de verkeerde ontvanger | Ja |
| Onversleutelde laptop of usb-stick kwijt | Ja |
| Klantenlijst ingevoerd in een openbare AI-tool | Ja — doorgifte aan een derde zonder grondslag |
| Netjes versleutelde laptop kwijt, sleutel veilig | Voorval vastleggen; risico vaak gering |
De 72-uurstermijn — en wanneer die begint
Meldplichtige lekken moeten binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens worden gemeld (art. 33, via het meldloket datalekken). Twee punten worden stelselmatig onderschat. Ten eerste: de klok start zodra iemand in het bedrijf het voorval kent — niet pas wanneer de directie het hoort. Ten tweede: niet elk lek is meldplichtig — de melding vervalt als het lek waarschijnlijk geen risico voor de betrokkenen oplevert. Die beoordeling maakt de verantwoordelijke persoon, niet degene aan het bureau. Bij hoog risico komt daar de mededeling aan de betrokkenen zelf bij (art. 34).
De reflex die alles redt: direct intern melden
Wil de verantwoordelijke persoon binnen 72 uur kunnen beoordelen en melden, dan geldt voor alle anderen precies één regel: direct intern melden — wat is er gebeurd, welke gegevens, sinds wanneer. En opdat die reflex werkt, telt de tweede regel net zo zwaar: eerlijk en direct melden levert nooit problemen op. Een verzwegen lek ontneemt het bedrijf elke reactiemogelijkheid — dát is het echte risico, niet de tikfout in het adresveld.
Wat er in die 72 uur concreet gebeurt
Indammen (toegang blokkeren, ontvangers om verwijdering vragen — eerlijk blijven: wissen werkt alleen vooruit), beoordelen (risico voor de betrokkenen?), beslissen (melden of niet), vastleggen. De documentatieplicht geldt altijd — ook voor lekken die niet gemeld hoeven te worden (art. 33 lid 5): voorval, gevolgen, herstel. Dat interne register is later uw bewijs dat de organisatie werkt.
Voorbereiding verslaat improvisatie
72 uur zijn ruim voldoende — als drie dingen vooraf staan: een benoemd aanspreekpunt dat iedereen kent; een team dat lekken herkent en zonder angst meldt (precies wat een privacytraining traint); en het meldloket van de AP binnen handbereik. Wie dat pas op de dag van het lek opzoekt, verliest de halve termijn aan uitzoekwerk.
Het startpunt
De gratis check van 2 minuten laat zien of uw meldbasis staat. In het abonnement (vanaf € 49/maand) traint uw team de meldreflex met een verifieerbaar bewijs per persoon — inclusief uw eigen aanspreekpunt direct in de cursus.
Veelgestelde vragen
Wanneer begint de 72-uurstermijn bij een datalek?
Bij kennisname binnen het bedrijf — zodra iemand het voorval opmerkt, niet pas wanneer de directie is geïnformeerd. Daarom is de interne directmelding de belangrijkste losse maatregel in het hele proces.
Moet elk datalek bij de Autoriteit Persoonsgegevens worden gemeld?
Nee. De melding vervalt als het lek waarschijnlijk geen risico voor de betrokkenen oplevert — bijvoorbeeld het verlies van een netjes versleuteld apparaat. Vastgelegd moet elk lek worden, ook het niet-meldplichtige (art. 33 lid 5 AVG).
Waar staat uw bedrijf?
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratisArtikel 33 AVG — melding aan de toezichthoudende autoriteit
Autoriteit Persoonsgegevens — meldloket datalekken