Een medewerker verstuurt per ongeluk een bestand met klantgegevens naar de verkeerde ontvanger. Of een ICT-leverancier meldt dat een mailbox mogelijk is ingezien. De vraag is dan niet alleen wat er technisch is gebeurd, maar vooral: wie meldt datalekken, bij welke instantie en binnen welke termijn? Voor mkb-bedrijven is een duidelijke taakverdeling cruciaal. Te laat of onnodig melden veroorzaakt onrust, terwijl niet melden serieuze gevolgen kan hebben voor betrokkenen én de onderneming.

Een datalek vraagt om rust, feiten en regie. Niet ieder beveiligingsincident hoeft bij de Autoriteit Persoonsgegevens te worden gemeld, maar ieder vermoeden van een datalek verdient wel beoordeling en registratie.

Wanneer is sprake van een datalek?

Onder de AVG is een datalek een inbreuk op de beveiliging die leidt tot verlies, wijziging, ongeoorloofde verstrekking of ongeoorloofde toegang tot persoonsgegevens. Het gaat dus niet alleen om een gehackte server. Ook een kwijtgeraakte laptop zonder goede versleuteling, een verkeerd geadresseerde e-mail met loonstroken of een USB-stick met klantdata kan een datalek zijn.

De term persoonsgegevens is breed. Namen, e-mailadressen, telefoonnummers en klantnummers vallen eronder als zij herleidbaar zijn tot een persoon. Bijzondere persoonsgegevens, zoals medische gegevens, kopieën van identiteitsbewijzen of informatie over verzuim, vragen om extra zorg. Ook financiële gegevens, wachtwoorden en inloggegevens kunnen bij misbruik grote gevolgen hebben.

Een technische storing is niet automatisch een datalek. Is een bedrijfsapplicatie een uur niet bereikbaar, maar zijn persoonsgegevens niet verloren gegaan, niet gewijzigd en niet toegankelijk geweest voor onbevoegden? Dan is er mogelijk sprake van een continuïteitsprobleem, maar niet per se van een datalek. Andersom kan een klein incident wel degelijk een datalek zijn als bijvoorbeeld één verkeerd ontvangen salarisstrook voldoende privacyrisico oplevert.

Wie meldt datalekken volgens de AVG?

De hoofdregel is helder: de verwerkingsverantwoordelijke beoordeelt het incident en doet, wanneer nodig, de melding bij de Autoriteit Persoonsgegevens. In veel mkb-bedrijven is dat de onderneming zelf, vertegenwoordigd door de directie of een aangewezen verantwoordelijke. De verwerkingsverantwoordelijke bepaalt namelijk waarom en hoe persoonsgegevens worden verwerkt, bijvoorbeeld voor personeelsadministratie, klantbeheer of nieuwsbrieven.

Een externe ICT-partij, salarisverwerker, cloudleverancier of marketingbureau is vaak verwerker. Die partij verwerkt persoonsgegevens namens het bedrijf en meldt het incident daarom niet zelfstandig bij de Autoriteit Persoonsgegevens namens de klant. Wel moet de verwerker het vermoeden of incident zonder onredelijke vertraging aan de verwerkingsverantwoordelijke doorgeven. Alleen dan kan het bedrijf zelf de risico’s beoordelen en tijdig handelen.

Dat onderscheid lijkt eenvoudig, maar contracten maken het in de praktijk soms onduidelijk. Een leverancier kan voor sommige diensten verwerker zijn, maar voor eigen doeleinden ook zelfstandig verwerkingsverantwoordelijke. Denk aan een softwareleverancier die gebruiksgegevens inzet voor eigen productontwikkeling. Leg rollen en meldafspraken daarom vooraf vast in de verwerkersovereenkomst en dienstverleningsovereenkomst.

De rol van directie, IT, HR en leveranciers

De directie blijft eindverantwoordelijk voor de organisatie en de keuzes rond privacyrisico’s. Dat betekent niet dat de directeur ieder incident zelf technisch moet onderzoeken. IT verzamelt vaak de technische feiten, HR beoordeelt de gevoeligheid van personeelsgegevens en de privacycontactpersoon of functionaris voor gegevensbescherming adviseert over de AVG-verplichtingen.

De beste werkwijze is een vast incidentteam met een kleine, bereikbare groep mensen. Spreek af wie incidenten ontvangt, wie de leverancier aanstuurt, wie de impact beoordeelt en wie bevoegd is om extern te melden. Zeker buiten kantooruren moet duidelijk zijn wie beslist als de termijn begint te lopen.

Wanneer moet u melden aan de Autoriteit Persoonsgegevens?

Een melding aan de Autoriteit Persoonsgegevens is nodig wanneer het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen. De melding moet in beginsel binnen 72 uur nadat de organisatie kennis heeft genomen van het datalek plaatsvinden.

Die 72 uur zijn geen hersteltijd voor de ICT-afdeling. De klok begint zodra de organisatie voldoende aanwijzingen heeft dat er een datalek kan zijn. U hoeft op dat moment nog niet alle feiten te kennen. Is het onderzoek nog niet afgerond, dan kan aanvullende informatie later worden aangeleverd. Wachten tot ieder technisch detail vaststaat, is meestal geen verstandige keuze.

Niet elk datalek hoeft aan de Autoriteit Persoonsgegevens te worden gemeld. Als het onwaarschijnlijk is dat het incident een risico oplevert voor betrokkenen, kan een melding achterwege blijven. Een voorbeeld is een e-mail die direct wordt teruggeroepen en aantoonbaar ongeopend blijft, mits de gegevens beperkt en niet gevoelig waren. Maar ook dan moet het incident worden gedocumenteerd.

Bij de risicobeoordeling tellen onder meer het soort gegevens, de omvang, de ontvanger, de beveiliging en de mogelijke gevolgen mee. Waren gegevens versleuteld met een goed beheerde sleutel die niet is buitgemaakt, dan kan het risico aanzienlijk lager zijn. Gingen inloggegevens, identiteitsdocumenten of medische gegevens verloren, dan is terughoudendheid juist gevaarlijk.

Wanneer informeert u de betrokkenen?

Naast een melding aan de Autoriteit Persoonsgegevens moet een organisatie de betrokken personen informeren als sprake is van een hoog risico voor hun rechten en vrijheden. Die communicatie moet helder en zonder onnodige vertraging plaatsvinden. Betrokkenen moeten weten wat er is gebeurd, welke gegevens mogelijk geraakt zijn, welke gevolgen denkbaar zijn en welke maatregelen zij zelf kunnen nemen.

Bij een mogelijk gelekt wachtwoord kan dat betekenen dat iemand direct het wachtwoord moet wijzigen en extra alert moet zijn op phishing. Bij gelekte betaalgegevens kan het advies zijn om bankafschriften te controleren. Vermijd technische taal en vage geruststellingen. Mensen moeten hun eigen risico kunnen inschatten.

Soms is individuele communicatie niet nodig. Bijvoorbeeld wanneer de gegevens door passende versleuteling voor onbevoegden onleesbaar zijn gebleven, wanneer het risico na het incident effectief is weggenomen of wanneer individuele benadering onevenredig veel inspanning vraagt en een openbare mededeling even effectief is. Die uitzonderingen vragen wel om een goed onderbouwde afweging.

Een werkbare aanpak in de eerste 72 uur

Een incident raakt vaak meerdere belangen tegelijk: bedrijfscontinuïteit, privacy, reputatie, contractuele afspraken en mogelijke aansprakelijkheid. Daarom werkt improviseren zelden goed. Richt een kort, vast proces in dat medewerkers kennen en leveranciers kunnen volgen.

Bij een vermoeden van een datalek zijn vier acties nodig:

• Beperk eerst de schade. Trek toegangen in, wijzig wachtwoorden, blokkeer een verkeerd gedeelde link of laat een apparaat op afstand wissen waar dat mogelijk is.
• Leg feiten vast. Noteer wanneer het incident is ontdekt, welke systemen en gegevens betrokken zijn, wie toegang kan hebben gehad en welke maatregelen zijn genomen.
• Beoordeel het privacyrisico. Kijk naar de gevoeligheid, de aantallen betrokkenen, de kans op misbruik en de praktische gevolgen voor mensen.
• Beslis en documenteer. Bepaal of een melding aan de Autoriteit Persoonsgegevens en communicatie aan betrokkenen nodig zijn. Leg ook de redenen vast wanneer u niet meldt.

De volgorde is niet altijd strikt. Technisch onderzoek en juridische beoordeling lopen vaak naast elkaar. Wat wel helpt, is één dossier per incident. Daarin bewaart u e-mails van leveranciers, logbestanden, tijdlijnen, risicobeoordelingen, besluiten en conceptcommunicatie. Dat voorkomt dat belangrijke informatie verdwijnt wanneer de druk hoog is.

Het datalekregister is geen administratieve bijzaak

De AVG verlangt dat organisaties alle datalekken documenteren, ook de incidenten die niet bij de Autoriteit Persoonsgegevens worden gemeld. Dit register laat zien dat u signalen serieus neemt en zorgvuldig afweegt. Bij een controle moet duidelijk zijn wat er is gebeurd, welke gegevens betroffen waren, wat de gevolgen konden zijn en welke herstelmaatregelen zijn genomen.

Gebruik het register niet alleen voor verantwoording achteraf. Terugkerende incidenten laten meestal een onderliggend probleem zien. Veel verkeerd geadresseerde e-mails kunnen wijzen op onvoldoende controle in werkprocessen. Herhaalde phishingmeldingen kunnen vragen om betere training, sterkere toegangsbeveiliging of multifactor-authenticatie. Een leverancier die laat meldt, kan een contractueel risico vormen.

Daar ligt ook een zakelijke kans. Door incidenten te analyseren, investeert u gerichter. Niet ieder risico vraagt om een nieuw softwarepakket of een groot securityproject. Soms zijn duidelijke autorisaties, een betere contractafspraak of een praktische werkinstructie effectiever en betaalbaarder.

Leg afspraken met ICT-leveranciers vooraf vast

Veel mkb-bedrijven zijn voor hun infrastructuur, back-ups, werkplekken en cloudsoftware afhankelijk van externe partijen. Dat maakt goede afspraken over datalekken onmisbaar. Een leverancier moet niet eerst intern overleggen terwijl uw meldtermijn doorloopt.

Neem in verwerkersovereenkomsten en relevante leverancierscontracten op binnen welke termijn een leverancier een incident meldt, via welk noodnummer of e-mailadres, welke informatie direct beschikbaar moet zijn en hoe onderzoek en communicatie worden afgestemd. Een afspraak als ‘zo spoedig mogelijk’ is vaak te vaag. Vraag om een concrete termijn die u voldoende ruimte geeft om zelf binnen 72 uur te beoordelen en te melden.

Controleer ook of uw leverancier logbestanden kan aanleveren, of back-ups beschermd zijn en wie verantwoordelijk is voor herstel. Contractmanagement en cybersecurity zijn hierbij geen losse onderwerpen. Ze bepalen samen of u tijdens een incident de informatie, invloed en snelheid heeft die nodig zijn.

Maak melden onderdeel van goed bestuur

Een datalek laat zien of verantwoordelijkheden in de praktijk werken. Medewerkers moeten een fout durven melden zonder angst voor schuldvragen. Leveranciers moeten weten dat snelheid en openheid verwacht worden. En de directie moet kunnen rekenen op een proces dat technische signalen omzet in een onderbouwd besluit.

Wacht daarom niet op het eerste serieuze incident. Bespreek één realistisch scenario met IT, HR en uw belangrijkste leverancier, test wie welke stap zet en pas afspraken aan waar ze onduidelijk blijken. Zo wordt een datalek geen chaotisch crisismoment, maar een beheersbaar risico waarvoor uw organisatie voorbereid is.