Binnen hoeveel uur moet je een datalek melden en wat zijn de gevolgen als je dat vergeet?

Stel je voor: je bent net klaar met je koffie en je krijgt een seintje. Iemand heeft per ongeluk een bestand met klantgegevens gedeeld waar het niet hoorde. Of erger: een hacker heeft een gat gevonden in je systeem.

Je hartslag gaat omhoog. Dit is het moment dat de klok gaat lopen.

Een datalek is niet alleen vervelend, het is een race tegen de klok. In dit artikel lees je precies hoeveel tijd je hebt om te handelen en wat er gebeurt als je die tijd laat glippen.

Wat is een datalek eigenlijk?

Een datalek klinkt technisch, maar het is simpelweg een moment waarop gevoelige informatie niet meer veilig is. Stel je voor dat je een brief met persoonlijke gegevens verliest in de trein, of dat een hacker toegang krijgt tot een database.

Het gaat niet alleen om digitale inbraken; het is elke situatie waarin persoonsgegevens worden blootgestan, vernietigd of verloren raken zonder dat dit de bedoeling was. Denk aan namen, e-mailadressen, burgerservicenummers (BSN), medische dossiers of betaalgegevens. Zodra deze gegevens in verkeerde handen vallen of het risico bestaat dat dit gebeurt, spreken we van een datalek. Het maakt niet uit of het per ongeluk gaat of door kwade opzet; de impact op de betrokkenen kan groot zijn.

De magische grens: 72 uur

Er is één regel die je moet onthouden: de 72-uursregel. In Europa, en dus in Nederland, staat deze tijdlijn centraal in de Algemene Verordening Gegevensbescherming (AVG).

Zodra je als organisatie weet dat er een datalek heeft plaatsgevonden, ben je wettelijk verplicht dit te melden bij de Autoriteit Persoonsgegevens (AP). De klok begint te tikken op het moment dat je het lek ontdekt of een ernstig vermoeden hebt. Deze 72 uur zijn niet bedoeld om rustig na te denken.

Het is een deadline voor actie. Binnen deze tijd moet je:

• Het lek in kaart brengen: wat is er precies gebeurd?
• De schade beperken: zorg dat het gat gedicht is.
• De AP informeren: een melding doen met de benodigde details.

Is het onmogelijk om alles binnen 72 uur uit te zoeken? Geen paniek.

Je kunt de melding al doen met de informatie die je hebt en later aanvullen. Het belangrijkste is dat de toezichthouder snel op de hoogte is. Hoewel de 72-uursregel in Europa standaard is, is dit niet overal zo. In de Verenigde Staten is het een stuk ingewikkelder.

Wereldwijd verschillen

Daar is geen algemene federale wet die een vaste termijn voorschrijft, maar verschillende staten wel. Californië is hier een voorbeeld van: bedrijven die data van Californiërs verwerken, moeten een datalek binnen 72 uur melden aan de California Privacy Protection Agency.

Ook de HIPAA-wetgeving voor de zorgsector in de VS kent specifieke termijnen. In Nederland is de regel helder: de AP is de toezichthouder en de 72 uur zijn heilig.

Wat moet je melden?

Een melding doen is meer dan alleen zeggen "er is een lek".

• Wat voor soort data is gelekt (namen, e-mails, financiële data?).
• Hoeveel mensen zijn getroffen?
• Wat is de waarschijnlijke oorzaak?
• Welke maatregelen heb je genomen om het lek te stoppen?
• Hoe probeer je de schade voor de slachtoffers te beperken?

De Autoriteit Persoonsgegevens wil feiten. In je melding moet je duidelijk maken: Is er een risico op identiteitsfraude of andere serieuze problemen voor de betrokkenen? Bijvoorbeeld bij een datalek door een verkeerd verstuurde e-mail, ben je ook verplicht om hen direct te informeren. Dat voelt vervelend, maar transparantie is cruciaal voor het herstel van vertrouwen.

De gevolgen als je te laat bent

Het niet tijdig melden van een datalek is geen kleine overtreding. Wanneer moet je betrokkenen informeren? De Autoriteit Persoonsgegevens kan in ieder geval flink uitpakken.

De consequenties zijn groter dan alleen een boete; ze kunnen een bedrijf jarenlang achtervolgen. De AP mag boetes opleggen die oplopen tot 10% van de wereldwijde jaaromzet van een bedrijf, met een maximum van 20 miljoen euro.

De financiële klap: Boetes

Voor grote bedrijven is dat een aanzienlijk bedrag. Maar zelfs voor kleinere organisaties kan de boete pijnlijk zijn. Het gaat hier niet alleen om het missen van de deadline, maar ook om de ernst van het lek en hoe de organisatie erop heeft gereageerd. Een boete is één ding, maar het verlies van klantvertrouwen is vaak veel erger.

Klanten willen hun gegevens veilig weten. Als er een lek is en de organisatie reageert traag of onduidelijk, verdwijnt het vertrouwen snel.

Reputatieschade: Het vertrouwen kwijt

Dit kan leiden tot klanten die overstappen naar concurrenten, negatieve publiciteit en een langdurig herstelproces. Reputatieschade is moeilijk in geld uit te drukken, maar het effect op de lange termijn is enorm. Naast de boete van de AP kunnen ook slachtoffers zelf actie ondernemen.

Zij kunnen een schadevergoeding eisen via een rechtszaak. In Nederland is de wetgeving rondom aansprakelijkheid bij datalekken streng.

Juridische problemen

Als blijkt dat een organisatie onzorgvuldig heeft gehandeld of te laat heeft gemeld, kan de rechter een schadevergoeding toekennen.

Dit kan oplopen tot duizenden euro’s per slachtoffer, afhankelijk van de schade die is geleden.

Wat te doen bij een datalek? Een stappenplan

Als het fout gaat, is rustig blijven het lastigste, maar wel het belangrijkste. Hier is een eenvoudig stappenplan om te volgen:

1. Stop het lek direct: Zorg dat de toegang tot de gegevens wordt geblokkeerd. Verander wachtwoorden, sluit systemen af en zorg dat het gat gedicht is.
2. Verzamel informatie: Wat is er precies gebeurd? Welke data is betrokken? Wie zijn de slachtoffers? Zorg dat je zo snel mogelijk een beeld krijgt van de omvang.
3. Meld bij de AP: Doe dit binnen 72 uur. Gebruik het meldformulier van de Autoriteit Persoonsgegevens. Wees eerlijk en volledig, ook als je nog niet alles weet.
4. Informeer de slachtoffers: Als er een hoog risico is voor de betrokkenen, moeten zij ook op de hoogte worden gebracht. Leg uit wat er is gebeurd en wat zij kunnen doen om zich te beschermen (bijvoorbeeld hun wachtwoord wijzigen).
5. Documenteer alles: Houd bij wat er is gebeurd, welke stappen zijn genomen en wie er zijn geïnformeerd. Dit is niet alleen handig voor de AP, maar ook voor eventuele juridische procedures.

Voorkomen is beter dan genezen

Natuurlijk is het beste scenario dat er geen datalek plaatsvindt. Hoewel je nooit 100% veiligheid kunt garanderen, zijn er genoeg maatregelen om de risico’s te verkleinen. Ken je systemen en processen.

Risico’s in kaart brengen

Welke gegevens verwerk je? Waar liggen de kwetsbaarheden?

Technische maatregelen

Een regelmatige risicobeoordeling helpt om zwakke plekken te vinden voordat kwaadwillenden dat doen. Zorg voor sterke beveiliging.

Mensen als zwakste schakel

Gebruik firewalls, versleutel gegevens (encryptie), en zorg voor sterke toegangscontroles. Multi-factor authenticatie is een must voor elke organisatie die serieus is over data-veiligheid. Medewerkers zijn vaak de zwakste schakel.

Een incident response plan

Zorg voor goede trainingen over cybersecurity. Leer ze hoe ze phishing-herkennen, veilig met wachtwoorden omgaan en wat ze moeten doen bij een vermoeden van een lek.

Een plan klaarliggen voor het geval het misgaat, is essentieel. Wie doet wat? Wie neemt de beslissingen? Hoe comuniceer je intern en extern? Test dit plan regelmatig, zodat iedereen weet wat te doen zonder te paniekeren.

Conclusie

Een datalek melden is een wettelijke verplichting, maar het is ook een morele plicht naar je klanten en medewerkers. De 72-uursregel is streng, maar het geeft je een duidelijk kader om snel te handelen.

Te laat melden leidt tot zware boetes, reputatieschade en juridische problemen. Door voorbereid te zijn en direct te handelen, beperk je de schade en behoud je het vertrouwen van je stakeholders. Onthoud: veiligheid is geen eenmalige actie, maar een doorlopend proces.