Wat is een datalek? Definitie, oorzaken en stappenplan

U krijgt een e‑mail van uw bank met een vreemde link, een collega stuurt per ongeluk een vertrouwelijk document naar de verkeerde ontvanger, of u hoort op het nieuws dat een groot bedrijf is gehackt – deze situaties kunnen allemaal leiden tot een datalek. In dit artikel leest u wat een datalek precies is, welke oorzaken er zijn, hoe u er een herkent en welke stappen u moet nemen, van meldplicht tot bescherming van betrokkenen, volgens de Nederlandse AVG‑richtlijnen.

Gemiddelde detectietijd van een datalek (2024): 194 dagen ·
Kosten van een gemiddeld datalek in 2024: 4,45 miljoen dollar (IBM Cost of Data Breach) ·
Percentage datalekken door menselijke fouten: 74% (Verizon DBIR) ·
Aantal meldingen van datalekken aan de ICO in 2023: 12.700+ ·
Boete voor een ernstige GDPR‑overtreding (maximaal): 4% van de wereldwijde jaaromzet of 20 miljoen euro

De belangrijkste kenmerken van datalekken op een rij:

Wat is een datalek?

Definitie volgens de GDPR

Volgens de Algemene Verordening Gegevensbescherming (AVG) is een datalek “een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens.” Dat kan gaan om een cyberaanval, maar ook om een simpele menselijke vergissing. De Autoriteit Persoonsgegevens (Nederlandse privacytoezichthouder) hanteert deze definitie als leidraad voor alle Nederlandse organisaties.

Verschil tussen een datalek en een hack

Veel mensen denken dat een datalek hetzelfde is als hacken, maar dat is niet juist. Een hack is een opzettelijke, technische aanval van buitenaf. Een datalek kan ook ontstaan door een per ongeluk verstuurde e‑mail, een verloren USB‑stick of een verkeerd ingerichte database. De AP (toezichthouder) benadrukt dat elk beveiligingsincident met persoonsgegevens onder de definitie valt, ongeacht de oorzaak.

“Een datalek is elk incident waarbij persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren, gewijzigd, verstrekt of toegankelijk worden gemaakt.”

— Autoriteit Persoonsgegevens, officiële richtlijn meldplicht datalekken

De implicatie: organisaties moeten ook de kleinste incidenten serieus nemen, niet alleen technische hacks.

Wat zijn voorbeelden van datalekken?

Veelvoorkomende datalekken in de praktijk

De Autoriteit Persoonsgegevens noemt onder meer onbevoegde inzage, het onbedoeld doorsturen van informatie en het kwijtraken van persoonsgegevens door een beveiligingsincident. Een ziekenhuis dat per ongeluk patiëntgegevens openbaar maakt, is een typisch voorbeeld. Een verkeerd geadresseerde e‑mail met klantinformatie is een andere. Zelfs het verliezen van een USB‑stick met persoonsgegevens van klanten geldt als een datalek.

Voorbeelden volgens de Autoriteit Persoonsgegevens

In de praktijk komen ook datalekken voor door gestolen laptops, phishing‑aanvallen of onvoldoende beveiligde webshops. De overheidsinformatie voor ondernemers geeft als voorbeeld: een hack van een klantenbestand. Het belangrijkste is dat er altijd sprake is van een inbreuk op de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens.

Het patroon: elk incident met persoonsgegevens vraagt om een zorgvuldige beoordeling, ongeacht of het technisch of menselijk is.

Wat zijn de vier meest voorkomende oorzaken van datalekken?

Menselijke fouten

Uit het Verizon Data Breach Investigations Report 2024 blijkt dat 74% van alle datalekken wordt veroorzaakt door menselijke fouten: een verkeerd geadresseerde e‑mail, het niet goed instellen van toegangsrechten, of het per ongeluk verwijderen van gegevens. Dit cijfer onderstreept dat technologie alleen niet volstaat; voorlichting en processen zijn minstens zo belangrijk.

Malware en phishing

Phishing‑aanvallen zijn een tweede grote oorzaak. Medewerkers klikken op een malafide link en geven onbedoeld toegang tot systemen. Het IBM Cost of Data Breach 2024 laat zien dat phishing‑incidenten gemiddeld 4,45 miljoen dollar kosten per datalek. Ook ransomware valt onder malware. Lees ook: Hackers Van der Valk: wat gebeurde en hoe bescherm je jezelf

Diefstal van apparatuur

Een gestolen laptop, telefoon of USB‑stick met persoonsgegevens is een klassiek datalek. De AP adviseert om apparatuur altijd te versleutelen en toegang met sterke wachtwoorden te beveiligen.

Onvoldoende beveiliging

Zwakke wachtwoorden, ontbrekende encryptie of verouderde software openen de deur voor datalekken. Uit een analyse van Europa Decentraal blijkt dat organisaties die niet voldoen aan de beveiligingseisen van de AVG een verhoogd risico lopen op een meldplichtige datalek.

“74% van de datalekken heeft een menselijke component – van vergissingen tot onbewust onjuist handelen.”

— Verizon Data Breach Investigations Report 2024

Deze cijfers onderstrepen dat preventie zich moet richten op gedrag en bewustwording, niet alleen op techniek.

Hoe herken ik een datalek en wat moet ik doen?

Tekenen dat uw gegevens zijn gelekt

Controleer op ongebruikelijke activiteiten op uw accounts, zoals wachtwoordwijzigingen die u niet zelf hebt aangevraagd, verdachte inlogpogingen of e‑mails van diensten die u niet herkent. De overheidsadvies voor ondernemers raadt aan om security‑meldingen van systemen serieus te nemen. Als u merkt dat uw persoonsgegevens op straat liggen (bijvoorbeeld via haveibeenpwned.com), is de kans groot dat een organisatie een datalek heeft gehad.

Stappenplan na een datalek

1. Stop het lek direct – schakel de betrokken systemen uit, blokkeer toegang, trek stekkers eruit. Overleg met uw beveiligingsteam of de externe FG (Functionaris Gegevensbescherming). (Bron: Business.gov.nl)
2. Beoordeel de aard en omvang – welke gegevens zijn geraakt? Gaat het om namen, adressen, financiële gegevens of medische informatie? Hoe groot is de groep betrokkenen? (Bron: NCSC (Nationaal Cyber Security Centrum))
3. Bepaal of melding aan de AP nodig is – alleen als het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. De AP-richtlijn helpt u hierbij.
4. Meld binnen 72 uur – via het online meldloket van de AP. Vermeld de aard van het lek, categorieën betrokkenen, vermoedelijke gevolgen en genomen maatregelen. (Informatiegidsen Nederland (praktische handleiding))
5. Informeer betrokkenen – als er een hoog risico is, moet u de getroffenen direct op de hoogte stellen. Beschrijf wat er is gebeurd en wat zij kunnen doen (bv. wachtwoord wijzigen). (Bron: NCSC)
6. Documenteer alles – noteer data, beslissingen, communicatie. Dit is verplicht voor de verantwoordingsplicht onder de AVG. (AP‑richtlijn)

De boodschap: naleving van de meldplicht is niet alleen een juridische verplichting, maar ook een manier om schade te beperken.

Wat zijn de gevolgen van een datalek volgens de GDPR?

Boetes en meldplicht

Volgens de AVG moet een datalek dat een risico inhoudt voor de rechten en vrijheden van personen binnen 72 uur worden gemeld aan de toezichthouder – in Nederland de Autoriteit Persoonsgegevens. De maximale boete voor een ernstige schending is 4% van de wereldwijde jaaromzet of 20 miljoen euro, afhankelijk van wat hoger is. Europa Decentraal bevestigt deze sanctiemogelijkheid.

Rechten van betrokkenen

Betrokkenen hebben recht op informatie over het datalek en de genomen maatregelen. Als het lek een hoog risico oplevert, moeten zij worden geïnformeerd. Ze kunnen een klacht indienen bij de AP en schadevergoeding eisen. Het IBM‑rapport toont aan dat de gemiddelde kosten per datalek 4,45 miljoen dollar bedragen, deels door reputatieschade en juridische claims.

“De gemiddelde kosten van een datalek zijn gestegen naar 4,45 miljoen dollar – een recordbedrag. Voor organisaties in Nederland en België komt daar nog de druk van de AVG bij.”

— IBM Cost of Data Breach Report 2024

Het patroon: hoe sneller een organisatie reageert en transparant is, hoe kleiner de kans op hoge boetes en reputatieschade.

Wie de meldplicht negeert, riskeert een sanctie die het voortbestaan van de organisatie kan bedreigen. Voor Nederlandse bedrijven en instellingen is het advies duidelijk: leg een robuust datalekprotocol vast en train medewerkers structureel.