Datalek melden bij de AP in 2026: praktische gids voor Nederlandse ondernemers

Nederland ontving in 2024 meer dan 25.000 datalekmeldingen bij de Autoriteit Persoonsgegevens (AP) — daarmee behoort ons land tot de Europese top 3 per capita, samen met Duitsland en Ierland. Elk incident dat leidt tot verlies, ongeautoriseerde toegang tot of openbaarmaking van persoonsgegevens moet binnen 72 uur na ontdekking gemeld worden. Wie niet of te laat meldt, riskeert een boete. Booking.com kreeg in 2021 een boete van €475.000 omdat de melding 22 dagen te laat kwam. Marktplaats werd in 2025 beboet met €380.000 voor een melding die vier maanden na ontdekking werd gedaan. En sinds oktober 2024 komt er nog een extra verplichting bij voor bedrijven die onder NIS2 vallen: cyberincidenten moeten daarnaast bij het NCSC gemeld worden. Voor Nederlandse ondernemers is de vraag niet meer óf ze te maken krijgen met een datalek, maar wanneer — en hoe ze snel en correct handelen. Deze gids legt uit wat er precies moet, wanneer, hoe, en wat je nu al kunt voorbereiden.

De datalek-meldplicht bestaat sinds 25 mei 2018 als onderdeel van de Algemene Verordening Gegevensbescherming (AVG). Wat aanvankelijk als een administratieve last werd gezien, blijkt inmiddels een kernonderdeel van moderne bedrijfsvoering. Elke organisatie die persoonsgegevens verwerkt — van MKB-bedrijven met een klantendatabase tot zorginstellingen met patiëntendossiers — kan geconfronteerd worden met een datalek. En de praktijk is complex: van foute e-mails aan de verkeerde ontvanger tot ransomware-aanvallen die tienduizenden klanten raken.

In dit artikel zetten we op basis van bronnen van de AP, het NCSC en juridische specialisten de complete procedure op een rij, met concrete voorbeelden, handhavingscijfers en advies voor Nederlandse ondernemers.

Wat is een datalek volgens de AVG?

Artikel 4, lid 12 van de AVG definieert een datalek als “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.”

In gewoon Nederlands: elke situatie waarbij persoonsgegevens (namen, e-mailadressen, telefoonnummers, financiële data, medische gegevens) in verkeerde handen komen, verloren gaan, of ongeoorloofd worden gewijzigd. Belangrijke voorbeelden:

Externe aanvallen

Hackers die een klantendatabase buitmaken
Ransomware die bedrijfsgegevens versleutelt
Phishing-aanvallen die tot toegang leiden tot e-mailaccounts

Menselijke fouten (verreweg de grootste categorie)

E-mail met persoonsgegevens naar de verkeerde ontvanger
CC in plaats van BCC gebruikt in nieuwsbrieven (met zichtbare e-mailadressen)
Verloren laptop of USB-stick met klantdata
Papieren dossiers achtergelaten in openbare ruimte
Onjuiste toegangsrechten waardoor collega’s data zien die niet voor hen bestemd is

Technische fouten

Fout in software waardoor data ongeoorloofd zichtbaar wordt
Back-up die verkeerd geconfigureerd is
Server die publiek toegankelijk was zonder authenticatie

Volgens gegevens van de AP is meer dan 65 procent van alle datalekmeldingen in Nederland het gevolg van menselijke fouten — niet van hackers. Dit onderstreept het belang van interne training en processen, niet alleen technische beveiliging.

Wanneer moet je een datalek melden?

Niet elk datalek hoeft bij de AP gemeld te worden. De drempel is: “waarschijnlijk risico voor de rechten en vrijheden van natuurlijke personen”. Dit is een subjectieve beoordeling, waarbij je meerdere factoren afweegt:

Wel melden:

Financiële gegevens gelekt (rekeningnummers, creditcards)
Medische gegevens gelekt
BSN’s gelekt (hoog identiteitsdiefstal-risico)
Wachtwoorden gelekt (zelfs versleuteld — brute-force blijft mogelijk)
Grote aantallen betrokkenen (>100)
Bijzondere categorieën persoonsgegevens (religie, seksuele geaardheid, politieke voorkeur)

Niet melden (met documentatie in intern register):

Data was zwaar versleuteld en niet te ontsleutelen (bijv. AES-256)
Data werd binnen enkele minuten teruggehaald zonder toegang van derden
Alleen niet-persoonsgegevens betrokken (bijv. bedrijfsomzetcijfers zonder namen)

In alle gevallen: intern registreren Zelfs als een datalek niet bij de AP wordt gemeld, moet het in het interne datalekregister worden opgenomen. De motivering waarom níet is gemeld moet worden gedocumenteerd. Bij een controle beoordeelt de AP achteraf of jouw beslissing juist was.

Bij twijfel: melden De AP adviseert: bij twijfel meld je. De melding kan altijd worden aangevuld of ingetrokken als achteraf blijkt dat het geen echt datalek was. Wel niet melden en later ontdekken dat het wel had gemoeten, is een zelfstandige overtreding.

De 72-uurs regel: hoe werkt die precies?

De 72 uur beginnen bij het moment dat jouw organisatie kennisneemt van het datalek — niet wanneer je alle feiten kent. Dit is een belangrijk subtiliteit:

Wanneer begint de klok?

Een medewerker meldt intern een verdacht incident: klok start
IT ontdekt tijdens onderhoud dat er ongeoorloofde toegang was: klok start
Een externe partij (klant, beveiligingsonderzoeker) meldt een lek: klok start bij ontvangst

Wanneer nog niet:

Vage vermoedens die nog niet zijn bevestigd
Externe waarschuwingen die evident onjuist blijken

Wat als je op 72 uur nog niet alle info hebt? Meld dan alsnog binnen de termijn wat je weet. Artikel 33, lid 4 AVG staat expliciet melding in fasen toe. Je vult later aan.

Weekenden en feestdagen tellen mee Een datalek ontdekt op vrijdag om 17:00 moet uiterlijk maandag om 17:00 gemeld zijn. De 72 uur zijn kalenderuur, geen werkuur. Zorg voor een incident-responseregeling met weekendbeschikbaarheid.

Buitenland: wie is bevoegd? Als een datalek meerdere EU-lidstaten raakt (bijv. een grensoverschrijdende webshop), meld je bij de hoofdvestiging-toezichthouder — dat is meestal de AP als je hoofdvestiging in Nederland is. Andere lidstaten worden dan geïnformeerd via het European Data Protection Board (EDPB).

De meldprocedure: stap voor stap

Stap 1: Intern melden Zodra iemand in jouw organisatie een datalek constateert of vermoedt, moet dit direct intern gemeld worden aan de Functionaris Gegevensbescherming (FG), privacy officer of aangewezen contactpersoon. Voor organisaties zonder FG: de directie of security-verantwoordelijke.

Stap 2: Direct het lek stoppen Voordat je iets anders doet: zorg dat de bron van het lek gedicht wordt. Bij een gecompromitteerd account: wachtwoord wijzigen. Bij een foute e-mail: contact opnemen met de ontvanger om verwijdering te vragen (schriftelijk bevestigen). Bij hacking: het gecompromitteerde systeem isoleren.

Stap 3: Impactanalyse Bepaal snel:

Welke persoonsgegevens zijn betrokken?
Hoeveel betrokkenen?
Wat zijn de mogelijke gevolgen?
Is er hoog risico voor betrokkenen?

Stap 4: Melden bij AP (bij risico) Via het meldloket datalekken van de AP. Zie de volgende sectie voor wat je moet aanleveren.

Stap 5: Betrokkenen informeren (bij hoog risico) Als het datalek een hoog risico oplevert voor betrokkenen, ook direct informeren. Zie sectie over Art. 34 AVG.

Stap 6: Intern registreren Voeg het incident toe aan het interne datalekregister. Inclusief alle beslissingen (wel/niet melden, hoe geëvalueerd).

Stap 7: Evaluatie en verbetering Wat leerde je van dit incident? Welke processen of technische maatregelen moeten worden aangepast om herhaling te voorkomen? Documenteer.

Wat moet je aanleveren bij de AP?

Volgens Artikel 33 AVG moet een melding minimaal bevatten:

1. Aard van het datalek Wat is er precies gebeurd? Bijvoorbeeld: “Op 15 juli 2026 om 14:30 heeft een medewerker een e-mail met een klantenlijst in Excel-bijlage per abuis verstuurd naar het interne mailadres ‘sales@’ in plaats van het bedoelde ‘sales-partners@’ — dit interne adres wordt door 15 medewerkers gelezen.”

2. Categorieën en aantal betrokkenen Bijvoorbeeld: “1.243 klanten van wie 380 zorgverleners en 863 particuliere klanten.”

3. Categorieën en aantal persoonsgegevens Bijvoorbeeld: “Voor elke betrokkene: naam, e-mailadres, telefoonnummer, klantenID. Voor 62 klanten ook bankrekeningnummer.”

4. Waarschijnlijke gevolgen Bijvoorbeeld: “Beperkt risico op identiteitsdiefstal voor de 62 klanten met bankgegevens. Voor overigen minimaal risico.”

5. Genomen en voorgestelde maatregelen

Wat is er direct gedaan om schade te beperken?
Welke technische en organisatorische maatregelen komen er?

6. Contactpunt Naam en contactgegevens van de FG of de verantwoordelijke persoon binnen jouw organisatie.

Vorm van de melding De AP biedt een online meldformulier via haar website. Je krijgt een uniek meldnummer. Bewaar dit — je zult later mogelijk aanvullende informatie moeten leveren of vragen krijgen.

Betrokkenen informeren: wanneer wel, wanneer niet?

Artikel 34 AVG regelt de aanvullende plicht om betrokkenen zélf te informeren als het datalek een hoog risico oplevert. Dit is een strengere drempel dan de AP-meldplicht.

Wel betrokkenen informeren:

Financiële data gelekt (met kans op fraude)
BSN gelekt (identiteitsdiefstal-risico)
Medische data gelekt
Grootschalige lek met verhoogd misbruik-risico
Wachtwoorden gelekt zonder sterke encryptie

Niet betrokkenen informeren (wel AP melden):

Alleen contactgegevens gelekt en risico op misbruik is laag
Data was zwaar versleuteld
Effectieve beschermmaatregelen zijn direct genomen

Wat vertel je betrokkenen?

Beschrijving van het datalek (in begrijpelijke taal)
Mogelijke gevolgen voor hen
Genomen maatregelen door jouw organisatie
Wat zij zelf kunnen doen (wachtwoord wijzigen, financiële instellingen waarschuwen, alert zijn op phishing)
Contactgegevens voor vragen (FG of privacy officer)

Grote datalekken: publieke aankondiging Bij zeer grote lekken (>10.000 betrokkenen) kan het praktischer zijn om via een publieke aankondiging (persbericht, website-melding, nieuws) te informeren, aangevuld met individuele berichten waar mogelijk. De AP accepteert dit als proportionele aanpak.

Termijn: onverwijld “Onverwijld” betekent zo snel als redelijkerwijs mogelijk. In de praktijk: uiterlijk enkele dagen tot maximaal een week. Niet wachten tot alle onderzoek is afgerond.

Het interne datalekregister

Onafhankelijk van de meldplicht bij de AP moet je elk datalek intern registreren — ook lekken die niet gemeld worden bij de AP. Dit is een expliciete verplichting onder Artikel 33, lid 5 AVG.

Wat moet het register bevatten?

Omschrijving van het datalek (wat, wanneer, hoe ontdekt)
Betrokken categorieën van gegevens en aantallen
Gevolgen en genomen maatregelen
Motivering waarom het wel of niet is gemeld bij de AP
Motivering waarom betrokkenen wel of niet zijn geïnformeerd

Vorm van het register Een simpele Excel-file voldoet aan de wet. Voor grotere organisaties zijn er specialistische software-oplossingen (bijvoorbeeld privacy-management platformen). Belangrijk: het register moet toegankelijk zijn voor auditors en de AP bij een controle.

Bewaartermijn De AVG schrijft geen specifieke bewaartermijn voor het datalekregister voor. In de praktijk wordt aanbevolen om het minimaal 5-7 jaar te bewaren — vergelijkbaar met andere bedrijfsadministratie.

Praktisch tip Zorg dat je register elk kwartaal wordt geëvalueerd door de FG of privacy officer. Dit geeft inzicht in patronen: als er structureel veel e-mail-datalekken zijn, is training nodig. Dit is ook de plek voor onderzoek van AI Act Artikel 4 — AI-tools kunnen zelf ook bron van datalekken zijn.

Recente boetes en handhavingspraktijk

De AP is strenger geworden in handhaving. Recente relevante boetes:

Booking.com — €475.000 (2021) Booking.com meldde een datalek 22 dagen na ontdekking, terwijl de termijn 72 uur is. Dit was voor lange tijd de hoogste boete voor uitsluitend te laat melden. De vertragingskosten waren duidelijk fatal: geen kwaadwilligheid, wel structurele nalatigheid.

Marktplaats — €380.000 (2025) De AP legde in 2025 een boete van €380.000 op aan Marktplaats voor een datalek dat vier maanden te laat werd gemeld. Deze boete toonde aan dat het probleem in 2024-2025 nog niet onder controle was.

NS — €600.000 (2024) De Nederlandse Spoorwegen kregen een boete van €600.000, niet specifiek voor niet-melden maar voor onvoldoende beveiliging (Art. 32 AVG). Het probleem: gebrek aan logging maakte detectie van ongeoorloofde toegang onmogelijk — een structureel security-tekort.

OLVG — €440.000 (2022/2025) Het Amsterdamse ziekenhuis kreeg een boete van €440.000 voor onbevoegde toegang tot patiëntendossiers. Het datalek werd tijdig gemeld, maar de onderliggende beveiliging bleek onvoldoende. Dit toont aan: melden alleen is niet genoeg — de AP kijkt naar de fundamentele beveiligingsprocessen.

PVV Overijssel — €7.500 (2022) De eerste-ooit boete van de AP specifiek voor niet-melden. Een e-mail naar aanmelders met zichtbare e-mailadressen (CC in plaats van BCC) werd niet als datalek gemeld. Weliswaar een klein bedrag, maar symbolisch: geen enkel te-laat-melden is nu straffeloos.

Handhavingsstatistieken

Slechts 4 procent van alle meldingen leidt tot diepgaand AP-onderzoek
Minder dan 0,5 procent leidt uiteindelijk tot boete
Boetes worden vooral opgelegd bij structurele nalatigheid of grote impact
Reputatieschade is voor MKB’ers vaak groter dan de boete zelf

NIS2 en de dubbele meldplicht

Sinds oktober 2024 gelden voor organisaties onder de NIS2-richtlijn aanvullende meldverplichtingen — bovenop de AVG-meldplicht. Voor Nederlandse ondernemers is dit belangrijk omdat NIS2 substantieel meer bedrijven raakt dan de oude NIS1.

Wie valt onder NIS2?

Middelgrote en grote bedrijven (>50 medewerkers of >€10M omzet) in essentiële en belangrijke sectoren
Sectoren: energie, transport, financieel, zorg, water, digitale infrastructuur, publieke administratie, ruimtevaart, post, afvalbeheer, chemie, voedsel, productie van kritieke goederen

Wanneer NIS2-meldplicht?

Vroege waarschuwing binnen 24 uur aan het NCSC bij een significant cyberincident
Volledige melding binnen 72 uur met details
Slotrapport binnen een maand na afsluiting

Verschil met AVG-melding

AVG (Art. 33): gaat over persoonsgegevens
NIS2: gaat over cyberincidenten die diensten of infrastructuur bedreigen
Een ransomware-aanval kan onder beide vallen — dan meld je bij AP EN bij NCSC

Toezichthouder NIS2 Voor de meeste sectoren is de RDI (Rijksinspectie Digitale Infrastructuur) de coördinerende toezichthouder. Voor de financiële sector: DNB en AFM. Voor zorg: IGJ. Voor context zie ons artikel over NIS2 in Nederland.

Preventie: hoe voorkom je datalekken?

Melden is één ding — voorkomen is beter. Zes essentiële maatregelen voor MKB’ers:

1. Medewerkerstraining Meer dan 65 procent van de datalekken komt door menselijke fouten. Regelmatige training (minimaal jaarlijks) over AVG-basiskennis, phishing-herkenning en veilig e-mailen voorkomt de meeste incidenten.

2. Toegangsrechten strikt beheren “Principle of least privilege”: medewerkers hebben alleen toegang tot data die ze voor hun werk nodig hebben. Bij vertrek: toegang direct intrekken. Bij functiewijziging: toegang aanpassen.

3. Encryptie standaardiseren

Volledige encryptie op laptops en mobiele apparaten (BitLocker, FileVault)
Encryptie van gevoelige e-mail-bijlagen
Encryptie van back-ups

4. Multifactor-authenticatie (MFA) Voor alle accounts met toegang tot persoonsgegevens. Dit voorkomt 99 procent van accountovernames, zelfs bij zwakke wachtwoorden.

5. Regelmatige back-ups en testen Back-ups die niet worden getest, zijn geen echte back-ups. Test minimaal per kwartaal of herstel daadwerkelijk werkt.

6. Incident-response-plan Zorg dat elke medewerker weet: bij wie melden? Wat te doen in de eerste 72 uur? Wie beslist over externe melding? Simuleer minimaal jaarlijks een incident (tabletop-oefening).

7. Cyberverzekering Steeds meer MKB’ers hebben een cyberverzekering. Deze dekt vaak: forensisch onderzoek, juridische kosten, klant-notificatiekosten, en soms zelfs boetes. Voor context zie ons artikel over cyberverzekering in 2026.

Veelgestelde vragen

Wat is een datalek precies?

Een datalek is een inbreuk op de beveiliging die leidt tot verlies, vernietiging, wijziging of ongeautoriseerde toegang tot persoonsgegevens. Dit hoeft niet altijd door hacking te komen — meer dan 65 procent van de datalekken in Nederland is het gevolg van menselijke fouten, zoals een e-mail naar de verkeerde ontvanger of CC in plaats van BCC gebruikt in een grote mailing.

Binnen welke termijn moet ik een datalek melden?

Binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens (AP), volgens Artikel 33 AVG. De klok begint zodra jouw organisatie kennisneemt van het lek, niet wanneer je alle feiten kent. Weekends en feestdagen tellen mee — dus een datalek ontdekt op vrijdag 17:00 moet uiterlijk maandag 17:00 gemeld zijn. Als je nog niet alle informatie hebt, meld je alvast wat je weet en vult later aan (melding in fasen is toegestaan).

Moet ik elk datalek melden?

Nee. Alleen datalekken die waarschijnlijk risico opleveren voor de rechten en vrijheden van betrokkenen moeten bij de AP gemeld worden. Bij twijfel: melden. De AP adviseert liever te melden dan niet, omdat te laat melden een zelfstandige overtreding is. Alle datalekken — ook niet-gemelde — moet je intern registreren in het datalekregister.

Wat gebeurt er als ik niet meld?

Niet of te laat melden is een zelfstandige overtreding onder de AVG. Booking.com kreeg in 2021 een boete van €475.000 voor een melding die 22 dagen te laat kwam. Marktplaats kreeg in 2025 een boete van €380.000 voor een melding 4 maanden na ontdekking. De AP legde in 2022 voor het eerst een boete op (€7.500 aan PVV Overijssel) voor niet-melden van een simpele CC-fout.

Wanneer moet ik betrokkenen zelf informeren?

Bij hoog risico voor de rechten en vrijheden van betrokkenen — bijvoorbeeld bij lekkage van financiële gegevens, BSN’s, medische data, of wachtwoorden. De melding moet begrijpelijk zijn, aangeven wat er is gebeurd, wat de gevolgen kunnen zijn, welke maatregelen je hebt genomen, en wat betrokkenen zelf kunnen doen. Bij grote datalekken kan een publieke aankondiging het meest praktisch zijn.

Wat is het datalekregister precies?

Het interne datalekregister is een verplichte administratie waarin alle datalekken worden vastgelegd — ook die niet bij de AP zijn gemeld. Het moet bevatten: omschrijving van het incident, betrokken data en aantallen, gevolgen, genomen maatregelen, en de motivering voor de beslissing wel of niet te melden. Bij een AP-controle wordt dit register beoordeeld. Een Excel-file voldoet aan de vereisten.

Wat is het verschil tussen AVG-meldplicht en NIS2?

De AVG (Artikel 33) gaat over datalekken van persoonsgegevens. NIS2 gaat over cyberincidenten die essentiële of belangrijke diensten bedreigen. Bij een ransomware-aanval kunnen beide van toepassing zijn — dan meld je bij de AP (persoonsgegevens-kant) EN bij het NCSC (cyberincident-kant). NIS2 heeft strengere termijnen: 24 uur voor vroege waarschuwing, 72 uur voor volledige melding, en 1 maand voor slotrapport.

Hoeveel datalekken zijn er in Nederland?

De Autoriteit Persoonsgegevens ontving in 2024 meer dan 25.000 datalekmeldingen. Nederland behoort daarmee tot de Europese top 3 per capita, samen met Duitsland en Ierland. Van al deze meldingen leidt slechts circa 4 procent tot een diepgaand onderzoek, en minder dan 0,5 procent tot een boete. Maar de reputatieschade van publieke bekendmaking is voor veel bedrijven zwaarder dan de boete zelf.

Kan een cyberverzekering datalek-boetes dekken?

Ja, veel moderne cyberverzekeringen dekken naast forensische onderzoekskosten, juridische bijstand en notificatiekosten ook AVG-boetes — maar dit varieert per polis. Belangrijk: verzekeraars stellen strikte voorwaarden aan de veiligheidsmaatregelen (MFA, back-ups, medewerkerstraining). Zonder deze basismaatregelen kan de dekking vervallen. Voor uitgebreide context zie ons artikel over cyberverzekering in 2026.

Waar meld ik een datalek?

Bij de Autoriteit Persoonsgegevens, via het online meldloket. Je krijgt na melding een uniek meldnummer. Voor NIS2-organisaties: aanvullend bij het Nationaal Cyber Security Centrum (NCSC). Voor persoonlijk advies over datalek-response: raadpleeg een specialist in privacy en cybersecurity, of contact op met je Functionaris Gegevensbescherming (FG).