Stel vast wat bekend is en wat nog ontbreekt
Noteer wanneer het incident werd ontdekt, door wie en welke systemen of bestanden zijn geraakt. Maak onderscheid tussen bevestigde feiten, vermoedens en nog te onderzoeken vragen. Een onbevestigde aanname dat niemand het bestand heeft geopend is geen vaststaand onderzoeksresultaat. Bewaar relevante loggegevens voordat zij automatisch worden overschreven.
Beperk ondertussen de blootstelling, bijvoorbeeld door een gedeelde link in te trekken of een onjuist account af te sluiten. Stem ingrepen af met technisch onderzoek zodat noodzakelijke sporen behouden blijven. Deel incidentinformatie intern alleen met mensen die een taak hebben. Een brede e-mail met het volledige gelekte bestand kan de oorspronkelijke fout vergroten.
Beoordeel de gevolgen vanuit betrokkenen
Onderzoek welke gegevenssoorten en aantallen mensen betrokken zijn, hoe herkenbaar zij zijn en wat een ontvanger ermee kan doen. Contactgegevens vragen een andere risicoanalyse dan combinaties van identificatiegegevens, financiële informatie en kwetsbare omstandigheden. Ook de mogelijkheid tot herstel, gebruikte beveiliging en betrouwbaarheid van een bekende ontvanger kunnen relevant zijn.
De verantwoordelijke beoordeelt melding aan de bevoegde toezichthouder. Volgens de AVG gebeurt die zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij het onwaarschijnlijk is dat de inbreuk risico oplevert voor rechten en vrijheden. Niet alle details hoeven dan al vast te staan; ontbrekende informatie kan onder voorwaarden gefaseerd volgen. Een te late melding vraagt uitleg.
Een portal toont een document aan de verkeerde klant
Een bedrijf ontdekt dat een dossiernummer in een klantenportal verkeerd is gekoppeld. Eén klant kon daardoor een document van een andere klant zien. De beheerder sluit de koppeling direct, maar de organisatie weet nog niet of het document is bekeken of gedownload.
Het incidentteam legt de fout, het bereikbare tijdvak en de inhoudscategorieën vast. Het vraagt gerichte loggegevens op en onderzoekt of dezelfde koppelfout andere dossiers raakt. Tegelijk beoordeelt het team de risico’s op basis van wat al bekend is. De melding wordt niet uitgesteld uitsluitend omdat het definitieve technische rapport ontbreekt.
Als later blijkt dat meer documenten toegankelijk waren, wordt de beoordeling bijgewerkt. De organisatie registreert wanneer deze nieuwe informatie beschikbaar kwam en welke extra maatregelen volgen. Dit voorkomt dat de eerste, beperkte inschatting stilzwijgend het hele dossier blijft bepalen. De aanpak is een fictief procesvoorbeeld; de concrete meldingsuitkomst hangt af van de feitelijke gegevens en risico’s.
Onderscheid toezichthouder en betrokken personen
Een melding aan de toezichthouder betekent niet automatisch dat ook iedere betrokkene dezelfde melding ontvangt. Voor informatie aan betrokkenen geldt de beoordeling of waarschijnlijk een hoog risico bestaat, met de toepasselijke wettelijke uitzonderingen. Die communicatie moet zonder onredelijke vertraging plaatsvinden wanneer zij vereist is.
Leg in begrijpelijke taal uit wat er is gebeurd, welke gevolgen kunnen optreden en wat de organisatie doet. Geef praktische aanwijzingen die passen bij het incident, zoals alertheid op gerichte misleiding wanneer dat risico werkelijk aanwezig is. Vermijd stellige geruststelling zonder onderbouwing. Benoem een bereikbaar contactpunt en verstrek geen extra persoonsgegevens van anderen in het bericht.
Verdeel taken met leveranciers en opdrachtgevers
Een verwerker moet de verantwoordelijke zonder onredelijke vertraging informeren nadat hij kennis heeft genomen van een datalek. Controleer de contractuele incidentroute en contactpersonen, maar laat een onbereikbare projectmanager niet het hele proces blokkeren. De verwerkersovereenkomst hoort werkbare afspraken te bevatten over informatie, ondersteuning en vervolgupdates.
Een organisatie die voor meerdere opdrachtgevers werkt, moet vaststellen welke gegevens bij welke opdrachtgever horen. Eén algemeen persbericht vervangt geen gerichte informatie die nodig is voor hun beoordeling. Onderzoek afzonderlijk of andere sectorale of contractuele meldplichten bestaan; een AVG melding vervult die niet vanzelf.
Rond af met onderbouwing en aantoonbaar herstel
Documenteer ook datalekken die niet worden gemeld, inclusief feiten, gevolgen, maatregelen en de gemotiveerde afweging. Het dossier moet laten zien waarom een besluit op dat moment passend werd geacht. Bewaar hiervoor noodzakelijke informatie met passende toegang, zonder uit gemak onbeperkt kopieën van gelekte gegevens te verspreiden.
Controleer ten slotte of de oorzaak is verholpen en of vergelijkbare situaties bestaan. Een verkeerde autorisatie vraagt bijvoorbeeld niet alleen herstel van één account, maar ook een controle van het toekenningsproces. Vertaal de bevindingen naar gerichte privacymaatregelen, met een verantwoordelijke voor uitvoering en een controle op de werking ervan.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbescherming (2016/679)Geraadpleegd op 2026-09-12