Eerst vaststellen of persoonsgegevens zijn geraakt
Een inbreuk kan vertrouwelijkheid, juistheid of beschikbaarheid aantasten. Denk aan verzending naar een verkeerde ontvanger, onbevoegde wijziging van een rekeningnummer of het verloren gaan van een dossier. Een storing zonder gevolgen voor persoonsgegevens is niet automatisch een datalek. Leg bij twijfel vast welke systemen en gegevens worden onderzocht en waarom de beschikbare aanwijzingen wel of niet op een inbreuk wijzen.
Noteer ook wanneer de organisatie voldoende zekerheid kreeg dat persoonsgegevens waren geraakt. Dat moment kan verschillen van het eerste technische alarm. Een onderzoek mag echter geen onbeperkte wachtkamer worden waarin duidelijke aanwijzingen worden genegeerd. Spreek af wie nieuwe informatie beoordeelt en hoe die persoon buiten kantooruren bereikbaar is.
Registratie blijft nodig bij een lage risico-inschatting
Het incidentdossier beschrijft de feiten, mogelijke gevolgen en genomen maatregelen. Bij een besluit om niet te melden hoort een gemotiveerde beoordeling. Alleen een vinkje bij laag risico maakt achteraf niet duidelijk welke bescherming aanwezig was of waarom schade onwaarschijnlijk werd geacht.
Scheid vastgestelde feiten van verwachtingen. Een ontvanger die zegt een verkeerd bestand te hebben verwijderd, geeft relevante informatie, maar bewijst niet zonder meer dat niemand het heeft gezien of doorgestuurd. Bewaar de ontvangen bevestiging en beschrijf welke betekenis daaraan is toegekend. Zorg dat het register zelf niet onnodig de volledige gelekte inhoud bevat. Een verwijzing naar een beveiligd onderzoeksdossier kan voldoende zijn voor de interne reconstructie.
De melding aan de bevoegde toezichthouder
Een verwerkingsverantwoordelijke meldt tenzij het onwaarschijnlijk is dat de inbreuk een risico voor personen oplevert. Wanneer melding nodig is, moet dit zonder onredelijke vertraging en indien mogelijk binnen 72 uur na kennisname gebeuren. Ontbrekende onderzoeksdetails kunnen onder de voorwaarden van de AVG later worden aangevuld. Een te late melding vraagt uitleg over de vertraging.
Onderzoek welke toezichthouder bevoegd is, vooral bij grensoverschrijdende verwerking. Een leverancier die als verwerker handelt, informeert de verantwoordelijke zonder onredelijke vertraging. De rollen en overdracht van incidentinformatie moeten aansluiten op de afspraken met die leverancier. De pagina over verwerker of verantwoordelijke helpt die rolverdeling afzonderlijk te beoordelen.
Hoog risico vraagt een eigen communicatiebesluit
De waarschuwing aan personen heeft tot doel dat zij zichzelf kunnen beschermen. Beschrijf daarom wat bekend is, welke gegevens geraakt zijn en welke concrete acties zinvol zijn. Vermijd een geruststellend bericht dat belangrijke onzekerheden verbergt of zonder bewijs stelt dat misbruik onmogelijk is.
De wettelijke uitzonderingen op communicatie moeten afzonderlijk worden onderbouwd. Versleuteling kan bijvoorbeeld relevant zijn als gegevens werkelijk onleesbaar waren en de sleutel buiten bereik bleef. Een algemene mededeling dat de organisatie beveiliging gebruikt, is daarvoor te weinig. Controleer ook of een waarschuwing niet onbedoeld extra persoonsgegevens onthult, bijvoorbeeld door alle ontvangers in een openbaar adresveld te zetten.
Een verkeerd verstuurde export krijgt nieuwe betekenis
In deze fictieve situatie verstuurt een administrateur een export met klantnamen en bestelstatussen naar een bekende zakenpartner. Aanvankelijk lijkt het bestand uitsluitend zakelijke contactgegevens te bevatten. Bij controle blijkt een verborgen werkblad medische toelichtingen op aangepaste producten te bevatten. De eerste risicobeoordeling moet daarom worden herzien.
Het team bewaart de oorspronkelijke verzendtijd, het moment van ontdekking en de latere vaststelling van de extra gegevens. Het beperkt toegang, vraagt informatie over verdere verspreiding en beoordeelt opnieuw de gevolgen voor klanten. De casus toont waarom een voorlopig besluit een volgend controlemoment nodig heeft. Een eerste lage inschatting mag nieuwe feiten niet blokkeren en wordt niet achteraf stilzwijgend vervangen in het dossier.
Bewaar een ontvangstbevestiging van een ingediende melding en koppel aanvullingen aan hetzelfde incident. Noteer welke versie van de feiten naar welke ontvanger is gestuurd. Zo kan het team later uitleggen waarom de eerste melding minder details bevatte en welke nieuwe kennis tot een aangepast besluit leidde.
Afronden met bewijs van maatregelen
Controleer na de eerste respons of de gekozen maatregelen daadwerkelijk zijn uitgevoerd. Is de openbare link ingetrokken, zijn toegangsrechten gewijzigd en zijn ontbrekende gegevens hersteld? Bewaar relevante bevestigingen en geef onzekerheden een eigenaar. De melding zelf repareert de oorzaak niet.
Leg vast welke werkwijze moet veranderen en toets die wijziging met een gerichte oefening. Wanneer bereikbaarheid, besluitvorming of informatie van leveranciers tekortschiet, kan een datalekdraaiboek de overdracht verbeteren. Het incident is pas organisatorisch afgehandeld wanneer besluiten, communicatie en herstel controleerbaar bij elkaar horen.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13
- EDPB — Persoonsgegevens en datalekkenGeraadpleegd op 2026-09-14