Datenpanne

Een notebook verdwijnt bij een verhuizing, een doos met oude apparaten staat open op de gang, een harde schijf wordt ongewist doorverkocht: snel rijst de vraag of dit een datalek is en of u het moet melden. Dit woordenlijst-item legt uit wat de AVG onder een datalek verstaat, welke termijnen gelden en waarom juist uit gebruik genomen IT een typische aanleiding is.

Wat is een datalek volgens art. 33 AVG?

De AVG spreekt niet van een ‘Datenpanne’ (datalek), maar van een ‘inbreuk op de beveiliging van persoonsgegevens’. Art. 4 punt 12 AVG definieert haar als een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens . Het maakt niet uit of de oorzaak een aanval, een vergissing of een technisch defect was.

Vakmensen onderscheiden drie soorten:

• Inbreuk op de vertrouwelijkheid: Onbevoegden kunnen gegevens inzien, bijvoorbeeld doordat een ongewiste harde schijf in vreemde handen belandt.
• Inbreuk op de integriteit: Gegevens worden zonder toestemming gewijzigd.
• Inbreuk op de beschikbaarheid: Gegevens zijn verloren of blijvend ontoegankelijk, bijvoorbeeld omdat het enige opslagmedium ontbreekt.

Art. 33 AVG regelt de melding aan de toezichthouder, art. 34 AVG de kennisgeving aan de betrokken personen.

Wat betekent dit voor afgedankte IT?

Zolang gegevens niet aantoonbaar zijn gewist, is elk oud apparaat een beschermwaardige gegevensdrager. Typische datalekken rond het uit gebruik nemen zijn:

• Een apparaat gaat verloren tussen werkplek, opslag en dienstverlener.
• Harde schijven, ssd’s of smartphones worden zonder gecertificeerd wissen verkocht, weggegeven of afgevoerd.
• Kopieerapparaten, servers of netwerkopslag worden vergeten, hoewel ze interne gegevensdragers bevatten.
• Oude apparaten liggen weken vrij toegankelijk opgeslagen voordat ze worden opgehaald.

Of een melding nodig is, hangt af van het risico. Was een verloren notebook volgens de stand van de techniek versleuteld, bijvoorbeeld met BitLockeren de sleutel niet is gecompromitteerd, kan het risico gering zijn. De kennisgeving aan de betrokkenen kan dan volgens art. 34 lid 3 AVG achterwege blijven. Deze beoordeling moet u echter per geval maken en documenteren.

Plichten en termijnen in één oogopslag

Wie?	Wat?	Termijn / grondslag
Verwerkingsverantwoordelijke	Melding aan de bevoegde toezichthouder, tenzij het lek naar verwachting niet tot een risico leidt	Onverwijld, zo mogelijk binnen 72 uur nadat men er kennis van heeft genomen (art. 33 lid 1)
verwerker	Melding aan de verwerkingsverantwoordelijke, bijvoorbeeld een logistiek of wisdienstverlener	Onverwijld (art. 33 lid 2)
Verwerkingsverantwoordelijke	Kennisgeving aan de betrokken personen bij een naar verwachting hoog risico	Onverwijld (art. 34)
Verwerkingsverantwoordelijke	Interne documentatie van elk lek met feiten, gevolgen en herstelmaatregelen, ook als geen melding nodig was	Doorlopend (art. 33 lid 5)

De melding moet minstens de aard van de inbreuk, het geschatte aantal betrokkenen en gegevensrecords, een contactpersoon, de waarschijnlijke gevolgen en de genomen maatregelen beschrijven (art. 33 lid 3). Ontbreken er gegevens, dan mag u ze stapsgewijs nasturen. Wordt de termijn van 72 uur overschreden, dan moet de vertraging worden gemotiveerd.

Typische fouten bij de omgang met datalekken

• Geen apparatenlijst: zonder Inventarislijst met serienummers kan niet worden gezegd welk apparaat ontbreekt en welke gegevens erop stonden.
• Hiaten in de overdracht: zonder Chain of custody blijft onduidelijk waar een apparaat verloren is gegaan.
• Late beoordeling: De vraag ‘melden of niet?’ wordt pas na dagen gesteld, omdat niemand verantwoordelijk is.
• Ontbrekende documentatie: Ook lekken zonder meldplicht horen in het interne register. Dat maakt deel uit van de Verantwoordingsplicht.
• Vertrouwen op het resetten: Een fabrieksreset zonder bewijs geldt niet als aangetoond wissen.

Praktijkvoorbeeld: een doos ontbreekt

Een vereenvoudigd voorbeeld laat zien hoe een lek ontstaat en hoe u reageert.

1. Een bedrijf verzamelt 40 oude notebooks in de kelder. Een deel van de apparaten is versleuteld, een deel niet.
2. Bij het ophalen telt de chauffeur alleen dozen, geen apparaten. Later ontbreken vijf notebooks.
3. De IT-afdeling vergelijkt de serienummers met de apparatenlijst: twee van de ontbrekende apparaten waren onversleuteld en bevatten personeelsgegevens.
4. De functionaris voor gegevensbescherming beoordeelt het risico, het bedrijf meldt het lek binnen 72 uur en documenteert de maatregelen.
5. In het vervolg worden apparaten vóór het ophalen verzegeld en per serienummer overgedragen.

Met een overdracht op serienummer was het verlies direct opgevallen, en met doorgaande versleuteling was het risico aanzienlijk kleiner geweest.

Datalekken voorkomen: uit gebruik nemen met Second IT

Second IT haalt uit gebruik genomen hardware op met eigen beveiligde logistiek: directe ritten zonder tussenopslag, gps-bewaking, manipulatiebestendige verzegeling en verzekerd transport. Bij goederenontvangst wordt elk apparaat op alle opslagmedia gecontroleerd en per serienummer geregistreerd, ook vergeten usb-sticks of verborgen harde schijven. De verwerking vindt plaats in gebieden met toegangscontrole en camerabewaking. Gewist wordt met Blancco, met een digitaal ondertekend wiscertificaat per apparaat. Meer over Gegevensbeveiliging bij Second IT.

Afbakening ten opzichte van verwante begrippen

Niet elk IT-beveiligingsincident is een datalek in de zin van de AVG. Doorslaggevend is of persoonsgegevens zijn getroffen. Omgekeerd verlangt art. 32 AVG dat dergelijke lekken van meet af aan worden voorkomen door technische en organisatorische maatregelen . Voor instellingen die onder NIS2 vallen, kunnen aanvullende meldplichten voor aanzienlijke beveiligingsincidenten jegens het BSI bestaan (stand: 10/2026). Wie meldplichten schendt, riskeert een AVG-boete. Hoe u gegevensdragers van meet af aan netjes gedocumenteerd afvoert, legt onze gids uit Gegevensdragers afvoeren volgens de AVG. Welke gegevens er op oude harde schijven sluimeren, laat het artikel zien Bedrijfs-DNA op harde schijven.

Dit item geeft een algemeen overzicht en vervangt geen juridisch advies in een individueel geval.

Veelgestelde vragen over datalekken

Is een verloren bedrijfsnotebook altijd een meldingsplichtig datalek?

Niet altijd. Een lek is meldingsplichtig als het naar verwachting tot een risico voor de betrokkenen leidt. Was het apparaat volgens de stand van de techniek versleuteld en is de sleutel veilig, dan kan het risico gering zijn. De beoordeling en het resultaat ervan moet u echter in elk geval documenteren.

Wanneer gaan de 72 uur lopen?

De termijn begint zodra de verwerkingsverantwoordelijke met voldoende zekerheid weet dat er een inbreuk is. Een eerste controle of er in het geheel een lek is, is toegestaan, maar mag niet worden gerekt. Ontbrekende details kunt u nasturen.

Wie meldt als het lek bij de dienstverlener plaatsvindt?

De dienstverlener is als verwerker verplicht u onverwijld te informeren. De melding aan de toezichthouder blijft echter uw taak als verwerkingsverantwoordelijke. Regel meldwegen en termijnen daarom in de verwerkersovereenkomst.

Is de verkoop van een ongewist oud apparaat een datalek?

Ja, als er persoonsgegevens op staan en onbevoegden erbij kunnen. Dat geldt ook als de gegevens ‘slechts’ zijn geformatteerd of naar de prullenbak zijn verplaatst, want dergelijke gegevens kunnen vaak worden hersteld.

Moet ik ook lekken zonder meldplicht vastleggen?

Ja. Volgens art. 33 lid 5 AVG documenteert u elk lek met feiten, gevolgen en herstelmaatregelen. De toezichthouder kan deze documentatie inzien.