Kennisbank
Datalek melden: wanneer, waar en binnen welke termijn
Een datalek meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, via het meldloket datalekken. Dat hoeft alleen als het lek waarschijnlijk een risico oplevert voor de mensen van wie de gegevens zijn. Is dat risico hoog, dan informeer je hen ook zelf. Elk datalek registreer je in je eigen datalekregister, ook als je het niet meldt.
Bijgewerkt op 5 november 2026 door Dion Smits. Gegevens van verzekeraars komen van hun eigen site en voorwaarden; de bronnen staan onderaan.
Een datalek melden in vijf stappen
1
Zorg voor overzicht
Wat is er gebeurd, welke gegevens zijn geraakt en van hoeveel mensen? Betrek je IT-partner en je functionaris gegevensbescherming als je die hebt.
2
Beperk de schade
Dicht het lek direct, bijvoorbeeld door een gestolen laptop op afstand te wissen of wachtwoorden te wijzigen. Schat tegelijk het risico voor de betrokkenen in.
3
Meld binnen 72 uur bij de AP
Via het meldloket datalekken, ook als je onderzoek nog loopt. Ontbreekt informatie, doe dan een eerste melding en vul die later aan met je meldnummer.
4
Informeer de betrokkenen
Bij een hoog risico, zo snel mogelijk. Vertel wat er gelekt is en wat ze kunnen doen, zoals alert zijn op identiteitsfraude.
5
Registreer het datalek
In je datalekregister: de feiten, de gevolgen en je maatregelen. Ook datalekken die je niet hoeft te melden.
Datalek wel of niet melden: voorbeelden
Of je meldt, hangt af van het risico voor de betrokkenen. Deze voorbeelden komen uit de voorbeeldlijst en de vragen van de AP. Twijfel je, dan raadt de AP aan het lek wel te melden.
| Datalek | Melden bij de AP | Betrokkenen informeren | Waarom |
|---|---|---|---|
| Ransomware op je serverKlant- of personeelsgegevens versleuteld | Meestal wel | Bij hoog risico | De AP gaat ervan uit dat de besmetting meer bestanden en systemen kan raken dan je ziet. |
| Paspoortkopieën of BSN gelekt | ✓ Melden | ✓ Informeren | Risico op identiteitsfraude: een hoog risico volgens de AP. |
| Medische gegevens gelekt | ✓ Melden | ✓ Informeren | Doorbreking van het beroepsgeheim en kwetsbare groepen. |
| Gestolen laptop met versleutelde schijf | Niet melden | Niet informeren | De gegevens zijn onbegrijpelijk voor onbevoegden. Wel registreren. |
| Mail naar de verkeerde ontvangerDie je kunt vertrouwen en die de mail verwijdert | Niet melden | Niet informeren | De AP noemt een ontvanger die je kunt vertrouwen een reden om het risico laag in te schatten. Wel registreren. |
| Korte storing, gegevens tijdelijk onbereikbaar | Niet melden | Niet informeren | Een storing van een paar minuten noemt de AP een te registreren incident, geen te melden inbreuk. |
Bron: Autoriteit Persoonsgegevens, meldplicht datalekken en voorbeeldlijst wel/niet melden. Geraadpleegd op 5 november 2026.
Wat er in de melding staat
Het meldformulier van de AP stelt alleen de vragen die bij jouw lek horen. Je kunt het tussentijds opslaan en later aanvullen.
Over het lek
- Wat er gebeurde en wanneer je het ontdekte
- Welke soorten gegevens het betreft
- Van hoeveel mensen ongeveer
Over de gevolgen
- Het risico voor de betrokkenen
- Of je hen informeert, en zo niet waarom
- Of het lek ook andere EU-landen raakt
Over je maatregelen
- Wat je deed om het lek te dichten
- Wat je doet om herhaling te voorkomen
- Een contactpersoon voor de AP
Na het versturen krijg je een ontvangstbevestiging met een meldnummer. Bewaar die: het formulier is daarna online niet meer in te zien, en je hebt het nummer nodig om de melding aan te vullen, te wijzigen of in te trekken. Meestal reageert de AP niet op een melding.
Boete bij een datalek dat je te laat of niet meldt
Wie een datalek niet of te laat meldt, overtreedt de AVG. De AP accepteert een melding na 72 uur alleen in uitzonderlijke gevallen, en dan met een motivering. Voor overtreding van de meldplicht kan de AP een boete opleggen tot € 10 mln of 2% van de wereldwijde jaaromzet (artikel 83 AVG).
Booking.com meldde een lek 22 dagen te laat en kreeg in 2021 een boete van € 475.000. De AP kan na een melding ook een onderzoek starten, om het onderzoeksrapport vragen of je verplichten de betrokkenen alsnog te informeren.
Werkt een ander voor jou met de gegevens, zoals een hostingbedrijf of salarisverwerker? Dan meldt die het lek zonder onredelijke vertraging aan jou. De melding bij de AP blijft jouw taak, tenzij je in de verwerkersovereenkomst afspreekt dat de verwerker meldt.
Wat je cyberverzekering doet bij een datalek
Zestien van de zeventien zakelijke polissen in onze vergelijking dekken datalekken. De polis helpt juist bij de melding.
Juridische hulp bij de melding
De jurist van de verzekeraar beoordeelt of je moet melden en helpt bij het formulier. Stoïk en Zurich noemen hulp bij de meldplicht uitdrukkelijk. Via Hienfeld registreer en meld je datalekken gratis met Privacy Zeker.
Kosten van informeren
Mailings, een callcenter en krediet- of identiteitsbewaking voor de mensen van wie gegevens gelekt zijn. Allianz biedt bewaking tot 12 maanden.
Claims en de boete
Claims van gedupeerden en het verweer tegen de AP. Een boete alleen voor zover de wet het toestaat en niet bij opzet of grove schuld.
Vragen over datalek melden
Binnen hoeveel tijd moet ik een datalek melden?
Binnen 72 uur nadat je het ontdekte. Heb je dan nog niet alle informatie, doe dan een eerste melding en vul die later aan.
Waar meld ik een datalek?
Bij de Autoriteit Persoonsgegevens, via het meldloket datalekken op de site van de AP. Een melding bij je functionaris gegevensbescherming telt niet als melding.
Moet ik elk datalek melden?
Nee. Alleen als het waarschijnlijk een risico oplevert voor de betrokkenen. Registreer wel elk datalek in je datalekregister.
Telt het weekend mee in de 72 uur?
Ja. De termijn loopt vanaf het moment van ontdekking, ook in het weekend en op feestdagen.
Maakt de AP mijn melding openbaar?
Nee. De AP bewaart meldingen in een register dat niet openbaar is.
Moet ik een datalek ook bij het NCSC melden?
Alleen als je organisatie onder de Cyberbeveiligingswet valt en het incident significant is. Dat is een aparte melding, met een eerste waarschuwing binnen 24 uur.
Verder lezen
Bronnen
Geraadpleegd op 5 november 2026.
- Autoriteit Persoonsgegevens: meldplicht datalekken
- Autoriteit Persoonsgegevens: acties bij datalekken
- Autoriteit Persoonsgegevens: stappenplan kom in actie bij een datalek
- Autoriteit Persoonsgegevens: voorbeeldlijst wel/niet melden datalek
- Autoriteit Persoonsgegevens: zo meldt u een datalek (Engelstalig)
- AVG (Verordening 2016/679), artikelen 33, 34 en 83
Laat je helpen bij de melding
Vergelijk cyberverzekeringen met juridische hulp bij een datalek.