Wanneer begint de klok?
De 72 uur uit artikel 33 lid 1 AVG begint te lopen zodra uw organisatie kennis heeft genomen van de inbreuk: het moment waarop iemand binnen uw organisatie redelijkerwijs kon weten dat er iets mis is. Niet het moment waarop het management is bijgepraat, en ook niet het moment waarop het onderzoek klaar is. Zit het lek bij een leverancier, dan begint uw klok bij zijn melding aan u; daarom is de meldtermijn in de verwerkersovereenkomst zo belangrijk. Zie de meldtermijn van de verwerker.
Moet het naar de AP?
Melden is de hoofdregel. U meldt niet alleen als het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Die afweging maakt u met drie vragen:
- Om wat voor gegevens gaat het? Een naam en adres is minder ingrijpend dan een BSN, gezondheidsgegevens, gegevens over schulden of een overlastdossier.
- Om wie gaat het, en om hoeveel mensen? Kwetsbare groepen wegen zwaarder: kinderen, mensen in de schuldhulp, patiënten, mensen met een zorgindicatie.
- Wat kan er gebeuren? Identiteitsfraude, discriminatie, reputatieschade, financiële schade, of het bekend worden van iets dat privé hoort te blijven.
Twijfelt u, dan meldt u. Een melding die achteraf niet nodig bleek, kost u een formulier; een gemiste melding kost uitleg achteraf. Leg de afweging altijd vast, ook als u niet meldt: artikel 33 lid 5 verplicht u alle inbreuken te documenteren, inclusief de feiten, de gevolgen en de maatregelen.
Wat de melding bevat
Artikel 33 lid 3 vraagt minimaal:
- de aard van de inbreuk, met de categorieën en het geschatte aantal betrokkenen en registraties;
- de contactgegevens van de functionaris gegevensbescherming of een ander contactpunt;
- de waarschijnlijke gevolgen;
- de genomen of voorgestelde maatregelen, ook om de gevolgen te beperken.
Weet u het nog niet allemaal? Meld toch, en vul later aan; de AVG staat een melding in fasen uitdrukkelijk toe. Kunt u niet binnen 72 uur melden, dan geeft u bij de melding de reden voor de vertraging.
Moeten de betrokkenen het horen?
Dat is een aparte afweging, met een zwaardere drempel: artikel 34 vraagt een mededeling aan de betrokkenen als de inbreuk waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Die mededeling is in duidelijke en eenvoudige taal, en bevat in elk geval het contactpunt, de waarschijnlijke gevolgen en de maatregelen.
Het hoeft niet als de gegevens onbegrijpelijk zijn voor onbevoegden, bijvoorbeeld door goede versleuteling, of als u achteraf maatregelen heeft genomen waardoor het hoge risico zich waarschijnlijk niet meer voordoet. Is het informeren onevenredig veel werk, dan mag een openbare mededeling in de plaats komen.
De eerste 72 uur, praktisch
| Wanneer | Wat | Wie |
|---|---|---|
| Uur 0 tot 2 | Stop de schade: toegang intrekken, mail terugroepen, systeem afsluiten. Noteer het tijdstip van ontdekking. | Melder en ICT |
| Uur 2 tot 8 | Feiten verzamelen: welke gegevens, hoeveel mensen, wie had toegang. Leverancier om schriftelijke bevestiging vragen. | Privacy officer |
| Uur 8 tot 24 | Afweging melden ja of nee, en de afweging over de betrokkenen. Advies van de functionaris gegevensbescherming. | Proceseigenaar, met advies |
| Binnen 72 uur | Melden bij de AP via het meldloket, of de afweging om niet te melden vastleggen. | Verantwoordelijke |
| Daarna | Betrokkenen informeren als dat nodig is, aanvullen bij de AP, maatregelen afronden, opnemen in het datalekregister. | Privacy officer |
Twee dingen die u nu al kunt regelen
- Eén meldpunt binnen de organisatie, dat iedereen kent, met een instructie van vijf regels. De meeste vertraging ontstaat doordat een medewerker eerst zijn leidinggevende zoekt.
- Een contactpunt bij elke leverancier, met een termijn in uren en de minimale inhoud van zijn melding. Zonder dat begint uw klok te laat, met te weinig informatie.
Wat Datavoogd hiermee doet
Datavoogd toetst de datalekafspraken in uw verwerkersovereenkomsten: het contactpunt, de bereikbaarheid, de termijn en de inhoud van de melding door de verwerker, en of de bijstand bij uw eigen meldplicht is geregeld. Per signalering een citaat uit uw document en de bron. Datavoogd signaleert; u beslist.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 33 lid 1 tot en met 5 en artikel 34 lid 1 tot en met 3.
- Autoriteit Persoonsgegevens, aanbevelingen voor de verwerkersovereenkomst, november 2025.
- Verordening (EU) 2016/679, artikel 28 lid 3 onder f (bijstand van de verwerker).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.