Wat de wet zegt
Artikel 33 lid 1 AVG: de verwerkingsverantwoordelijke meldt een datalek zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de AP. Dat geldt niet als het lek waarschijnlijk geen risico oplevert voor de betrokkenen.
Artikel 33 lid 2 AVG: de verwerker informeert de verwerkingsverantwoordelijke "zonder onredelijke vertraging" zodra hij kennis heeft genomen van het lek. Een aantal uren noemt de wet voor de verwerker niet.
Het gevolg: de 72 uur van de verwerkingsverantwoordelijke en de open norm van de verwerker moeten in de overeenkomst aan elkaar worden geknoopt. Daarvoor is een concrete afspraak nodig.
Wat de AP in november 2025 aanbeval
De AP vraagt datalekafspraken apart en concreet uit te werken, met drie onderdelen:
- Een contactpunt dat actueel en bereikbaar is, bij voorkeur een gezamenlijke mailbox of een telefoonnummer dat ook buiten kantoortijd werkt, en geen persoon die op vakantie kan zijn.
- Een termijn in uren waarbinnen de verwerker meldt.
- De minimale inhoud van de melding, zodat u kunt beslissen of u moet melden bij de AP en de betrokkenen.
Hoeveel uur is redelijk?
De AVG geeft geen getal voor de verwerker, de AP ook niet. In de praktijk zijn twee referenties gangbaar:
- Gemeenten: de Standaard Verwerkersovereenkomst Gemeenten van de IBD noemt uiterlijk 24 uur (artikel 5.1).
- Organisaties onder de Cyberbeveiligingswet: sinds 2026 moeten essentiële en belangrijke entiteiten een significant incident binnen 24 uur vroegtijdig melden bij hun CSIRT en toezichthouder (artikel 26) en binnen 72 uur een melding indienen (artikel 27). De wet noemt onder meer de gezondheidszorg als sector. Een leverancier die u pas na twee dagen informeert, maakt die termijn onhaalbaar.
Let op: een termijn van 24 uur voor de verwerker laat u 48 uur voor uw eigen beoordeling en melding. Spreek ook af dat de verwerker eerst meldt en later aanvult, zodat een onvolledig beeld geen reden is om te wachten.
Wat moet de verwerker melden?
Uw eigen melding aan de AP moet volgens artikel 33 lid 3 onder meer de aard van het lek, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de genomen maatregelen bevatten. De verwerker is vaak de enige die dat weet. Leg daarom in de overeenkomst vast dat de melding van de verwerker minimaal bevat:
- wat er is gebeurd en wanneer, en wanneer het is ontdekt;
- welke gegevens en welke groepen betrokkenen het raakt, met een schatting van het aantal;
- of gegevens zijn versleuteld, gekopieerd of alleen onbereikbaar waren;
- welke subverwerker erbij betrokken is;
- welke maatregelen zijn genomen en welke nog volgen;
- een contactpersoon voor vervolgvragen.
Snel nagaan in uw eigen overeenkomsten
- Staat er een aantal uren, of alleen "zonder onredelijke vertraging" of "zo spoedig mogelijk"?
- Is het contactpunt een functiemailbox of een persoon die inmiddels vertrokken is?
- Geldt de termijn ook voor een lek bij een subverwerker?
- Staat de inhoud van de melding erin, of alleen dat er gemeld wordt?
- Is afgesproken wie de betrokkenen informeert, en wie dat betaalt?
Wat Datavoogd hiermee doet
Datavoogd toetst de datalekafspraak op vier punten: het contactpunt, de bereikbaarheid, de termijn en de inhoud van de melding. Waar de wet geen getal geeft, vult Datavoogd dat niet zelf in: het legt de gevonden termijn met citaat aan u voor. Voor gemeenten toetst Datavoogd daarnaast aan de 24 uur uit de IBD-standaard. De beslissing blijft bij de functionaris gegevensbescherming. Meer in de checklist verwerkersovereenkomst.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 28 lid 3 onder f, artikel 33 lid 1 tot en met 3.
- Autoriteit Persoonsgegevens, aanbevelingen voor de verwerkersovereenkomst, november 2025 (aanbeveling 1: concrete datalekafspraken).
- Cyberbeveiligingswet, geldend vanaf 15 augustus 2026, artikel 21, 26 en 27 (wetten.overheid.nl).
- IBD/VNG, Standaard Verwerkersovereenkomst Gemeenten versie 2.54 (2026), artikel 5.1.
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.