PRIVACY & AVG · BIJGEWERKT AUG. 2026
Bij de Autoriteit Persoonsgegevens komen jaarlijks tienduizenden datalekken binnen — en dat zijn alleen de gemelde gevallen. Een organisatie die jouw gegevens verliest, moet dat binnen 72 uur melden. Maar wat is een datalek nu precies, en belangrijker: wat moet jij doen als je hoort dat jouw naam, e-mailadres of bankgegevens zijn uitgelekt? In deze gids lees je hoe je een datalek herkent, hoe de meldplicht werkt, welke stappen je zelf zet om fraude te voorkomen en wanneer je recht hebt op schadevergoeding of een massaclaim.
In dit artikel
Wat is een datalek precies?
Een datalek is een inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan of in verkeerde handen komen. De Autoriteit Persoonsgegevens vat het breed op: het gaat niet alleen om gestolen data, maar ook om gegevens die per ongeluk zijn vernietigd, gewijzigd of aan de verkeerde persoon zijn getoond. Zodra iemand toegang krijgt tot persoonsgegevens die daar niet voor bedoeld waren, is er sprake van een datalek.
Belangrijk om te snappen: een datalek is niet hetzelfde als een hack. Een hack is een van de oorzaken, maar lang niet de meest voorkomende. Veel lekken ontstaan door menselijke fouten — een medewerker die een bestand naar het verkeerde adres stuurt, een laptop die in de trein blijft liggen, of een systeem dat verkeerd is ingesteld. Onder de Algemene verordening gegevensbescherming (AVG) is de organisatie die jouw gegevens verwerkt verantwoordelijk, ongeacht de oorzaak.
Waarom is dit voor jou van belang? Omdat gelekte gegevens de grondstof zijn voor fraude. Een e-mailadres in combinatie met je geboortedatum en woonadres is genoeg om overtuigende phishing te sturen. Bankgegevens of een kopie van je identiteitsbewijs kunnen worden gebruikt voor identiteitsfraude, waarbij criminelen op jouw naam leningen afsluiten of abonnementen aangaan. Hoe gevoeliger de gelekte gegevens, hoe groter het risico voor jou persoonlijk.
Kernfeit
Niet elk datalek is een hack. De meeste lekken ontstaan door menselijke fouten: een verkeerd geadresseerde e-mail, een kwijtgeraakte usb-stick of een verkeerd ingesteld systeem. De organisatie blijft onder de AVG altijd verantwoordelijk, ook bij een simpele vergissing.
Voorbeelden: van hack tot verkeerde e-mail
Datalekken komen in veel vormen. Sommige raken duizenden mensen tegelijk, andere maar één. Hieronder zie je de meest voorkomende situaties, met per type een inschatting van het risico dat het voor jou als betrokkene oplevert.
| Type datalek | Voorbeeld | Risico voor jou |
| Hack of ransomware | Inbraak op een klantendatabase van een webshop | Hoog |
| Verkeerde geadresseerde | E-mail met een deelnemerslijst naar de hele groep in cc | Laag tot midden |
| Verlies of diefstal | Gestolen laptop of verloren usb-stick met dossiers | Midden tot hoog |
| Verkeerde instelling | Een map met facturen openbaar op internet | Midden |
| Phishing bij personeel | Medewerker geeft inloggegevens prijs na neplink | Hoog |
Het risico hangt af van welke gegevens er lekken. Alleen een e-mailadres is vervelend, maar overkomelijk. Lekken je Burgerservicenummer (BSN), een kopie van je paspoort of je bankgegevens, dan is de zaak ernstiger: dat zijn de bouwstenen voor identiteitsfraude. Grote datalekken bij bekende organisaties raakten de afgelopen jaren miljoenen Nederlanders — precies om die reden is snel en zorgvuldig handelen belangrijk.
Hoe werkt de 72-uurs meldplicht?
Sinds de AVG geldt er een meldplicht datalekken. Een organisatie die een datalek ontdekt, moet dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens — tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Die 72 uur gaan lopen vanaf het moment dat de organisatie zich bewust wordt van het lek, niet vanaf het moment dat het lek ontstond.
Er is nog een tweede verplichting die voor jou als consument belangrijker is. Levert het datalek een hoog risico op voor je rechten en vrijheden, dan moet de organisatie ook jou persoonlijk informeren. Dat gebeurt bijvoorbeeld als er gevoelige gegevens zijn gelekt zoals medische gegevens, een BSN of inloggegevens. In die melding hoort te staan wat er is gebeurd, welke gegevens het betreft en wat je zelf kunt doen om schade te beperken. Krijg je zo’n bericht, negeer het dan niet — het is geen formaliteit.
Houdt een organisatie zich niet aan de regels, dan kan de Autoriteit Persoonsgegevens boetes opleggen die oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Dat is de zwaarste categorie in de AVG. In de praktijk deelt de toezichthouder vooral boetes uit bij structurele nalatigheid of bij organisaties die een lek bewust verzwegen. Voor jou is vooral dit relevant: je hebt er recht op om te weten of jouw gegevens betrokken waren.
Belangrijk
De 72-uurs termijn geldt voor de organisatie richting de Autoriteit Persoonsgegevens. Bij een hoog risico moet de organisatie jou ook rechtstreeks informeren. Krijg je zo’n melding, lees hem dan goed en volg het stappenplan hieronder direct op.
Stappenplan: wat moet jij doen bij een datalek?
Hoor je dat je gegevens zijn gelekt, wacht dan niet af. Criminelen handelen snel, dus jij ook. Onderneem deze stappen in deze volgorde — ze kosten samen minder dan een uur en beperken je risico aanzienlijk.
Wijzig direct je wachtwoord bij de getroffen dienst. Gebruikte je hetzelfde wachtwoord ook elders? Wijzig het daar dan óók. Hergebruik van wachtwoorden is de grootste vermenigvuldiger van schade na een lek.
Zet tweestapsverificatie (2FA) aan waar dat kan. Zelfs als je wachtwoord gelekt is, kan een crimineel dan niet inloggen zonder de extra code op je telefoon.
Wees alert op phishing. Na een lek volgt vaak een golf gerichte nepberichten. Klik nergens op links in ongevraagde mails of sms’jes en geef nooit codes door.
Controleer je rekeningafschriften de komende weken extra vaak. Zie je een onbekende afschrijving, meld die dan meteen bij je bank en laat de transactie terugboeken.
Lek er een kopie van je identiteitsbewijs? Meld dit bij het Centraal Meldpunt Identiteitsfraude. Zij helpen je verdere schade te voorkomen en registreren de fraude.
Bewaar het bewijs. Screenshot de melding en noteer datum en tijd. Dat heb je nodig als je later een klacht indient of een schadevergoeding wilt claimen.
De rode draad in dit stappenplan is wachtwoordhygiëne. Wie voor elke dienst hetzelfde wachtwoord gebruikt, verandert één lek in een probleem bij tientallen accounts tegelijk. Een wachtwoordmanager lost dit op: die maakt voor elke site een uniek, sterk wachtwoord aan dat je niet hoeft te onthouden. Combineer dat met tweestapsverificatie en één datalek blijft beperkt tot één account.
Weet jij welke rechten je hebt onder de AVG?
Van inzage tot verwijdering: ontdek wat je van een organisatie mag eisen na een datalek.
Hoe herken je phishing na een datalek?
Na een datalek weten criminelen precies bij welke dienst je klant bent. Daardoor kunnen ze nep-e-mails sturen die er akelig echt uitzien: met jouw naam erin, in de huisstijl van je bank of webshop, en met een verhaal dat past bij de situatie. Dit heet spear phishing, en het is een stuk overtuigender dan de klassieke spammail.
Er zijn een paar signalen die vrijwel altijd wijzen op fraude. Een bericht dat aandringt op haast (“uw account wordt binnen 24 uur geblokkeerd”) is verdacht. Een afzender die vraagt om je pincode, volledige wachtwoord of een verificatiecode is dat altijd — geen enkele bank vraagt daar ooit om. Ook een afwijkend webadres in de link, of een verzoek om te betalen via een ongebruikelijke methode, zijn rode vlaggen. Twijfel je? Ga dan niet via de link, maar tik het adres van de organisatie zelf in je browser en log daar in.
Let op
Geen enkele bank, overheid of webshop vraagt je ooit per e-mail of telefoon om je volledige wachtwoord, pincode of een verificatiecode. Wordt daar wel om gevraagd, dan is het fraude — hoe echt het bericht er ook uitziet. Verbreek het contact en neem zelf rechtstreeks contact op met de organisatie.
Wanneer kun je schadevergoeding of een massaclaim starten?
De AVG geeft je het recht op schadevergoeding als je door een datalek schade lijdt. Dat kan materiële schade zijn — bijvoorbeeld geld dat door fraude van je rekening is gehaald — maar ook immateriële schade, zoals aantoonbare stress of verlies van controle over je gegevens. In de rechtspraak is de lat voor immateriële schade wel hoog: je moet kunnen onderbouwen dat je écht nadeel hebt ondervonden, een enkel ongemak is niet genoeg.
Bij grote datalekken die veel mensen tegelijk raken, is een individuele procedure vaak niet de moeite waard: de kosten wegen niet op tegen het bedrag dat je per persoon kunt vorderen. Daarvoor bestaat de massaclaim: een stichting bundelt de vorderingen van duizenden gedupeerden en voert namens iedereen één procedure. Je risico is dan beperkt, want de kosten worden collectief gedragen. Deelname is meestal gratis; de organisatie houdt bij winst een deel van de opbrengst in.
SOMI
Stichting voor massaclaims en procescertificaten
SOMI (Stichting Onderzoek Marktinformatie) start collectieve acties namens gedupeerden bij grote datalekken en privacyschendingen. Je kunt je vaak kosteloos aansluiten bij een lopende zaak. Lees per actie goed de voorwaarden: aansluiten is geen garantie op uitkering en de doorlooptijd van dit soort procedures is doorgaans lang.
Risicowaarschuwing
Aansluiten bij een massaclaim of het aanschaffen van een procescertificaat geeft geen garantie op een uitkering. De uitkomst hangt af van de rechter, en procedures duren vaak jaren. Lees de voorwaarden en de kostenstructuur van elke actie zorgvuldig voordat je meedoet. Dit is geen juridisch advies.
Naast een claim kun je altijd gratis een klacht indienen bij de Autoriteit Persoonsgegevens. Die klacht levert je zelf geen geld op, maar helpt de toezichthouder om patronen te zien en organisaties aan te spreken. Wil je én je recht halen én bijdragen aan strenger toezicht, dan kunnen beide routes naast elkaar lopen.
Veelgestelde vragen over datalekken
Moet ik zelf een datalek melden bij de Autoriteit Persoonsgegevens?
Nee, de meldplicht ligt bij de organisatie die jouw gegevens verwerkt. Zij moeten het lek binnen 72 uur melden. Als consument kun je wél een klacht indienen bij de Autoriteit Persoonsgegevens als je vermoedt dat een organisatie onzorgvuldig met je gegevens is omgegaan of een lek verzweeg.
Hoe weet ik of mijn gegevens zijn gelekt?
Bij een hoog risico moet de organisatie je persoonlijk informeren, meestal per e-mail of brief. Daarnaast kun je zelf controleren of je e-mailadres in bekende lekken voorkomt via betrouwbare controlediensten. Krijg je plotseling veel phishing of onbekende inlogpogingen, dan kan dat ook een signaal zijn.
Wat is het eerste dat ik moet doen bij een datalek?
Wijzig direct je wachtwoord bij de getroffen dienst en overal waar je hetzelfde wachtwoord gebruikte. Zet vervolgens tweestapsverificatie aan en houd je bankafschriften de komende weken extra in de gaten. Dit beperkt de kans op fraude aanzienlijk.
Kan ik schadevergoeding krijgen na een datalek?
Dat kan, maar je moet aantoonbare schade hebben. Bij materiële schade, zoals fraude met je rekening, is dat eenvoudiger dan bij immateriële schade. De rechter stelt hoge eisen aan het bewijs van immateriële schade. Bij grote lekken is aansluiten bij een collectieve massaclaim vaak realistischer dan een eigen procedure.
Wat is het verschil tussen een datalek en een hack?
Een hack is één van de mogelijke oorzaken van een datalek. Een datalek is elke inbreuk waarbij persoonsgegevens verloren gaan of in verkeerde handen komen, ook door een menselijke fout zoals een verkeerd verzonden e-mail of een gestolen laptop. Elk lek valt onder de meldplicht, ongeacht de oorzaak.
Wat als een kopie van mijn paspoort is gelekt?
Meld dit bij het Centraal Meldpunt Identiteitsfraude. Zij helpen je om te voorkomen dat criminelen op jouw naam producten afsluiten. Wees daarnaast extra alert op post of berichten over rekeningen of abonnementen die je niet zelf hebt aangevraagd, en bewaar alle bewijzen van de melding.
Transparantie: Dit artikel bevat een affiliate-link naar SOMI. Als je je via deze link aansluit bij een actie, ontvangen wij mogelijk een vergoeding — tegen nul extra kosten voor jou. Dit heeft geen invloed op onze uitleg. Wij informeren onafhankelijk en noemen ook routes zonder commissieafspraak, zoals de gratis klacht bij de Autoriteit Persoonsgegevens. Dit artikel is algemene voorlichting en geen juridisch advies. Raadpleeg bij een concrete zaak een jurist.
Geef een reactie