Bij een datalek in Nederland 2026 geldt een meldplicht van 72 uur bij de Autoriteit Persoonsgegevens (AP) — tenzij het lek waarschijnlijk geen risico vormt voor betrokkenen. Is er een hoog risico? Dan moeten ook de getroffen personen zelf direct worden geïnformeerd. Verzuim wordt beboet tot €20 miljoen of 4% van de wereldwijde jaaromzet (artikel 83 AVG).
Stappenplan: datalek melden in 2026
- Ontdek en beoordeel het lek (uur 0-4): Stel vast wat er is gelekt (persoonsgegevens?), hoeveel records, welke categorieën (gezondheid, financieel, bijzondere gegevens?), en wie er toegang tot had. Bijzondere categorieën (gezondheid, ras, religie) vereisen altijd melding.
- Intern registreer het incident (uur 0-24): Leg het lek vast in uw datalekregister (vereist door AVG art. 33 lid 5). Vastleg: datum ontdekking, aard lek, betrokken categorieën, getroffen personen, gevolgen, maatregelen.
- Beoordeel de risicoklasse (uur 4-24):
- Geen of laag risico → geen melding AP vereist, wél intern registreren
- Risico aanwezig → melden bij AP binnen 72 uur
- Hoog risico → melden bij AP + direct informeren betrokkenen
- Meld bij de AP (uiterlijk uur 72): Via het online meldportaal van de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). U geeft op: aard van het lek, contactgegevens FG, categorieën en aantal betrokkenen, verwachte gevolgen, genomen maatregelen.
- Informeer betrokkenen bij hoog risico (onverwijld): De melding aan betrokkenen moet in begrijpelijke taal: aard datalek, contactgegevens FG, te verwachten gevolgen, getroffen maatregelen.
Wanneer hoeft u een datalek NIET te melden bij de AP?
Meldplicht vervalt wanneer:
- De gelekte gegevens onleesbaar zijn door sterke encryptie (en de sleutel niet is gelekt)
- De maatregelen die u na het lek hebt genomen, het risico volledig wegnemen
- De kans dat het lek tot schade voor betrokkenen leidt verwaarloosbaar klein is
Boetes voor niet-melden van datalekken in Nederland 2026
| Overtreding | Maximale boete (AVG art. 83) |
|---|---|
| Niet tijdig melden datalek bij toezichthouder | €10 mln of 2% jaaromzet |
| Niet informeren betrokkenen bij hoog risico | €20 mln of 4% jaaromzet |
| Geen of onvolledig datalekregister bijhouden | €10 mln of 2% jaaromzet |
Veelgestelde vragen datalek melden 2026
Binnen hoeveel uur moet een datalek worden gemeld in Nederland?
U moet een datalek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, als het lek een risico vormt voor betrokkenen. Is er een hoog risico? Dan moeten ook de getroffen personen zelf direct worden geïnformeerd, zonder onnodige vertraging.
Moet elk datalek worden gemeld bij de AP?
Nee. U hoeft alleen te melden als het lek waarschijnlijk risico's oplevert voor de rechten en vrijheden van betrokkenen. Een lek met versleutelde gegevens hoeft bijvoorbeeld niet gemeld te worden. Wél moet elk datalek — ook als u niet hoeft te melden — worden vastgelegd in uw interne datalekregister.
Wat is een hoog risico datalek?
Een hoog risico datalek kan leiden tot financiële schade, identiteitsfraude, discriminatie, reputatieschade of andere ernstige nadelen voor betrokkenen. Bijzondere persoonsgegevens (gezondheid, ras, religie, seksuele geaardheid) of financiële gegevens bij groot aantal betrokkenen = in de regel hoog risico. Bij hoog risico: meld bij AP én informeer betrokkenen direct.