Datalek melden aan de GBA: wanneer moet het en hoe

Een datalek of gegevensinbreuk is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan, gewijzigd worden of in verkeerde handen kunnen vallen. Dat is breder dan hacken alleen. Herkenbare voorbeelden voor een kmo:

• Een mail met persoonsgegevens naar de verkeerde ontvanger, of een nieuwsbrief met alle adressen zichtbaar in het aan-veld.
• Een gestolen of verloren laptop, gsm of usb-stick met klant- of personeelsgegevens zonder versleuteling.
• Een gekraakte mailbox of een besmetting met ransomware waardoor je niet meer aan je bestanden kan.
• Papieren dossiers die verdwijnen, of een oud toestel dat zonder wissen wordt weggegeven.
• Een medewerker die na zijn vertrek nog toegang blijkt te hebben en gegevens meeneemt.

Geen datalek: een incident zonder persoonsgegevens, zoals een gecrashte server waarvan een versleutelde back-up netjes teruggezet wordt. De kans dat je ooit met een echt lek te maken krijgt, is intussen allesbehalve theoretisch: 45,8% van de Vlaamse ondernemingen werd in 2024 slachtoffer van een cyberaanval.

Zodra je een inbreuk vaststelt, heb je 72 uur om te melden aan de GBA, tenzij het onwaarschijnlijk is dat de inbreuk een risico vormt voor de rechten en vrijheden van de betrokkenen. Die termijn loopt vanaf het moment dat je redelijkerwijs zeker bent dát er een inbreuk is, niet vanaf het moment dat je alle details kent.

Twee geruststellingen. Eén: je mag in stappen melden. Weet je na 72 uur nog niet alles, dan doe je een voorlopige melding en vul je later aan. Twee: melden is geen schuldbekentenis. De meldplicht bestaat om betrokkenen te beschermen, niet om ondernemers te straffen die transparant zijn. De cijfers tonen dat melden gewoon deel is van normaal bedrijfsleven: de GBA ontving in 2025 zo'n 1.216 meldingen van gegevenslekken, tegenover 1.455 in 2024.

De 72-urenregel bestraft geen bedrijven die een incident hebben, wel bedrijven die het wegmoffelen. Een onvolledige melding op tijd is altijd beter dan een perfecte melding te laat.

Ben je verwerker voor iemand anders (je host bijvoorbeeld data van jouw klanten), dan meld je niet aan de GBA maar onmiddellijk aan je opdrachtgever, die als verwerkingsverantwoordelijke de melding doet.

Niet elk lek is meldingsplichtig. De toets is telkens: welk risico loopt de persoon van wie de gegevens zijn? Stel je daarbij drie vragen:

1. Welke gegevens lekten? Namen en zakelijke e-mailadressen zijn een ander verhaal dan rijksregisternummers, financiële gegevens, gezondheidsdata of wachtwoorden.
2. Bij wie kwamen ze terecht? Een mail naar één verkeerde maar betrouwbare ontvanger die bevestigt dat hij ze verwijderde, is een lager risico dan een gestolen laptop of een hack door onbekenden.
3. Wat kan ermee gebeuren? Identiteitsfraude, phishing gericht op je klanten, financiële schade, reputatieschade? Hoe reëler het scenario, hoe duidelijker de meldplicht. Vergeet daarbij niet hoe actief het fraudelandschap is: in België worden ruim 40.000 phishingberichten per dag gemeld, en gelekte contactgegevens zijn daarvoor de grondstof.

Vuistregel: is er waarschijnlijk een risico, meld aan de GBA. Is er waarschijnlijk een hoog risico, verwittig dan ook de betrokkenen zelf. Twijfel je oprecht, documenteer je afweging en kies bij aanhoudende twijfel voor melden; te veel gemeld is nooit een inbreuk, te weinig wel.

De melding gebeurt digitaal via het formulier op de website van de Gegevensbeschermingsautoriteit. Je vult in wat er gebeurd is, en de structuur van het formulier is meteen een goede checklist voor je eigen aanpak:

• De aard van de inbreuk: wat is er gebeurd, wanneer ontdekt, hoe lang liep het?
• De getroffen gegevens en personen: welke categorieën gegevens, ongeveer hoeveel betrokkenen?
• De waarschijnlijke gevolgen: jouw eerlijke inschatting van het risico.
• De genomen maatregelen: wat deed je al om het lek te dichten en de schade te beperken, en wat plan je nog?
• Een contactpunt: wie kan de GBA bereiken voor vragen, bijvoorbeeld je DPO als je die hebt, anders de zaakvoerder.

Werk parallel aan de melding ook aan de oorzaak: wachtwoorden resetten, toegangen intrekken, back-ups terugzetten, je IT-partner inschakelen. En bij een strafbaar feit zoals diefstal of hacking doe je daarnaast aangifte bij de politie; die aangifte vervangt de GBA-melding niet, en omgekeerd evenmin. Meer achtergrond over termijnen en verplichtingen vind je onder meer in dit overzicht van de meldplicht bij datalekken.

Bij een hoog risico voor de betrokkenen, bijvoorbeeld gelekte wachtwoorden of identiteitsgegevens, moet je de mensen zelf verwittigen, zonder onnodige vertraging en in klare taal: wat er gebeurde, wat de mogelijke gevolgen zijn en wat zij zelf kunnen doen (wachtwoord wijzigen, alert zijn voor phishing, bank verwittigen). Communiceer nuchter en concreet; een eerlijke waarschuwing schaadt je reputatie veel minder dan een lek dat via via uitkomt.

Documenteer daarnaast élk datalek in een intern register, ook de kleine gevallen die je niet hoefde te melden: wat gebeurde er, welke afweging maakte je, welke maatregelen volgden. Dat register is verplicht onder de GDPR én het is je beste bewijs van goede trouw als de GBA ooit vragen stelt.

Sluit af met de belangrijkste stap: leren. Elk lek wijst naar een zwakke plek, en de vaakst terugkerende oplossingen zijn dezelfde als altijd: tweestapsverificatie op alle accounts, versleutelde toestellen, minder toegangen en een team dat phishing herkent. Zo wordt een vervelend incident alsnog een investering in een steviger zaak.

De goedkoopste datalekmelding is degene die je nooit hoeft te doen, en dat begint bij een verzorgde digitale basis. Wil je weten hoe jouw website en online aanwezigheid scoren op professionaliteit en vertrouwen? Doe de gratis marketing scan en ontdek je werkpunten in enkele minuten.