{"answer_id":"praxikon:eu:gdpr:answer:datalek","canonical_page":"https://www.praxikon.com/nl/antwoord/avg/datalek","query":"Wanneer moet een datalek worden gemeld bij de toezichthouder en aan betrokkenen?","lang":"nl","view":"full","mode":"gdpr","regime":"gdpr","topic":"datalek","question":"Wanneer moet een datalek worden gemeld bij de toezichthouder en aan betrokkenen?","label":"Datalek melden","answer":"Melden bij de Autoriteit Persoonsgegevens: zonder onredelijke vertraging en zo mogelijk binnen 72 uur na ontdekking, tenzij het niet waarschijnlijk is dat het lek een risico inhoudt voor de rechten en vrijheden van mensen (artikel 33 lid 1). Elk lek wordt intern vastgelegd, ook als het niet gemeld hoeft te worden (artikel 33 lid 5). De betrokkenen zelf worden alleen ingelicht als het lek waarschijnlijk een hoog risico voor hen inhoudt (artikel 34 lid 1). Ook dan vervalt die plicht als de gegevens bijvoorbeeld versleuteld waren, als het hoge risico door latere maatregelen is weggenomen, of als individueel informeren onevenredig veel moeite kost; in dat laatste geval volgt een openbare mededeling (artikel 34 lid 3).","applied_to_question":null,"matched_terms":[],"articles":[{"article":33,"source_locator":"art. 33 lid 1 AVG","point":"Melding binnen 72 uur, tenzij geen risico waarschijnlijk is.","source_title":"AVG (Verordening (EU) 2016/679)","source_url":"https://eur-lex.europa.eu/eli/reg/2016/679/oj","human_page":"https://www.praxikon.com/nl/avg/artikel/33"},{"article":33,"source_locator":"art. 33 lid 5 AVG","point":"Elk lek intern documenteren.","source_title":"AVG (Verordening (EU) 2016/679)","source_url":"https://eur-lex.europa.eu/eli/reg/2016/679/oj","human_page":"https://www.praxikon.com/nl/avg/artikel/33"},{"article":34,"source_locator":"art. 34 lid 1 AVG","point":"Betrokkenen inlichten bij een waarschijnlijk hoog risico.","source_title":"AVG (Verordening (EU) 2016/679)","source_url":"https://eur-lex.europa.eu/eli/reg/2016/679/oj","human_page":"https://www.praxikon.com/nl/avg/artikel/34"},{"article":34,"source_locator":"art. 34 lid 3 onder a tot en met c AVG","point":"Uitzonderingen: versleuteling, latere maatregelen, onevenredige inspanning.","source_title":"AVG (Verordening (EU) 2016/679)","source_url":"https://eur-lex.europa.eu/eli/reg/2016/679/oj","human_page":"https://www.praxikon.com/nl/avg/artikel/34"}],"case_law":[],"guidance":[{"id":"edpb-gl-9-2022","kind":"guidance","title":"Richtsnoeren 9/2022 over de melding van inbreuken in verband met persoonsgegevens onder de AVG","issuer":"EDPB","reference":"v2.0","ecli":null,"date":"2023-03-28","status":"final","point":"Richtsnoeren over het melden van datalekken.","source_url":"https://www.edpb.europa.eu/documents/guideline/guidelines-92022-on-personal-data-breach-notification-under-gdpr_en","human_page":null},{"id":"edpb-gl-01-2021","kind":"guidance","title":"Richtsnoeren 01/2021 met voorbeelden over de melding van inbreuken in verband met persoonsgegevens","issuer":"EDPB","reference":"v2.0","ecli":null,"date":"2021-12-14","status":"final","point":"Voorbeelden van datalekken en hoe ermee om te gaan.","source_url":"https://www.edpb.europa.eu/documents/guideline/guidelines-012021-on-examples-regarding-personal-data-breach-notification_en","human_page":null}],"enforcement":[],"open_questions":["Welke gegevens zijn gelekt, van hoeveel mensen, en waren ze versleuteld?"],"human_page":"https://www.praxikon.com/nl/avg/artikel/33","dataset":{"id":"praxikon-gdpr","source":"https://eur-lex.europa.eu/eli/reg/2016/679/oj","known_at":"2026-09-15"},"casus_check":"https://www.praxikon.com/nl/casus-check","disclaimer":"Algemene duiding, geen juridisch advies. De officiële bron blijft leidend.","methodology":"https://www.praxikon.com/nl/methodologie"}