Ga naar de hoofdinhoud
Praxikon
Agent-check

Artikel 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit

Praxikon houdt artikel 33 (Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Wat regelt artikel 33?

Artikel 33 regelt wat een verwerkingsverantwoordelijke moet doen bij een inbreuk in verband met persoonsgegevens, in gewone taal een datalek: gegevens zijn bijvoorbeeld gestolen, per ongeluk naar de verkeerde gestuurd of niet meer toegankelijk. De verwerkingsverantwoordelijke meldt zo'n inbreuk zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname aan de toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van mensen (lid 1). Een verwerker die een inbreuk ontdekt, informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging (lid 2). De melding heeft een vaste inhoud (lid 3), mag in stappen worden aangevuld (lid 4), en elke inbreuk moet intern worden gedocumenteerd, ook als er geen melding nodig is (lid 5). Overweging 85 legt uit waarom: een inbreuk die niet snel wordt aangepakt kan leiden tot identiteitsfraude, financieel verlies, reputatieschade of verlies van controle over de eigen gegevens; levert de inbreuk waarschijnlijk een hoog risico op, dan moet u ook de betrokkene zelf informeren volgens artikel 34.

Kernbegrip: Meldplicht datalekken: een inbreuk in verband met persoonsgegevens moet waar mogelijk binnen 72 uur na kennisname bij de toezichthoudende autoriteit worden gemeld, tenzij een risico voor betrokkenen onwaarschijnlijk is (lid 1)

Raakt direct:verwerkingsverantwoordelijkeverwerkerfunctionaris voor gegevensbeschermingtoezichthouder

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

/
Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.
De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.
In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld: a) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie; b) de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen; c) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; d) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de informatie zonder onredelijke vertraging in stappen worden verstrekt.
De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de toezichthoudende autoriteit in staat de naleving van dit artikel te controleren.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Beslisboom

Moet u een datalek melden?

De termijn van 72 uur loopt vanaf het moment dat u kennis heeft genomen van de inbreuk. Volgens de richtsnoeren van het EDPB is dat zodra u redelijk zeker weet dat er een inbreuk is; de AVG zelf zegt dat niet zo. Handel dus direct, ook als nog niet alle informatie bekend is: u mag in fasen melden (artikel 33 lid 4).

Vraag 1 · art. 4 punt 12

Is er een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens?

Denk aan een mail met persoonsgegevens aan de verkeerde ontvanger, een gestolen laptop, ransomware of een gegevensbestand dat tijdelijk onbereikbaar is. Ook verlies van beschikbaarheid telt.

Volledig schema
  1. 1

    Is er een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens?

    art. 4 punt 12

    • Ja → Vraag 2
    • Nee → Uitkomst A
  2. 2

    Verwerkt u de getroffen gegevens als verwerker, in opdracht van een andere organisatie?

    art. 33 lid 2

    • Ja, wij zijn verwerker → Uitkomst B
    • Nee, wij zijn verwerkingsverantwoordelijke → Vraag 3
  3. 3

    Is het onwaarschijnlijk dat de inbreuk een risico oplevert voor de rechten en vrijheden van personen?

    art. 33 lid 1

    • Ja, onwaarschijnlijk → Uitkomst C
    • Nee, er is een risico of twijfel → Vraag 4
  4. 4

    Levert de inbreuk waarschijnlijk een hoog risico op voor de rechten en vrijheden van de betrokkenen, bijvoorbeeld identiteitsfraude, financiële schade, discriminatie of reputatieschade?

    art. 34 lid 1

    • Ja → Vraag 5
    • Nee → Uitkomst D
  5. 5

    Is een van de uitzonderingen op het informeren van betrokkenen van toepassing?

    art. 34 lid 3

    • De gegevens waren onbegrijpelijk gemaakt, zoals door versleuteling → Uitkomst E
    • Wij namen achteraf maatregelen waardoor het hoge risico niet meer waarschijnlijk is → Uitkomst E
    • Individueel informeren vergt onevenredige inspanning → Uitkomst F
    • Geen van deze → Uitkomst G

Uitkomst A · Geldt niet

Geen datalek in de zin van de AVG

Zonder gevolgen voor persoonsgegevens is er geen meldplicht onder de AVG. Een beveiligingsincident kan wel onder andere meldplichten vallen, bijvoorbeeld in de sector- of cyberbeveiligingswetgeving.

art. 4 punt 12

Uitkomst B · Geldt

Meld de inbreuk zonder onredelijke vertraging aan uw opdrachtgever

Als verwerker meldt u de inbreuk niet zelf aan de toezichthouder, maar zonder onredelijke vertraging aan de verwerkingsverantwoordelijke. Die beslist over de melding. Geef de informatie die de verwerkingsverantwoordelijke nodig heeft en volg de afspraken in de verwerkersovereenkomst.

art. 33 lid 2 · art. 28 lid 3 onder f

Uitkomst C · Geldt deels

Niet melden, wel documenteren

Is het onwaarschijnlijk dat de inbreuk een risico oplevert, dan hoeft u niet te melden bij de Autoriteit Persoonsgegevens. Documenteer de inbreuk altijd in uw eigen register: feiten, gevolgen en genomen maatregelen (artikel 33 lid 5). Leg ook vast waarom u het risico onwaarschijnlijk vond.

art. 33 lid 1 · art. 33 lid 5

Uitkomst D · Geldt

Meld binnen 72 uur bij de Autoriteit Persoonsgegevens

Meld zonder onredelijke vertraging en waar mogelijk binnen 72 uur nadat u er kennis van heeft genomen: de aard van de inbreuk, categorieën en aantallen betrokkenen en gegevens, het contactpunt, de waarschijnlijke gevolgen en de maatregelen. Later melden kan alleen met een motivering. Documenteer de inbreuk altijd in uw eigen register: feiten, gevolgen en genomen maatregelen (artikel 33 lid 5).

art. 33 lid 1 · art. 33 lid 3 · art. 33 lid 4 · art. 33 lid 5

Uitkomst E · Geldt deels

Meld bij de AP; betrokkenen informeren is niet verplicht

Meld binnen 72 uur bij de Autoriteit Persoonsgegevens. Door de versleuteling of de genomen maatregelen hoeft u betrokkenen niet te informeren, maar de toezichthouder kan dat alsnog eisen. Documenteer de inbreuk altijd in uw eigen register: feiten, gevolgen en genomen maatregelen (artikel 33 lid 5).

art. 33 lid 1 · art. 34 lid 3 onder a en b · art. 34 lid 4 · art. 33 lid 5

Uitkomst F · Geldt

Meld bij de AP en informeer via een openbare mededeling

Meld binnen 72 uur bij de Autoriteit Persoonsgegevens. Vergt individueel informeren onevenredige inspanning, dan doet u een openbare mededeling of een vergelijkbare maatregel die betrokkenen even doeltreffend informeert. Documenteer de inbreuk altijd in uw eigen register: feiten, gevolgen en genomen maatregelen (artikel 33 lid 5).

art. 33 lid 1 · art. 34 lid 3 onder c · art. 33 lid 5

Uitkomst G · Geldt

Meld bij de AP en informeer de betrokkenen

Meld binnen 72 uur bij de Autoriteit Persoonsgegevens en informeer de betrokkenen zonder onredelijke vertraging, in duidelijke en eenvoudige taal: wat er is gebeurd, de waarschijnlijke gevolgen, de genomen maatregelen, het contactpunt en wat zij zelf kunnen doen. Documenteer de inbreuk altijd in uw eigen register: feiten, gevolgen en genomen maatregelen (artikel 33 lid 5).

art. 33 lid 1 · art. 34 lid 1 · art. 34 lid 2 · art. 33 lid 5

Een beslisboom versimpelt. Twijfelt u bij een vraag, lees dan de vindplaats of laat het beoordelen. Gecontroleerd tegen de wettekst op 1 oktober 2026.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Richt een procedure in waarmee u een inbreuk snel herkent, het risico voor betrokkenen beoordeelt en, als een risico niet onwaarschijnlijk is, zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname meldt bij de toezichthoudende autoriteit (lid 1). Zorg dat de melding de onderdelen uit lid 3 bevat en vul in stappen aan als nog niet alles bekend is (lid 4). Documenteer elke inbreuk met de feiten, de gevolgen en de genomen maatregelen, ook als u niet meldt (lid 5).

Verwerker

Informeer de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra u een inbreuk ontdekt (lid 2). U meldt zelf niet bij de toezichthoudende autoriteit; dat doet de verwerkingsverantwoordelijke (lid 1). Artikel 28 lid 3 onder f verplicht u bovendien om de verwerkingsverantwoordelijke bij deze meldplicht bij te staan.

Functionaris gegevensbescherming

Uw naam en contactgegevens gaan mee in de melding als contactpunt waar de toezichthoudende autoriteit meer informatie kan krijgen (lid 3 onder b). Zorg dat u bereikbaar bent en de inhoud van de melding kent.

Compliance checklist

Gerelateerde overwegingen

(85)

Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke per...

(86)

De verwerkingsverantwoordelijke moet de betrokkene zonder onredelijke vertraging in kennis stellen van de inbreuk in verband met persoonsgegevens wanneer die inbreuk in verband met persoonsgegevens gr...

(87)

Nagegaan moet worden of alle passende technische en organisatorische maatregelen zijn genomen om vast te stellen of een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, en om de toezichth...

(88)

Bij de vaststelling van gedetailleerde regels betreffende de methode en de procedures voor het melden van inbreuken in verband met persoonsgegevens dient de nodige aandacht te worden besteed aan de om...

(89)

Richtlijn 95/46/EG voorzag in een algemene verplichting om de verwerking van persoonsgegevens aan de toezichthoudende autoriteiten te melden. Die verplichting leidt tot administratieve en financiële l...

Kruisverwijzingen

Art. 55: Competentie

Meer rechtspraak, richtsnoeren en boetes

Aanvullend op het overzicht onderaan deze pagina: uitspraken, richtsnoeren en boetes die dit artikel uitleggen of toepassen, nieuwste eerst. Elk item is nagelopen tegen de officiële bron.

Richtsnoeren en besluiten (1)

  • 19 november 2025 · COM(2025) 837 · Europese Commissie
    Digital Omnibus: voorstel tot wijziging van de AVG

    Wetsvoorstel dat onder meer een relatieve definitie van persoonsgegevens, een meldplicht voor datalekken alleen bij hoog risico en cookieregels in de AVG zelf voorstelt. Het is een voorstel en geen geldend recht.

Boetes (1)

  • 12 december 2024 · Data Protection Commission (Ierland)€ 251.000.000
    Meta: datalek via de functie 'View As'

    Via een kwetsbaarheid in Facebook kregen onbevoegden in 2018 toegang tot ongeveer 29 miljoen accounts, waarvan zo'n 3 miljoen in de EU. Meta meldde het datalek onvolledig, documenteerde het onvoldoende en had gegevensbescherming niet in het ontwerp en de standaardinstellingen ingebouwd.

    Twee besluiten van 12 december 2024, bekendgemaakt op 17 december 2024. Meta kondigde beroep aan; of dat is ingesteld is niet geverifieerd.

Gecontroleerd op 5 november 2026

Veelgestelde vragen

← Art. 32: Beveiliging van de verwerkingArt. 34: Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene →

Samenhang

Wat samenhangt met artikel 33 AVG

Thema’s waarin dit terugkomt

De tegenhanger in de andere wet

Rechtspraak

Richtsnoeren

Wetgeving in beweging

Analyses