Is het een datalek als een collega je bestanden leest?

MacWindowsBijgewerkt 2026-10-31

Volgens de AVG valt onder een "inbreuk in verband met persoonsgegevens" ook "de ongeoorloofde toegang" tot gegevens, of dat nu per ongeluk of op onrechtmatige wijze gebeurt. De Autoriteit Persoonsgegevens (AP) noemt "inzage in een medisch dossier door een onbevoegde medewerker" als voorbeeld van een datalek. Of een organisatie zo'n datalek moet melden, hangt af van het risico voor de mensen om wie het gaat. Los daarvan kan iemand die in een computer binnendringt strafbaar zijn.

Deze pagina is algemene informatie, geen juridisch advies. Voor een concrete zaak praat je met een advocaat.

Kort antwoord

Artikel 4 punt 12 AVG omschrijft een inbreuk als "een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot" onder meer "de ongeoorloofde toegang" tot gegevens. De meldplicht ligt bij de organisatie, niet bij jou: zonder onredelijke vertraging en zo mogelijk binnen 72 uur bij de AP, tenzij het niet waarschijnlijk is dat het datalek een risico inhoudt voor de betrokkenen.

Wat telt als datalek?

De omschrijving staat in artikel 4 punt 12 AVG. Een "inbreuk in verband met persoonsgegevens" is daar "een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens".

De AP zegt het zo: "Bij een datalek gaat het om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Waarbij de oorzaak een inbreuk op de beveiliging van deze gegevens is."

De AP onderscheidt drie soorten. De eerste is een inbreuk op de vertrouwelijkheid: "persoonsgegevens zijn openbaar gemaakt of er is toegang geweest tot persoonsgegevens. Dit is gebeurd door iemand die daartoe niet bevoegd is. Of dit is per ongeluk gebeurd."

Geldt dat ook voor mensen binnen de organisatie?

De AP noemt het met zoveel woorden: een van haar voorbeelden van een datalek is "inzage in een medisch dossier door een onbevoegde medewerker".

Een tweede regel gaat over iedereen die voor een organisatie werkt. Artikel 29 AVG zegt dat "eenieder die onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens", die gegevens "uitsluitend in opdracht van de verwerkingsverantwoordelijke" verwerkt, tenzij een wet hem daartoe verplicht.

Voor personeelsdossiers schrijft de AP aan werkgevers dat alleen mensen toegang mogen hebben "die gegevens van deze werknemer nodig hebben om hun werk te kunnen doen. Zoals de direct-leidinggevende van de werknemer of medewerkers van de afdeling personeelszaken."

Of er in een bepaald geval een datalek is, hangt af van de omstandigheden.

Wie moet melden, en wanneer?

De plicht ligt bij de organisatie, de "verwerkingsverantwoordelijke". Artikel 33 lid 1 AVG zegt dat die het datalek "zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen" meldt bij de toezichthoudende autoriteit, "tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen." Komt de melding later, dan moet er een motivering voor de vertraging bij. In Nederland is de AP die autoriteit, volgens artikel 6 van de Uitvoeringswet AVG.

De AP schrijft aan organisaties dat de keuze om te melden afhangt "van de mogelijke impact van het datalek op de slachtoffers", en dat ze daarvoor een risico-inschatting maken. Haar advies aan organisaties die twijfelen of ze moeten melden, is "het zekere voor het onzekere nemen en het datalek wél melden". Volgens de AP staan in artikel 41 en 42 van de Uitvoeringswet AVG uitzonderingen op de meldplicht.

Drie andere punten horen erbij:

Vastleggen. Volgens artikel 33 lid 5 documenteert de organisatie alle datalekken, met de feiten, de gevolgen en de genomen maatregelen.
Betrokkenen informeren. Houdt het datalek "waarschijnlijk een hoog risico" in voor de rechten en vrijheden van mensen, dan deelt de organisatie het volgens artikel 34 "onverwijld" mee aan de betrokkene, behalve in de gevallen die lid 3 noemt.
Gevolgen. Volgens de AP kan ze een boete opleggen als een organisatie een datalek ten onrechte niet meldt.

Denk je dat iemand persoonsgegevens heeft bekeken die niet voor hem bedoeld waren, vraag dan wie daar bij jou over gaat, bijvoorbeeld de functionaris gegevensbescherming als je organisatie die heeft. Volgens artikel 38 lid 4 AVG kunnen betrokkenen contact opnemen met de functionaris "over alle aangelegenheden die verband houden met de verwerking van hun gegevens". De routes staan in Een collega melden die op je laptop of telefoon zat.

Wat liet het onderzoek van de AP bij gemeenten zien?

In een verkennend onderzoek dat ze op 27 januari 2026 publiceerde, keek de AP naar misbruik van persoonsgegevens door gemeenteambtenaren. De AP schrijft dat gemeenten die zulk misbruik wel ontdekten, "beschouwden het misbruik niet altijd als datalek en meldden het niet aan de AP", en dat slachtoffers geen bericht kregen. Bij gemeenten bestaan volgens de AP ook "misvattingen over wat een datalek is en wanneer het melden verplicht is."

Dat onderzoek ging over gemeenten. Het zegt niets over hoe andere werkgevers ermee omgaan.

Wanneer wordt het strafbaar?

De meldplicht hierboven is een plicht van de organisatie. Het strafrecht gaat over wat een persoon doet.

Artikel 138ab van het Wetboek van Strafrecht straft computervredebreuk: wie "opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan". De maximumstraf is twee jaar of een geldboete van de vierde categorie, en vier jaar als de dader daarna gegevens overneemt, aftapt of opneemt.

Artikel 138c straft wie "opzettelijk en wederrechtelijk niet-openbare gegevens die zijn opgeslagen door middel van een geautomatiseerd werk, voor zichzelf of voor een ander overneemt of doorgeeft", met ten hoogste een jaar of een geldboete van de vierde categorie.

Of een bepaald geval daaronder valt, hangt af van de omstandigheden. De tekst en de straffen staan in Is het in Nederland strafbaar om in andermans computer te gaan?.

En je eigen rechten?

Volgens artikel 15 AVG kun je inzage vragen in de gegevens die over je worden verwerkt, met onder meer de ontvangers aan wie ze zijn of worden verstrekt. En volgens artikel 77 AVG kun je een klacht indienen bij een toezichthoudende autoriteit als je vindt dat de verwerking van je gegevens inbreuk maakt op de verordening.

Bij de AP kun je ook een datalektip indienen. De AP schrijft daarbij: "Geef het mogelijke datalek eerst door aan de organisatie zelf. Dan kan de organisatie maatregelen nemen."

Heb je door een inbreuk op de AVG materiële of immateriële schade geleden, dan heb je volgens artikel 82 recht op schadevergoeding van de verwerkingsverantwoordelijke of de verwerker.

Meer vragen

Is het een datalek als een collega mijn personeelsdossier inziet?

De AVG noemt "de ongeoorloofde toegang" tot gegevens, en de AP schrijft aan werkgevers dat alleen mensen die de gegevens nodig hebben voor hun werk toegang tot een personeelsdossier mogen hebben, zoals de direct-leidinggevende of personeelszaken. Of het in jouw geval een datalek is, hangt af van de omstandigheden.

Moet elk datalek gemeld worden?

Nee. Volgens artikel 33 AVG hoeft een organisatie niet te melden als het niet waarschijnlijk is dat het datalek een risico inhoudt voor de rechten en vrijheden van mensen. Artikel 33 lid 5 vraagt wel dat de organisatie alle datalekken documenteert.

Moet ik het datalek zelf melden?

De meldplicht van artikel 33 ligt bij de organisatie. Je kunt wel een datalektip of een klacht indienen bij de AP. De routes staan in Een collega melden.

Is een datalek hetzelfde als computervredebreuk?

Nee. Een datalek is een begrip uit de AVG, met plichten voor de organisatie. Computervredebreuk staat in artikel 138ab van het Wetboek van Strafrecht en gaat over iemand die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk.