Datalekken in Nederland: meldplicht, bekende voorbeelden en wat jij kunt doen (2026)

In het kort: een datalek is elke keer dat persoonsgegevens in verkeerde handen komen of onbedoeld op straat liggen, van een hack tot een verkeerd geadresseerde brief. Organisaties moeten een lek met risico binnen 72 uur melden bij de Autoriteit Persoonsgegevens. In 2024 kwamen er bijna 38.000 meldingen binnen, een record. Hieronder lees je wat een datalek precies is, hoe de meldplicht werkt, welke grote lekken Nederland trof en wat je zelf doet als jouw gegevens erbij zitten.

Wat is een datalek?

Een datalek is een inbreuk op de beveiliging waardoor persoonsgegevens verloren gaan of terechtkomen bij mensen die er geen toegang toe zouden mogen hebben. Dat gaat verder dan alleen hackers. Ook een gestolen laptop, een verloren usb-stick, een e-mail met alle adressen in het cc-veld in plaats van bcc, of een brief die bij de verkeerde persoon in de bus valt telt mee.

Gegevens die vaak lekken zijn je naam, adres en woonplaats, je e-mailadres en telefoonnummer, je burgerservicenummer (BSN), inloggegevens en soms medische of financiele gegevens. Hoe gevoeliger de gegevens, hoe groter de schade als ze uitlekken. Een BSN of medisch dossier is voor criminelen veel waardevoller dan een los e-mailadres, omdat het zich leent voor identiteitsfraude.

De meldplicht: 72 uur naar de Autoriteit Persoonsgegevens

Sinds de invoering van de AVG geldt in heel Europa een meldplicht voor datalekken. De kern staat in artikel 33: raakt een organisatie bekend met een lek dat waarschijnlijk een risico oplevert voor de mensen om wie het gaat, dan moet zij dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). De klok begint te lopen op het moment dat de organisatie het lek ontdekt, niet pas als de oorzaak helemaal duidelijk is.

Melden gebeurt via het online meldloket van de AP. De organisatie beschrijft wat er is gebeurd, om welke gegevens en hoeveel mensen het gaat en wat ze eraan doet. Alleen als het onwaarschijnlijk is dat het lek een risico oplevert, mag een melding achterwege blijven.

Levert het lek een hoog risico op, bijvoorbeeld als BSN’s of medische gegevens zijn buitgemaakt, dan moet de organisatie ook jou als betrokkene informeren (artikel 34). Dat is de brief of e-mail die je soms krijgt met de mededeling dat je gegevens bij een incident betrokken waren.

De meldplicht is geen papieren regel. Booking.com kreeg in 2021 een boete van 475.000 euro omdat het een datalek 22 dagen te laat had gemeld. Te laat of niet melden kan een organisatie dus flink geld kosten.

Cijfer om te onthouden: in 2024 ontving de AP 37.839 datalekmeldingen, bijna de helft meer dan het jaar ervoor. Een groot deel daarvan was geen hack, maar een menselijke fout zoals een verkeerd verzonden brief of e-mail.

Bekende datalekken in Nederland

Nederland kende de afgelopen jaren een reeks grote lekken. Deze voorbeelden laten zien hoe verschillend de oorzaken zijn, van hacks tot handel door eigen medewerkers.

• DigiNotar (2011): deze uitgever van beveiligingscertificaten werd gehackt, waarna aanvallers valse certificaten maakten en het internetverkeer van zo’n 300.000 Iraanse Google-gebruikers konden afluisteren. Het vertrouwen was zo beschadigd dat het bedrijf failliet ging. Dit lek gaf de discussie over digitale veiligheid bij de overheid een flinke duw.
• RDW-kentekenregister (2019): er bleek handel te bestaan in persoonsgegevens uit het kentekenregister. Een oud-parkeerhandhaver met toegang tot de database vroeg zonder werkreden kentekens op en deelde de gegevens met anderen.
• GGD / CoronIT (2021): uit de coronasystemen CoronIT en HPzone Lite werden op grote schaal persoonsgegevens verhandeld via Telegram en Snapchat. Het ging om namen, adressen, telefoonnummers en BSN’s. Voor de diefstal en verkoop zijn celstraffen geeist.
• Ticketcounter (2021): bij dit ticketplatform voor onder meer dierentuinen en attracties werden door een menselijke fout gegevens van miljoenen kopers blootgesteld en buitgemaakt.
• Politie (2024): aanvallers kaapten een inlogsessie en stalen de contactgegevens van bijna 65.000 politiemedewerkers. In mei 2025 wezen de inlichtingendiensten naar een Russische hackgroep die ‘Laundry Bear’ wordt genoemd.
• Bevolkingsonderzoek baarmoederhalskanker (2025): na een hack bij laboratorium Clinical Diagnostics in Rijswijk lekten uiteindelijk gegevens van ongeveer 941.000 deelnemers, waaronder naam, adres, geboortedatum, BSN en testuitslagen. Getroffen deelnemers kregen hierover een brief.

Wat opvalt: lang niet elk groot lek is het werk van geniale hackers van buiten. Een medewerker die gegevens verkoopt, een verkeerd ingesteld systeem of een simpele vergissing komen minstens zo vaak voor.

Wat kun jij doen als je gegevens in een lek zitten?

Je kunt een datalek bij een organisatie niet voorkomen, maar je kunt de schade voor jezelf wel beperken. Loop deze stappen langs zodra je hoort dat je gegevens betrokken zijn, bijvoorbeeld via een brief of het nieuws.

1. Lees de brief of melding goed. Daar staat welke gegevens zijn gelekt. Ging het alleen om je e-mailadres, of ook om je BSN, wachtwoord of medische gegevens? Dat bepaalt hoe alert je moet zijn.
2. Verander je wachtwoord als inloggegevens zijn gelekt, en gebruik dat wachtwoord nergens anders meer. Controleer op of jouw wachtwoord al eerder is uitgelekt en kies overal een uniek wachtwoord.
3. Zet tweefactorauthenticatie (2FA) aan waar het kan. Dan komt een crimineel met alleen je wachtwoord nog niet binnen.
4. Wees extra alert op phishing. Na een lek weten oplichters vaak je naam en bij welke organisatie je klant bent, waardoor nep-mailtjes en sms’jes geloofwaardiger overkomen. Klik niet zomaar op links en geef nooit codes door.
5. Is je BSN gelekt? Houd je DigiD, bankrekening en post in de gaten en overweeg je DigiD-wachtwoord te vernieuwen. Bij vermoeden van identiteitsfraude kun je aangifte doen.
6. Meld fraude of oplichting bij de Fraudehelpdesk (088 – 786 7372) en doe bij strafbare feiten aangifte bij de politie (0900 – 8844).

Wil je breder grip krijgen op wat organisaties en websites van je weten, begin dan bij onze gids over je online privacy beschermen. Ben je net begonnen met veiliger online zijn, dan helpt het overzicht veilig internetten voor beginners je op weg.

Veelgestelde vragen

Binnen hoeveel tijd moet een datalek gemeld worden?

Een organisatie moet een datalek met risico binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens. Levert het lek een hoog risico op, dan moeten ook de betrokkenen zelf worden geinformeerd.

Krijg ik altijd bericht als mijn gegevens in een lek zitten?

Niet altijd. Je krijgt alleen persoonlijk bericht als het lek waarschijnlijk een hoog risico voor jou oplevert. Bij lekken met een lager risico hoeft een organisatie je niet apart te informeren, ook al is er wel gemeld bij de AP.

Is een verkeerd verzonden e-mail ook een datalek?

Ja. Als er persoonsgegevens in staan en de mail bij de verkeerde persoon terechtkomt, is dat een datalek. Dit soort menselijke fouten vormt in de praktijk een groot deel van alle meldingen.

Kan ik zelf een datalek melden?

Als particulier meld je niet bij de AP, dat doet de organisatie die de gegevens verwerkt. Merk je dat een bedrijf slordig met jouw gegevens omgaat, dan kun je dat wel bij de organisatie zelf melden en zo nodig een klacht indienen bij de Autoriteit Persoonsgegevens.

Bron: Autoriteit Persoonsgegevens (meldplicht datalekken en datalekkenrapportage 2024), AVG artikel 33 en 34, en berichtgeving over de genoemde incidenten. Laatst gecontroleerd in juli 2026.