Datalek: wat kun je doen als jouw gegevens zijn gelekt?

Zijn jouw gegevens gelekt? Doe dit eerst

Weet je dat jouw gegevens onderdeel zijn van een datalek? Volg dan deze stappen:

1. Controleer welke gegevens zijn gelekt.
   Zoek in het bericht van de organisatie welke gegevens betrokken zijn bij het datalek. Je weet dan beter welk risico je loopt.
2. Verander gelekte wachtwoorden direct.
   Gebruik je hetzelfde wachtwoord voor andere accounts? Verander het daar ook. Kies voor ieder account een ander wachtwoord.
3. Zet tweestapsverificatie aan.
   Daarmee voeg je een extra beveiligingsstap toe. Iemand die je wachtwoord kent, kan dan niet zomaar inloggen.
4. Houd je bankrekening in de gaten als financiële gegevens zijn gelekt.
   Zie je een betaling die je niet herkent? Neem dan direct contact op met je bank.
5. Let extra goed op phishing.
   Criminelen kunnen gelekte informatie gebruiken om een geloofwaardige e-mail, sms of telefoontje te maken. Klik niet zomaar op een link. Ga zelf naar de website of app van de organisatie.
6. Bewaar informatie over het datalek.
   Bewaar bijvoorbeeld de melding van de organisatie, e-mails, brieven en screenshots. Dat kan later belangrijk zijn als je schade lijdt.
7. Vraag hulp als dat nodig is.
   Heb je schade of gebruikt iemand jouw gegevens? Dan kan juridische hulp zinvol zijn.

Wat is een datalek?

Bij een datalek komen persoonsgegevens terecht bij iemand die daar geen toegang toe hoort te hebben. Maar er is ook sprake van een datalek als persoonsgegevens per ongeluk verloren gaan, worden verwijderd of worden aangepast.

Persoonsgegevens zijn gegevens die informatie over jou geven. Bijvoorbeeld:

1. naam en adres;
2. e-mailadres of telefoonnummer;
3. burgerservicenummer (BSN);
4. gebruikersnaam en wachtwoord;
5. bank- of betaalgegevens;
6. een kopie van een identiteitsbewijs;
7. medische gegevens.

Een hacker kan een datalek veroorzaken, maar dat is lang niet altijd de oorzaak. Een organisatie kan bijvoorbeeld persoonsgegevens naar de verkeerde persoon mailen. Ook een gestolen laptop of een database die per ongeluk openbaar toegankelijk is, kan een datalek veroorzaken.

Wat gebeurt er als jouw gegevens zijn gelekt?

Dat hangt vooral af van welke gegevens zijn gelekt en wie toegang tot deze gegevens heeft gekregen.

Met een gelekt e-mailadres kan een crimineel bijvoorbeeld gerichte phishingberichten sturen. Zijn ook je e-mailadres en wachtwoord gelekt? Dan kan iemand proberen daarmee in te loggen op jouw accounts.

Zijn je BSN, bankgegevens of een kopie van je identiteitsbewijs gelekt? Dan kunnen de gevolgen groter zijn. Deze informatie kan bijvoorbeeld worden gebruikt voor fraude.

Een datalek betekent dus niet automatisch dat iemand jouw gegevens misbruikt.

Welke actie past bij welke gelekte gegevens?

Het mogelijke risico verschilt per situatie. Dat je BSN is gelekt, betekent bijvoorbeeld niet automatisch dat iemand identiteitsfraude met jouw gegevens kan plegen.

Hoe weet je of jouw gegevens zijn gelekt?

Soms informeert een organisatie je zelf. Maar een organisatie hoeft niet ieder datalek aan jou te melden.

De organisatie moet eerst onderzoeken welk risico het datalek voor de betrokken mensen oplevert. Levert het datalek waarschijnlijk een hoog risico op voor hun rechten en vrijheden? Dan schrijft de AVG voor dat de organisatie de betrokken personen daar in principe over informeert.

Denk bijvoorbeeld aan een datalek waarbij gevoelige informatie in verkeerde handen kan komen en dat kan leiden tot identiteitsfraude, financiële schade of ander ernstig nadeel.

Er bestaan uitzonderingen. Heeft de organisatie de gelekte gegevens bijvoorbeeld zo goed versleuteld dat een onbevoegde de informatie niet kan lezen? Dan kan een persoonlijke melding onder voorwaarden niet nodig zijn.

Krijg je wel bericht over een datalek? Controleer dan:

1. welke gegevens van jou zijn gelekt;
2. wanneer het datalek plaatsvond;
3. wat de mogelijke gevolgen zijn;
4. welke maatregelen de organisatie heeft genomen;
5. welke maatregelen de organisatie jou adviseert.

De eenvoudigste manier om te controleren of je gegevens, zoals je e-mailadres of wachtwoord, zijn blootgesteld in een datalek, is via haveibeenpwned.com. Deze site biedt een gratis tool die informeert wanneer en waar je gegevens zijn opgedoken. Voer je e-mailadres in en klik op 'pwned?'. Je krijgt dan een bericht dat informeert over de beveiligingsstatus van je gegevens en het exacte lek waarin ze zijn terechtgekomen.

Let ook op nepberichten. Criminelen kunnen nieuws over een datalek gebruiken voor phishing. Ontvang je een onverwachte e-mail of sms? Klik dan niet direct op een link. Ga zelf naar de officiële website of app van de organisatie.

Moet een organisatie een datalek melden?

Niet ieder datalek hoeft bij de Autoriteit Persoonsgegevens gemeld te worden.

Een organisatie moet beoordelen of het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Is dat het geval? Dan moet de organisatie het datalek in principe binnen 72 uur nadat het is ontdekt melden bij de Autoriteit Persoonsgegevens.

Dat is iets anders dan jou persoonlijk informeren. Daarvoor geldt een hogere drempel: het datalek moet waarschijnlijk een hoog risico voor jou opleveren.

Er zijn dus drie verschillende situaties:

1. Geen of weinig risico: vaak geen melding aan de Autoriteit Persoonsgegevens nodig.
2. Wel een risico: de organisatie meldt het datalek in principe bij de Autoriteit Persoonsgegevens.
3. Een hoog risico: naast de melding bij de toezichthouder moet de organisatie in principe ook de getroffen personen informeren.

Een organisatie moet een datalek wel documenteren, ook als een melding aan de Autoriteit Persoonsgegevens niet nodig is.

Heb je recht op schadevergoeding na een datalek?

Een datalek geeft je niet automatisch recht op schadevergoeding.

Artikel 82 van de AVG geeft recht op vergoeding van materiële of immateriële schade door een overtreding van de AVG.

Bij een schadeclaim spelen daarom drie vragen een belangrijke rol:

1. Is de AVG overtreden?
   Alleen het feit dat er een datalek is, bewijst niet automatisch dat de organisatie de AVG heeft overtreden. Er moet worden gekeken naar wat er precies is gebeurd, of de organisatie voldoende maatregelen heeft genomen om je persoonsgegevens te beschermen en hoe de organisatie jouw gegevens heeft beschermd.
2. Heb je schade geleden?
   Dat kan financiële schade zijn. Bijvoorbeeld geld dat je verliest door fraude. Maar ook immateriële schade kan onder omstandigheden voor vergoeding in aanmerking komen. Of daarvan sprake is, hangt af van de concrete gevolgen die het datalek voor jou heeft gehad.
3. Komt jouw schade door de overtreding?
   Er moet een verband bestaan tussen de AVG-overtreding en jouw schade.

Wanneer kun je mogelijk wel schadevergoeding krijgen?

Denk bijvoorbeeld aan een situatie waarin iemand gelekte gegevens misbruikt en je daardoor aantoonbare financiële schade hebt. Voor schadevergoeding moet er wel een verband zijn tussen de schade en een overtreding van de AVG.

Ook zonder direct financieel verlies kan er onder omstandigheden sprake zijn van schade. Of je daarvoor een vergoeding krijgt, hangt af van de gevolgen van het datalek en van de omstandigheden van jouw situatie. Ook hier moet er een verband zijn tussen de schade en een overtreding van de AVG.

Wanneer krijg je niet automatisch schadevergoeding?

Alleen zeggen 'mijn persoonsgegevens zijn gelekt' is niet genoeg om automatisch een vergoeding te krijgen.

Ook bestaat er geen standaardbedrag voor ieder datalek. Of je recht hebt op schadevergoeding en hoe hoog die vergoeding is, hangt af van de concrete situatie en de schade die je hebt geleden. De rechter kijkt naar de concrete situatie en de schade.

Wanneer kan juridische hulp zinvol zijn?

Je hoeft na een datalek niet meteen een jurist in te schakelen. Vaak kun je eerst zelf maatregelen nemen.

Juridische hulp kan wel zinvol zijn als:

1. je financiële schade hebt;
2. iemand jouw identiteit of persoonsgegevens misbruikt;
3. zeer persoonlijke of gevoelige informatie openbaar is geworden;
4. je wilt weten of de organisatie aansprakelijk is voor jouw schade;
5. de organisatie niet goed reageert op vragen over jouw persoonsgegevens;
6. je overweegt een schadevergoeding te vragen.

Een jurist kan dan beoordelen wat er is gebeurd, welke regels gelden en welke stappen in jouw situatie zinvol zijn.

Wanneer heb je meestal geen juridische hulp nodig?

Heb je nog geen schade? Dan is juridische hulp meestal niet de eerste stap.

Neem eerst passende beveiligingsmaatregelen, zoals het wijzigen van gelekte wachtwoorden, het instellen van tweestapsverificatie en extra alertheid op phishing.

Ontstaat later wel schade of worden je gegevens misbruikt? Dan kan juridische hulp alsnog zinvol zijn.

Bewaar bewijs als je schade hebt

Denk je dat het datalek gevolgen voor jou heeft? Bewaar dan informatie waarmee je later kunt laten zien wat er is gebeurd.

Denk aan:

1. de brief of e-mail waarin de organisatie het datalek meldt;
2. correspondentie met de organisatie;
3. screenshots van verdachte activiteiten;
4. verdachte e-mails en berichten;
5. bankafschriften waarop financiële schade zichtbaar is;
6. aangiftes en andere meldingen.

Schrijf eventueel ook op wanneer iets gebeurde. Zo ontstaat een duidelijk overzicht.

Welke privacyrechten heb je na een datalek?

De AVG geeft je verschillende rechten. Je kunt een organisatie bijvoorbeeld vragen welke persoonsgegevens deze van jou verwerkt. Dit heet het recht op inzage.

Afhankelijk van de situatie kun je onder meer vragen om persoonsgegevens te verbeteren of te verwijderen.