Datalek melden bij de GBA: de 72-uursregel en wat u concreet moet doen

TL;DR: Een datalek melden bij de Gegevensbeschermingsautoriteit (GBA) moet binnen 72 uur na kennisname, maar enkel wanneer het lek waarschijnlijk een risico inhoudt voor de betrokken personen. De Belgische procedure verloopt in twee delen via het online portaal: Deel 1 binnen 72 uur, Deel 2 binnen 21 kalenderdagen. Niet melden zonder risicoanalyse en register is op zich een inbreuk.

U ontdekt dat een medewerker een loonlijst naar het verkeerde e-mailadres stuurde. Of uw IT-team meldt verdachte activiteit op de bedrijfsserver. De eerste vraag die boven komt: moet ik dit melden, en hoe snel? De druk van de 72-uursregel maakt dat veel zaakvoerders en IT-managers in paniek schieten of net te lang afwachten. Geen van beide is nodig. In deze gids leggen we rustig uit wanneer u een datalek moet melden bij de GBA, hoe de Belgische procedure precies werkt, en wat u vooraf klaar moet hebben om binnen de termijn correct te handelen.

Wat is een datalek volgens de wet?

Een datalek is volgens artikel 4, lid 12 van de AVG een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot de vernietiging, het verlies, de wijziging, of de ongeoorloofde toegang tot persoonsgegevens. Het gaat dus niet enkel om diefstal door hackers, maar ook om menselijke fouten en technische defecten.

De European Data Protection Board (EDPB) onderscheidt in haar richtsnoeren drie types inbreuken. Een vertrouwelijkheidsinbreuk betekent dat onbevoegden gegevens kunnen inzien, bijvoorbeeld na een hack of een verkeerd verzonden e-mail. Een integriteitsinbreuk houdt in dat gegevens ongewenst gewijzigd of corrupt raken. Een beschikbaarheidsinbreuk treedt op wanneer u tijdelijk of permanent de toegang tot gegevens verliest. Volgens de EDPB Guidelines 9/2022 telt ook de tijdelijke onbeschikbaarheid van gegevens, bijvoorbeeld door een ransomware-versleuteling, als een volwaardige inbreuk.

Niet elk incident is juridisch een datalek. Onderstaande tabel maakt het onderscheid concreet.

Wanneer moet u een datalek melden bij de GBA?

U moet een datalek melden bij de GBA wanneer het waarschijnlijk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Dat staat in artikel 33, lid 1 van de AVG. Houdt het lek geen reëel risico in, dan hoeft u niet te melden, maar moet u de motivatie wel documenteren in uw intern register.

De beslissing om te melden steunt op een gedocumenteerde risicoanalyse. U weegt daarbij drie factoren samen. De gevoeligheid van de gegevens komt eerst: gaat het om bijzondere categorieën zoals gezondheidsgegevens (artikel 9), of om zeer gevoelige data zoals wachtwoorden, financiële transacties of kopieën van e-ID’s, dan stijgt het risico onmiddellijk naar een kritiek niveau. De aard van de inbreuk telt mee: een kwaadwillige aanval zoals phishing of hacking brengt een hoger misbruikrisico dan een onopzettelijke interne fout. Ten slotte wegen de omvang en de context: het aantal getroffen personen, het volume per persoon, en of het om kwetsbare groepen zoals minderjarigen of patiënten gaat.

Een gestructureerde risicoanalyse helpt u deze afweging onderbouwd en herhaalbaar te maken, ook onder tijdsdruk.

Moet u ook de betrokkenen informeren?

Wanneer het datalek waarschijnlijk een hoog risico inhoudt voor de betrokken personen, moet u hen volgens artikel 34 van de AVG onverwijld en rechtstreeks informeren. Van een hoog risico is sprake bij dreigende identiteitsfraude, financieel verlies, reputatieschade of discriminatie. De communicatie moet in duidelijke taal de feiten en de concrete beschermingsmaatregelen vermelden.

Er gelden drie uitzonderingen waarbij u de betrokkenen niet hoeft te informeren. De eerste: u had vooraf passende technische maatregelen genomen die de gegevens onbegrijpelijk maken voor onbevoegden, zoals sterke encryptie. De tweede: u nam achteraf onmiddellijk maatregelen waardoor het hoge risico zich waarschijnlijk niet meer voordoet. De derde: een individuele mededeling zou een onevenredige inspanning vergen, en dan volstaat een openbare mededeling met dezelfde informatieve waarde.

Let op: een geslaagd herstel via back-up lost de beschikbaarheidsinbreuk op, maar sluit niet uit dat gegevens tijdens het incident werden ingezien of gekopieerd. Bij blijvend risico op misbruik blijft de meldplicht aan zowel de GBA als de betrokkenen gelden. Voor de technische kant van het herstel verwijzen we naar onze gids over herstel na een hack.

De 72-uursregel: wanneer begint de klok?

De termijn van 72 uur start vanaf het moment van kennisname: het ogenblik waarop u met redelijke zekerheid weet dat er zich een beveiligingsincident met persoonsgegevens heeft voorgedaan. Een extern signaal, zoals een klacht van een klant, start de klok nog niet meteen. U krijgt een korte, redelijke verificatieperiode om te onderzoeken of er werkelijk gegevens zijn gecompromitteerd.

Zodra u intern bevestigt dat er een datalek is, loopt de juridische klok onherroepelijk. Volgens de EDPB Guidelines 9/2022 is die verificatieperiode bedoeld om feiten te checken, niet om de melding uit te stellen. Stel het onderzoek dus niet onnodig uit, want vertraging in de verificatie kan u later worden aangerekend.

Beschikt u na 72 uur nog niet over alle informatie, wat bij complexe cyberincidenten de regel is, dan staat artikel 33, lid 4 van de AVG gefaseerd melden toe. U dient binnen 72 uur een initiële melding in met de op dat moment bekende gegevens, en levert de rest zonder onredelijke vertraging na. Meldt u toch laattijdig, dan moet de melding een schriftelijke, gemotiveerde rechtvaardiging voor de vertraging bevatten.

Wat moet een melding minimaal bevatten?

Volgens artikel 33, lid 3 van de AVG moet uw melding aan de GBA minstens vier elementen bevatten. Zonder deze basisinformatie is de melding onvolledig en riskeert u alsnog een inbreuk op de meldplicht.

1. Een omschrijving van de aard van de inbreuk, met de categorieën en het geschatte aantal betrokkenen en gegevensrecords.
2. De naam en contactgegevens van uw functionaris voor gegevensbescherming (DPO) of een ander aanspreekpunt.
3. Een beschrijving van de waarschijnlijke gevolgen van de inbreuk.
4. Een beschrijving van de maatregelen die u nam of voorstelt om de inbreuk aan te pakken en de gevolgen te beperken.

Een datalek melden bij de GBA: stap voor stap

De GBA aanvaardt enkel meldingen via haar online webportaal. Meldingen per e-mail of post worden niet langer geregistreerd. De procedure verloopt in vier stappen.

1. Toegang en authenticatie. Maak een ondernemingsaccount aan via het federale BOSA CSAM-systeem, met de Belgische eID of de itsme-app. Per onderneming bestaat er één account, gekoppeld aan uw KBO-nummer in de structuur 0123.456.789. Stel de toegangsrechten vooraf in, want inlogproblemen zijn geen geldige reden voor een laattijdige melding.
2. Formulier Deel 1 (binnen 72 uur). Vul de initiële notificatie in via de tabs van het portaal: organisatiegegevens, contactpersoon, tijdslijn (datum en uur van de inbreuk en van de ontdekking), aard van de verwerking, aantal betrokkenen, oorzaak en type inbreuk, en de communicatie aan betrokkenen. Na het indienen krijgt u een ontvangstbevestiging met een uniek dossiernummer.
3. Formulier Deel 2 (binnen 21 kalenderdagen). Onder “Mijn taken” verschijnt de verplichte taak om Deel 2 in te vullen. U hebt 21 kalenderdagen na de indiening van Deel 1 om de resultaten van het forensische onderzoek, de definitieve omvang en de structurele maatregelen aan te leveren. Bestandsnamen van bijlagen mogen maximaal 255 tekens tellen en geen speciale tekens bevatten.
4. Opvolging door de GBA. Na de definitieve indiening van Deel 2 kan de melding niet meer worden gewijzigd. De GBA kan het dossier seponeren, administratieve maatregelen opleggen, of het overdragen aan de Inspectiedienst voor een diepgaand onderzoek.

De cruciale valkuil die de meeste online gidsen verzwijgen: het niet tijdig indienen van Deel 2 binnen 21 kalenderdagen kan op zich een inbreuk op artikel 33, lid 4 van de AVG vormen, en triggert ambtshalve inspecties. De 72-uursregel is dus maar de helft van het verhaal.

Wat zijn de boetes bij niet of laattijdig melden?

Een inbreuk op de meld- en documentatieplicht van artikel 33 valt onder de lichtere categorie boetes: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Zware inbreuken op de basisbeginselen lopen op tot 20 miljoen euro of 4% van de jaaromzet.

In de praktijk legt de Geschillenkamer van de GBA zelden een boete op louter omdat er een datalek plaatsvond. De sancties volgen vooral uit structurele nalatigheid in de beveiliging vooraf of het achterhouden van informatie. Onderstaande recente Belgische beslissingen illustreren waar het risico zit.

Het Hof van Beroep te Brussel (Marktenhof) bevestigde dat GBA-boetes in principe onmiddellijk opeisbaar zijn, zelfs bij beroep. Financiële moeilijkheden schorten de betaling niet op, tenzij de continuïteit van de organisatie zelf in gevaar komt.

Een belangrijke nuance ten gunste van wie correct handelt: een tijdige, transparante en proactieve melding geldt voor de GBA als bewijs van goede trouw en werkt als verzachtende omstandigheid. Verzwijgen straft zwaarder dan melden.

Datalek melden bij de GBA versus incident melden bij het CCB (NIS2)

Sinds de Belgische NIS2-wet (Wet van 26 april 2024) van kracht werd op 18 oktober 2024, bestaat er een tweede, parallel meldkader. Een cyberincident kan dus twee gelijktijdige meldplichten activeren: de GBA-meldplicht voor de bescherming van persoonsgegevens, en de CCB-meldplicht voor de continuïteit van kritieke diensten.

Beide kaders verschillen sterk in timing en portaal. De GBA-melding gaat via het GBA-portaal binnen 72 uur. De CCB-melding gaat via het Safeonweb@work-portaal (notif.safeonweb.be) volgens een driefasenschema dat veel sneller start.

Valt uw organisatie onder NIS2 en treft een ransomware-aanval ook klant- of patiëntgegevens, dan moet u beide meldingen los van elkaar indienen, via twee verschillende portalen, elk met eigen invoervereisten. De NIS2-boetes voor belangrijke entiteiten kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, met persoonlijke aansprakelijkheid voor bestuurders. Meer over de volledige scope van die verplichtingen leest u in ons artikel over de goedkeuring van de NIS2-wet en op onze pagina over NIS2-begeleiding.

Hoe bereidt u zich voor op een melding binnen 72 uur?

Compliant handelen binnen 72 uur lukt enkel als de voorbereiding vooraf operationeel is. De krappe termijn laat geen ruimte om dan nog procedures of toegangen te regelen.

Op organisatorisch vlak hebt u drie zaken klaar nodig. Een incident response plan dat de rollen van zaakvoerder, IT-manager, DPO en externe security-partner vastlegt. Vooraf geconfigureerde CSAM-toegang, want delegatie van toegangsrechten regelen tijdens een crisis kost u dagen die u niet hebt. En een direct bruikbaar sjabloon voor het intern datalekregister, dat voldoet aan artikel 33, lid 5 van de AVG.

Op technisch vlak verwacht de GBA, blijkens haar recente rechtspraak, concrete minimumstandaarden. Wachtwoorden van minstens 12 tekens, want de Geschillenkamer kwalificeert kortere wachtwoorden als een directe schending van de beveiligingsplicht. Multifactorauthenticatie op alle netwerken, e-mailomgevingen en ERP-systemen. En uitgebreide, traceerbare logging, want zonder bruikbare logs kunt u niet bewijzen dat er geen gegevens werden gekopieerd, waardoor de bewijslast in uw nadeel uitvalt.

Vaak ligt de oorzaak van een datalek bij e-mailfraude. Hoe dat mechanisme werkt, leest u in onze analyse van business email compromise. En om de financiële gevolgen van een incident op te vangen, is een cyberverzekering voor veel KMO’s een verstandige aanvulling.

Cyberplan begeleidt Vlaamse KMO’s bij precies dit voortraject: van het opstellen van een incident response plan en datalekregister tot de begeleiding tijdens een effectieve melding. Een echt voorbeeld van wat er misgaat zonder voorbereiding, beschrijven we in onze les uit een datalek-incident.

Veelgestelde vragen over een datalek melden bij de GBA

Moet ik elk datalek melden bij de GBA?

Nee. U meldt enkel wanneer het lek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Blijkt uit een objectieve risicoanalyse dat er geen reëel risico is, bijvoorbeeld omdat de data volledig versleuteld was, dan hoeft u niet te melden. U documenteert die motivatie wel verplicht in uw intern datalekregister.

Wat gebeurt er als Deel 2 niet binnen 21 dagen wordt ingediend?

Dient u Deel 2 niet binnen de 21 kalenderdagen in, dan begaat u mogelijk een inbreuk op artikel 33, lid 4 van de AVG. De GBA kan dit als verzwarende omstandigheid beschouwen en het dossier overdragen aan de Inspectiedienst voor een formeel onderzoek. De 21-dagentermijn is dus even bindend als de 72-uursregel.

Is het verlies van een versleutelde laptop een meldplichtig datalek?

Niet noodzakelijk. Is de harde schijf volledig versleuteld met een actueel algoritme zoals AES-256 en is er een veilige back-up beschikbaar, dan zijn de gegevens onleesbaar voor onbevoegden. Het risico voor de betrokkenen is dan nagenoeg onbestaande, waardoor melding aan de GBA en de betrokkenen achterwege mag blijven.

Geldt de meldplicht ook bij enkel interne personeelsgegevens?

Ja. De AVG maakt geen onderscheid tussen gegevens van externe klanten en interne medewerkers. Lekken HR-gegevens zoals loonbrieven, medische attesten of evaluatiedossiers, en houdt dit een risico in voor de werknemers, dan moet u dit binnen 72 uur aan de GBA melden.

Kan ik een lopend datalekonderzoek gefaseerd melden?

Ja. De AVG staat gefaseerd melden uitdrukkelijk toe wanneer u door de complexiteit van het incident niet alle gegevens binnen 72 uur kunt aanleveren. U dient binnen 72 uur Deel 1 in met de bekende gegevens en hebt vervolgens 21 kalenderdagen om de details via Deel 2 te vervolledigen.

Welke invloed heeft een vrijwillige melding op een mogelijke boete?

Tijdig, transparant en proactief melden geldt voor de GBA als bewijs van goede trouw en werkt als verzachtende omstandigheid bij het bepalen van sancties. Boetes volgen doorgaans niet uit het loutere feit dat er een datalek was, maar uit structurele nalatigheid in de voorafgaande beveiliging of het bewust achterhouden van informatie.

Conclusie

Een datalek melden bij de GBA is geen reden tot paniek, maar wel tot voorbereiding. Onthoud de kern: melden binnen 72 uur na kennisname mits er een risico is, een volledige risicoanalyse en register als onderbouwing, en Deel 2 binnen 21 kalenderdagen. De grootste fout is niet dat u een datalek hebt, maar dat u onvoorbereid of zwijgend reageert.

Wilt u zeker zijn dat uw incident response plan, uw datalekregister en uw CSAM-toegang klaarliggen voor het ernst wordt? Boek een kennismaking en we brengen samen in kaart waar u vandaag staat, met aandacht voor de VLAIO-subsidiemogelijkheden die uw traject betaalbaar houden.