Datalek webshop: wanneer melden bij de AP en hoe binnen 72 uur?

Heb je een datalek bij je webshop? Dan loopt er een klok. Is er een risico voor de betrokkenen, dan meld je het binnen 72 uur bij de Autoriteit Persoonsgegevens (AP). Dat staat in artikel 33 van de AVG.

Let op: dit artikel is geen juridisch advies. Het is een praktische uitleg vanuit de technische kant. Twijfel je over je verplichtingen, neem dan contact op met een jurist of je functionaris gegevensbescherming (FG).

Wat is een datalek?

Een datalek is meer dan een hack. De AVG spreekt van een inbreuk op de beveiliging van persoonsgegevens. Dat betreft vernietiging, verlies, wijziging of ongeoorloofde verstrekking van, of toegang tot, persoonsgegevens.

Voorbeelden uit de webshopwereld:

• Een skimmer op je betaalpagina die klantgegevens naar een aanvaller stuurt
• Een gehackt beheerpaneel waarin klantdata is ingezien of gedownload
• Een database-export die per ongeluk publiek bereikbaar op je server staat
• Een mail met een klantenlijst die naar de verkeerde ontvanger gaat
• Een laptop met een ongeëncrypteerde klantenexport die gestolen wordt
• Ransomware die klantgegevens versleutelt, waardoor je er niet meer bij kunt

Dat laatste valt ook onder de definitie, omdat beschikbaarheid meetelt. Niet elk incident is dus een hack, en niet elke hack is meteen een meldplichtig datalek.

Wanneer moet je melden?

De regel is in de kern simpel:

1. Is er een inbreuk op persoonsgegevens? Dan is het een datalek.
2. Is er kans op een risico voor de rechten en vrijheden van de betrokkenen? Dan meld je bij de AP.
3. Is er een hoog risico? Dan informeer je ook de betrokkenen zelf.

Is het risico onwaarschijnlijk, dan hoef je niet te melden. Je moet die afweging wel vastleggen. Dat komt hieronder bij het register.

De risico-afweging

Er bestaat geen formule die voor elke situatie het antwoord geeft. Wel zijn er vragen die de afweging sturen:

• Welke gegevens? Alleen een naam en e-mailadres weegt anders dan adres, geboortedatum, inloggegevens of betaalgegevens.
• Hoeveel mensen? Meer betrokkenen vergroot de impact.
• Wie is de ontvanger? Een kwaadwillende die gegevens verkoopt, weegt zwaarder dan een betrouwbare partij die per ongeluk een mail ontving en die bevestigt dat te hebben verwijderd.
• Waren de gegevens versleuteld? Goed versleutelde data zonder sleutel in handen van de aanvaller verlaagt het risico.
• Zijn de gevolgen omkeerbaar? Een gestolen wachtwoord kun je laten resetten. Gestolen identiteitsgegevens niet.

Is de uitkomst "geen risico", noteer dan waarom. Is de uitkomst "wel risico", meld dan. Bij twijfel is melden meestal de veilige keuze, maar overleg bij twijfel met een jurist.

De 72 uur: vanaf wanneer?

De termijn gaat in zodra je kennis hebt van het datalek. Niet vanaf het moment dat de aanvaller binnenkwam, en niet vanaf het moment dat je het volledig begrijpt.

Dat is in de praktijk een zenuwachtig punt. Je weet na een paar uur nog niet alles. Dat hoeft ook niet. Je kunt een melding bij de AP in stappen doen en later aanvullen als je meer weet.

Meld dus niet pas als het onderzoek klaar is. Meld als je weet dat er een inbreuk is geweest en er een risico bestaat.

Een draaiboek voor de eerste 72 uur

Dit is de volgorde die wij aanhouden bij een vermoedelijk datalek. Technisch en juridisch lopen deze sporen parallel.

Uur 0 tot 4: beperken

• Leg vast wanneer en hoe je het ontdekte. Die tijd is je startpunt.
• Stop de bron, zonder bewijs te vernietigen. Denk aan het blokkeren van een account, het afsluiten van een kwetsbare route of het offline halen van een betaalpagina.
• Wijzig wachtwoorden en sleutels die mogelijk zijn blootgesteld.
• Maak een kopie van de logs en een snapshot van de server voor je dingen herstelt.
• Informeer intern de mensen die beslissen: directie, FG en degene die contact met de AP heeft.

Heb je een gehackte Magento-shop? Dan helpt wat te doen als je Magento gehackt is bij de technische stappen. Meer over de aanpak in algemene zin: /security/gehackt.

Uur 4 tot 24: onderzoeken

• Bepaal welke systemen zijn geraakt.
• Stel vast welke persoonsgegevens betrokken zijn.
• Schat het aantal betrokkenen en de categorieën gegevens.
• Zoek uit of de aanvaller nog toegang heeft.

Een goed incident response plan maakt dit onderzoek een stuk sneller. Heb je logging aan staan, dan kun je veel eerder zeggen wat er is gebeurd.

Uur 24 tot 72: besluiten en melden

• Maak de risico-afweging en leg die schriftelijk vast.
• Meld bij de AP als er een risico bestaat. Gebruik hiervoor het meldformulier van de AP.
• Beslis of betrokkenen geïnformeerd moeten worden.
• Pas aan wat nodig is, zoals extra beveiliging en monitoring.

Je mag later aanvullen. Een eerste melding met wat je weet is beter dan een late melding met alles.

Betrokkenen informeren

Is er waarschijnlijk een hoog risico voor betrokkenen, dan moet je ze zonder onredelijke vertraging informeren. Voorbeelden van hoog risico zijn gestolen betaalgegevens of inloggegevens die elders hergebruikt kunnen worden.

Een goede melding aan klanten bevat:

• Wat er is gebeurd, in gewone taal
• Welke gegevens zijn geraakt
• Wat de mogelijke gevolgen zijn
• Wat jij hebt gedaan om het te stoppen
• Wat de klant zelf kan doen, bijvoorbeeld wachtwoord wijzigen of op afschriften letten
• Een contactpunt voor vragen

Wat je beter niet doet: bagatelliseren, jargon gebruiken of schuld verschuiven. Klanten vergeven een incident vaker dan een verhulde melding.

Het register: ook zonder melding

De AVG vraagt dat je alle datalekken documenteert, ook als je ze niet meldt. Houd een register bij met per incident:

Dit register is er voor een mogelijke controle achteraf. Het helpt je ook zelf: je leert van patronen.

Betaalprovider en PCI: een tweede lijn

Gaat het om betaalgegevens? Dan loopt er naast de AP-melding een tweede traject. Je hebt afspraken met je betaalprovider of acquirer, en vaak staat daar een meldplicht bij een vermoeden van compromittering. Controleer je contract en neem snel contact op.

Het kan bovendien zijn dat een onderzoek door een erkend forensisch bureau verplicht wordt gesteld. Dat verschilt per partij. Het is dus verstandig om vooraf te weten wat jouw afspraken zijn.

Hoe PCI DSS 4.0 dit bekijkt en wat er verandert voor betaalpagina's, lees je in PCI DSS 4.0 voor webshops en op /security/pci-dss. Voor het opsporen van skimmers op je betaalpagina: Magecart-skimmers detecteren.

Technisch onderzoek loopt parallel

Wacht niet met het technische onderzoek tot de juridische afweging klaar is, en andersom. Twee sporen, twee mensen of teams:

• Technisch spoor: logs, forensische kopie, bron vaststellen, gat dichten, herstellen.
• Juridisch spoor: risico-afweging, melding, communicatie met betrokkenen, register.

Het technische spoor levert de feiten waarop het juridische spoor beslist. Dat werkt het best met een directe lijn tussen die twee. Bij ons is dat een kort lijntje: je spreekt met degene die in je systemen zit, zonder tussenlagen.

Wat je vooraf kunt regelen

Het meeste werk doe je voordat er iets gebeurt:

• Wie beslist over melden, en wie is zijn vervanger tijdens vakantie?
• Staat het contactpunt van de AP en je betaalprovider ergens waar je het snel vindt?
• Bewaar je logs lang genoeg om een incident te reconstrueren?
• Heb je een verwerkersovereenkomst met elke partij die persoonsgegevens verwerkt?
• Weet je welke persoonsgegevens je bewaart, en waar?
• Heb je back-ups die je kunt terugzetten?

Minder data bewaren is ook een maatregel. Wat je niet hebt, kan niet lekken. Verwijder oude accounts, exports en test-databases met echte klantgegevens. Wil je dat risico verlagen, lees dan ook de Magento security checklist.

NIS2 kan voor sommige organisaties een aparte meldplicht met eigen termijnen toevoegen. Of dat voor jou geldt, staat in NIS2 en de Cyberbeveiligingswet.

Veelgestelde vragen

Binnen hoeveel tijd moet ik een datalek melden?

Zonder onnodige vertraging en, indien mogelijk, uiterlijk 72 uur nadat je er kennis van hebt gekregen. Dat geldt als de inbreuk waarschijnlijk een risico voor betrokkenen oplevert.

Moet ik elk datalek melden bij de AP?

Nee. Alleen als er een risico is voor de rechten en vrijheden van betrokkenen. Als dat risico onwaarschijnlijk is, hoef je niet te melden. Je legt dan wel de afweging vast in je register.

Wat als ik na 72 uur nog niet alles weet?

Dan meld je met wat je wel weet en vul je later aan. Wachten tot het onderzoek klaar is, kost je de termijn.

Moet ik mijn klanten ook informeren?

Bij een waarschijnlijk hoog risico voor hen, ja. Doe dat duidelijk en zonder onnodige vertraging, met advies over wat ze zelf kunnen doen.

Is een hack van mijn webshop altijd een datalek?

Nee, niet altijd. Een hack zonder toegang tot persoonsgegevens is geen datalek in AVG-zin. Maar je moet wel kunnen aantonen dat er geen gegevens zijn ingezien of gekopieerd, en dat vraagt om goede logs en onderzoek.

Dit artikel is een technische en praktische leidraad, en geen juridisch advies. Vermoed je een datalek? Neem direct contact op via /contact, dan helpen we met het technische onderzoek en het herstel. Voor de achterliggende aanpak zie /security.