Datalek: Wat te Doen als Slachtoffer (Complete Gids 2026)

Een e-mail van je favoriete webshop: "Er is een datalek geweest." Je hart slaat even over. Wat betekent dit precies, en belangrijker: wat moet je nu doen? In Nederland worden jaarlijks meer dan 25.000 datalekken gemeld bij de Autoriteit Persoonsgegevens (AP), en dat is nog maar het topje van de ijsberg. Deze gids helpt je stap voor stap de juiste acties te ondernemen, van het moment dat je het ontdekt tot het claimen van schadevergoeding.

Wat is een datalek precies?

Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Dit kan variëren van een gestolen laptop met klantgegevens tot een hack waarbij miljoenen e-mailadressen en wachtwoorden op het dark web belanden.

Volgens de Algemene Verordening Gegevensbescherming (AVG) zijn organisaties verplicht een datalek binnen 72 uur te melden bij de AP als er een risico bestaat voor jouw rechten en vrijheden. Jij hebt als betrokkene ook recht op informatie wanneer het lek jou persoonlijk raakt.

Veelvoorkomende soorten datalekken

Hacking: cybercriminelen breken binnen in systemen en stelen gegevens.
Phishing: medewerkers worden misleid om inloggegevens af te staan.
Verlies of diefstal: laptops, telefoons of USB-sticks met data verdwijnen.
Menselijke fout: een e-mail met bijlage naar de verkeerde geadresseerde.
Ransomware: gegevens worden versleuteld en soms gepubliceerd als losgeld niet wordt betaald.

Hoe weet je dat je slachtoffer bent van een datalek?

Soms krijg je een duidelijke melding van de betrokken organisatie, maar vaak kom je er pas achter via het nieuws, een vreemde inlogmelding of zelfs pas wanneer je rekening wordt geplunderd. Herken deze signalen:

Een officiële e-mail of brief van een bedrijf waarbij je klant bent.
Berichten over inlogpogingen vanaf onbekende locaties.
Nieuwsberichten over een hack bij een dienst die jij gebruikt.
Een waarschuwing via Have I Been Pwned (haveibeenpwned.com).
Onverklaarbare transacties, nieuwe accounts op jouw naam of ontvangen 2FA-codes die jij niet aanvroeg.

Zie je verdachte activiteit op je telefoon? Lees dan ook Is Mijn Telefoon Gehackt? 10 Waarschuwingssignalen om te controleren of je toestel is gecompromitteerd.

Stappenplan: wat te doen bij een datalek

Snel en gestructureerd handelen beperkt de schade aanzienlijk. Volg dit stappenplan direct nadat je ontdekt dat je getroffen bent.

Stap 1: Bepaal welke gegevens zijn gelekt

Lees de melding zorgvuldig. Is alleen je e-mailadres gelekt, of ook je wachtwoord, adres, BSN of bankgegevens? De impact bepaalt de urgentie. Een gelekt wachtwoord in combinatie met je e-mailadres is ernstiger dan een losstaande naam.

Vraag indien nodig aanvullende informatie op bij de organisatie. Op grond van artikel 15 AVG heb je recht op inzage in welke persoonsgegevens over jou zijn verwerkt.

Stap 2: Wijzig direct je wachtwoorden

Verander allereerst het wachtwoord van het getroffen account. Gebruik je datzelfde wachtwoord ergens anders? Wijzig het dan ook daar meteen. Dit heet credential stuffing: criminelen proberen gestolen combinaties op honderden andere websites.

Kies een uniek wachtwoord van minimaal 14 tekens per dienst.
Gebruik een wachtwoordmanager (Bitwarden, 1Password, KeePass).
Activeer tweestapsverificatie (2FA) via een authenticator-app, niet via sms.

Stap 3: Controleer je accounts en bankrekening

Log in op je getroffen account en bekijk de activiteit: ingelogde apparaten, verzonden berichten, gekoppelde apps en wijzigingen in contactgegevens. Verwijder alles wat je niet herkent.

Monitor je bankrekening en creditcard de komende weken dagelijks. Zie je iets vreemds? Bel direct je bank en laat de kaart blokkeren.

Stap 4: Meld identiteitsfraude indien van toepassing

Zijn je BSN, kopie identiteitsbewijs of DigiD-gegevens gelekt? Dan is het risico op identiteitsfraude groot. Neem deze maatregelen:

Meld het bij het Centraal Meldpunt Identiteitsfraude (CMI).
Doe aangifte bij de politie (nodig voor latere claims).
Wijzig je DigiD-wachtwoord en activeer sms- of app-controle.
Controleer je BKR-registratie op onbekende leningen.
Laat eventueel een fraudesignaal plaatsen bij Experian of EDR.

Stap 5: Dien een klacht in bij de organisatie

Vraag schriftelijk om uitleg: wat is er gebeurd, welke maatregelen zijn genomen en hoe wordt herhaling voorkomen? De organisatie is verplicht je binnen een maand te antwoorden.

Stap 6: Meld het datalek bij de Autoriteit Persoonsgegevens

Reageert de organisatie niet of onvoldoende? Dien dan een klacht in bij de AP via autoriteitpersoonsgegevens.nl. De AP kan onderzoek doen en boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Je rechten als slachtoffer onder de AVG

Als getroffene van een datalek sta je sterker dan je misschien denkt. De AVG geeft je concrete rechten die je kunt uitoefenen.

Recht	Wat houdt het in?	Termijn organisatie
Recht op informatie	Je moet geïnformeerd worden over het lek als er hoog risico is	Zonder onnodige vertraging
Recht op inzage	Welke gegevens heeft men over jou?	1 maand
Recht op rectificatie	Onjuiste gegevens laten corrigeren	1 maand
Recht op vergetelheid	Gegevens laten verwijderen	1 maand
Recht op schadevergoeding	Materiële en immateriële schade claimen	Via rechter of claimstichting
Recht van bezwaar	Bezwaar tegen verwerking	1 maand

Wil je dieper duiken in je privacyrechten? Lees Privacy in Nederland: Jouw Rechten op een Rij voor een compleet overzicht.

Schadevergoeding claimen na een datalek

Veel mensen weten niet dat je financiële compensatie kunt eisen, zelfs zonder aantoonbare materiële schade. De Hoge Raad heeft bevestigd dat immateriële schade (stress, zorgen, verlies van controle over je gegevens) ook vergoed kan worden.

Soorten schade

Materiële schade: gestolen geld, kosten voor nieuwe pas, juridische kosten, tijd besteed aan herstel.
Immateriële schade: emotionele belasting, slaapproblemen, angst voor misbruik.

Hoe claim je schadevergoeding?

Documenteer alles: screenshots, e-mails, bankafschriften, tijdlogs.
Stuur een aansprakelijkheidsstelling naar de organisatie.
Sluit je aan bij een massaclaim (bijvoorbeeld via Stichting Data Privacy Stichting of The Privacy Collective).
Overweeg een individuele procedure bij de rechter, eventueel met rechtsbijstand.

Typische schadevergoedingen variëren van 250 tot 2.500 euro per persoon, afhankelijk van de aard van de gelekte gegevens en de impact.

Hoe voorkom je toekomstige datalekken?

Je kunt niet voorkomen dat bedrijven gehackt worden, maar je kunt de impact op jou minimaliseren. Een paar structurele gewoontes maken een enorm verschil.

Digitale hygiëne

Unieke wachtwoorden per dienst via een wachtwoordmanager.
Tweestapsverificatie op elk belangrijk account.
Aparte e-mailadressen: één voor banken en overheid, één voor social media, één voor nieuwsbrieven.
Minimaliseer datadeling: vul alleen verplichte velden in.
Controleer periodiek via haveibeenpwned.com of je gegevens zijn gelekt.

Veilig delen van links en gegevens

Deel je regelmatig links via sociale media of e-mail? Gebruik een betrouwbare link-shortener die geen onnodige data verzamelt. Diensten zoals Lunyb bieden privacyvriendelijke korte links zonder tracking van je persoonlijke activiteit, een handig alternatief voor traditionele shorteners. Zie ook onze vergelijking: Lunyb vs Bitly.

Netwerkbeveiliging thuis

Beveilig je thuisnetwerk door versleutelde DNS (DoH of DoT via NextDNS of Cloudflare 1.1.1.1) in te schakelen, je router firmware up-to-date te houden en WPA3-encryptie te activeren. Gebruik een privacygerichte browser zoals Firefox of Brave met tracking protection.

Wat als een bedrijf jouw datalek niet meldt?

Niet-melden is een overtreding van de AVG. Als je vermoedt dat een organisatie een lek verzwijgt dat jou raakt, kun je:

De organisatie schriftelijk vragen om bevestiging.
Een klacht indienen bij de Autoriteit Persoonsgegevens.
Melding doen bij een journalist of onderzoekscollectief zoals Bits of Freedom.
Juridisch advies inwinnen voor een eventuele civiele procedure.

De AP heeft de afgelopen jaren meerdere miljoenenboetes uitgedeeld aan organisaties die datalekken te laat meldden, waaronder OLVG, Transavia en Booking.com.

Datalekken bij werkgevers en zelfstandigen

Verwerk je zelf persoonsgegevens als ondernemer of ZZP'er, dan ben je verwerkingsverantwoordelijke. Een datalek moet je dan zelf binnen 72 uur melden bij de AP. Ook als werknemer ben je medeverantwoordelijk: meld incidenten direct intern bij de Functionaris Gegevensbescherming (FG) of je leidinggevende.

Voor ondernemers in de Benelux is het aan te raden een datalekprotocol te hebben. Lees Cybersecurity voor Belgische KMO's voor praktische tips die ook voor Nederlandse MKB's relevant zijn.

Veelgemaakte fouten na een datalek

Paniek en nietsdoen: hierdoor loopt de schade onnodig op.
Alleen het ene wachtwoord wijzigen: vergeet niet je andere accounts met hetzelfde wachtwoord.
Phishingmails na een lek niet herkennen: criminelen gebruiken het nieuws van een lek om zich voor te doen als het getroffen bedrijf.
Geen aangifte doen: zonder politiedossier is schadevergoeding moeilijker.
Vertrouwen op gratis "identiteitsmonitoring": dit is vaak slechts cosmetisch.

Veelgestelde vragen (FAQ)

Hoe snel moet een organisatie mij informeren over een datalek?

De AVG schrijft voor dat je "zonder onnodige vertraging" geïnformeerd wordt als het lek een hoog risico vormt voor jouw rechten en vrijheden. In de praktijk betekent dit meestal binnen enkele dagen tot maximaal enkele weken. De melding aan de AP moet binnen 72 uur na ontdekking plaatsvinden.

Kan ik schadevergoeding krijgen zonder dat ik financiële schade heb geleden?

Ja. Het Europees Hof van Justitie heeft meermaals bevestigd dat ook immateriële schade zoals angst, stress en verlies van controle over persoonsgegevens vergoed moet worden. Bedragen tussen 250 en 1.500 euro zijn in Nederland regelmatig toegewezen.

Wat is het verschil tussen een datalek en een beveiligingsincident?

Elk datalek is een beveiligingsincident, maar niet elk incident is een datalek. Van een datalek is pas sprake als er daadwerkelijk persoonsgegevens zijn verloren, gewijzigd of onrechtmatig toegankelijk zijn geweest. Een geblokkeerde hackpoging zonder gegevensinbreuk is alleen een incident.

Moet ik mijn BSN laten veranderen na een datalek?

Je BSN wijzigen is in Nederland alleen in uitzonderlijke gevallen mogelijk, bijvoorbeeld bij ernstige en voortdurende identiteitsfraude. Meld eerst het misbruik bij het Centraal Meldpunt Identiteitsfraude; zij kunnen een traject starten en indien nodig een nieuw BSN aanvragen bij de gemeente.

Helpt een gratis identiteitsmonitoringdienst van het gelekte bedrijf echt?

Deels. Zulke diensten controleren of je gegevens op het dark web verschijnen en waarschuwen bij nieuwe registraties op jouw naam. Dat is nuttig, maar vervangt geen actieve beveiliging. Combineer het altijd met sterke wachtwoorden, 2FA en periodieke controles van je bankafschriften en BKR.

Conclusie

Een datalek voelt als een inbreuk op je privacy, en dat is het ook. Maar je bent niet machteloos. Door snel te handelen, slim je accounts te beveiligen en je rechten onder de AVG te benutten, beperk je de schade en zorg je dat organisaties verantwoordelijkheid nemen. Documenteer alles, aarzel niet om schadevergoeding te claimen en gebruik dit incident als startpunt voor betere digitale hygiëne. Je toekomstige ik zal je dankbaar zijn.