Datalek: Wat te Doen als Slachtoffer (Complete Gids 2026)

Je hebt een e-mail ontvangen dat je gegevens zijn gelekt, of je hoort het via het nieuws. De schrik zit er goed in: wat gebeurt er nu met je gegevens? En belangrijker nog, wat moet je zelf doen? In deze gids leggen we stap voor stap uit wat je als slachtoffer van een datalek moet doen, hoe je verdere schade voorkomt en welke rechten je hebt onder de Algemene Verordening Gegevensbescherming (AVG).

Wat is een datalek precies?

Een datalek is een beveiligingsincident waarbij persoonsgegevens in handen komen van personen die daar geen toegang toe zouden mogen hebben. Dit kan gaan om e-mailadressen, wachtwoorden, adresgegevens, bankgegevens of zelfs kopieën van identiteitsbewijzen.

Datalekken ontstaan meestal door:

Hackaanvallen op bedrijven of overheidsinstanties
Menselijke fouten, zoals een verkeerd verstuurde e-mail met bijlage
Verloren of gestolen apparaten zoals laptops en USB-sticks
Onveilige configuraties van databases of cloudopslag
Interne misbruik door (ex-)medewerkers

In Nederland worden jaarlijks ruim 25.000 datalekken gemeld bij de Autoriteit Persoonsgegevens (AP). Grote namen zoals LinkedIn, Facebook, Marriott en dichter bij huis Mediamarkt en de GGD zijn allemaal getroffen geweest.

Hoe weet je of je slachtoffer bent van een datalek?

Bedrijven zijn onder de AVG verplicht om betrokkenen te informeren wanneer een datalek een hoog risico vormt voor hun rechten en vrijheden. Toch merken veel mensen het pas achteraf. Let op deze signalen:

Officiële melding via e-mail of brief van het betrokken bedrijf
Verdachte inlogpogingen op je accounts (2FA-meldingen die je niet hebt aangevraagd)
Toename van phishing e-mails die verrassend persoonlijk zijn
Onverklaarbare betalingen op je bankafschrift of creditcard
Nieuwe accounts op jouw naam die je zelf niet hebt aangemaakt

Controleer proactief of je gegevens zijn gelekt

Wacht niet op een melding. Je kunt zelf gratis controleren of je e-mailadres of telefoonnummer voorkomt in bekende datalekken:

Have I Been Pwned (haveibeenpwned.com): de bekendste tool, doorzoekt miljarden gelekte records
Firefox Monitor: gebaseerd op dezelfde database, gebruiksvriendelijke interface
Google Wachtwoordcontrole: waarschuwt je automatisch als opgeslagen wachtwoorden zijn gelekt
Wachtwoordcontrole van je browser of wachtwoordmanager (Bitwarden, 1Password)

Datalek: wat te doen? 8 concrete stappen

Zodra je vermoedt of weet dat je gegevens gelekt zijn, telt elke minuut. Volg deze acht stappen in de juiste volgorde om de schade zoveel mogelijk te beperken.

Stap 1: Wijzig direct je wachtwoord

Log in bij de getroffen dienst en verander je wachtwoord onmiddellijk. Kies een uniek, sterk wachtwoord van minstens 16 tekens. Gebruik nooit hetzelfde wachtwoord opnieuw, want aanvallers proberen gelekte combinaties automatisch bij honderden andere diensten (dit heet credential stuffing).

Stap 2: Wijzig hetzelfde wachtwoord op andere accounts

Gebruikte je dat wachtwoord ook elders? Dan lopen die accounts ook gevaar. Denk aan je e-mail, sociale media, webshops en vooral je Apple ID of Google-account. Een wachtwoordmanager helpt je overzicht te houden en unieke wachtwoorden te genereren.

Stap 3: Schakel tweefactorauthenticatie (2FA) in

Zet 2FA aan op alle belangrijke accounts, te beginnen met je hoofdmailadres. Gebruik bij voorkeur een authenticator-app (zoals Aegis, Authy of Google Authenticator) in plaats van sms, omdat sms kwetsbaar is voor SIM-swapping.

Stap 4: Controleer je bank- en creditcardafschriften

Kijk de afgelopen drie maanden na op ongebruikelijke transacties, zelfs kleine bedragen. Criminelen testen gestolen kaartgegevens vaak eerst met een aankoop van enkele euro's. Zie je iets verdachts? Bel direct je bank en laat de kaart blokkeren.

Stap 5: Meld verdachte activiteit bij politie en instanties

Bij (poging tot) identiteitsfraude, oplichting of financiële schade doe je aangifte bij de politie via 0900-8844 of politie.nl. Meld phishing ook bij de Fraudehelpdesk (fraudehelpdesk.nl). Bij misbruik van je BSN of identiteitsbewijs neem je contact op met het Centraal Meldpunt Identiteitsfraude (CMI).

Stap 6: Zet een fraudemelding op je BSN of ID

Als je identiteitsbewijs, paspoortnummer of BSN is gelekt, vraag dan een nieuw document aan bij je gemeente en laat het oude registreren als vermist bij BVV (Basisregister Verloren en gestolen documenten). Zo kunnen instellingen zien dat het niet meer geldig is.

Stap 7: Wees extra alert op phishing en spear-phishing

Na een datalek weten criminelen vaak veel over jou: naam, e-mail, klantnummer, misschien zelfs producten die je kocht. Ze gebruiken dit om overtuigende phishing-mails te sturen. Lees onze uitgebreide gids over phishing herkennen en voorkomen om deze aanvallen te leren doorzien.

Stap 8: Documenteer alles

Bewaar de melding van het bedrijf, screenshots van verdachte activiteit, bankafschriften en correspondentie. Dit heb je nodig als je later schadevergoeding wilt claimen of een klacht indient bij de Autoriteit Persoonsgegevens.

Je rechten als slachtoffer onder de AVG

De Algemene Verordening Gegevensbescherming (AVG) geeft je stevige rechten wanneer een organisatie je gegevens lekt. Ken je rechten en aarzel niet ze uit te oefenen.

Recht	Wat houdt het in	Termijn
Recht op informatie	Je moet geïnformeerd worden bij hoog risico	Zonder onredelijke vertraging
Recht op inzage	Opvragen welke gegevens zijn gelekt	Binnen 1 maand
Recht op verwijdering	Gegevens laten wissen (recht op vergetelheid)	Binnen 1 maand
Recht op rectificatie	Onjuiste gegevens laten corrigeren	Binnen 1 maand
Recht op schadevergoeding	Materiële én immateriële schade claimen	Verjaring 5 jaar
Klacht indienen	Bij de Autoriteit Persoonsgegevens	Geen termijn

Een klacht indienen bij de AP

Ben je niet tevreden met hoe een organisatie het datalek afhandelt? Dien een klacht in via autoriteitpersoonsgegevens.nl. De AP kan een onderzoek starten en boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. In België doe je hetzelfde bij de Gegevensbeschermingsautoriteit; lees meer over je AVG-rechten in België.

Schadevergoeding claimen

Onder artikel 82 AVG heb je recht op vergoeding van zowel materiële (financiële) als immateriële (emotionele) schade. Denk aan:

Gestolen geld door fraude
Kosten voor het aanvragen van nieuwe documenten
Stress, angst en tijd besteed aan herstel
Reputatieschade

Bedragen variëren van enkele honderden tot duizenden euro's. Er zijn belangenorganisaties zoals de Consumentenbond en gespecialiseerde advocaten die collectieve claims organiseren, bijvoorbeeld tegen Facebook of TikTok.

Datalek voorkomen: preventie voor de toekomst

Je kunt niet voorkomen dat bedrijven gehackt worden, maar je kunt wel je persoonlijke digitale hygiëne op orde brengen zodat de schade beperkt blijft als het toch gebeurt.

Gebruik unieke wachtwoorden per dienst

Dit is de belangrijkste maatregel. Een wachtwoordmanager (Bitwarden is gratis en open source) genereert en onthoudt sterke wachtwoorden voor je. Zo raakt bij één lek nooit meer dan één account gecompromitteerd.

Beperk welke gegevens je deelt

Hoe minder een bedrijf van je weet, hoe minder er kan lekken. Overweeg:

Alias-e-mailadressen per dienst (via SimpleLogin, AnonAddy of Apple Hide My Email)
Een tweede telefoonnummer voor niet-essentiële registraties
Bewust omgaan met wat je invult (is je geboortedatum echt nodig?)
Regelmatig oude accounts opzeggen via diensten als JustDeleteMe

Bescherm je gegevens tijdens het delen van links

Wanneer je links deelt kunnen originele URL's soms gevoelige informatie prijsgeven, denk aan sessietokens, account-ID's of tracking-parameters. Een privacyvriendelijke URL-verkorter zoals Lunyb verbergt deze parameters, blokkeert misbruik van je links en biedt statistieken zonder je bezoekers te profileren. Zo houd je grip op wat je deelt en waar het terechtkomt.

Beperk online tracking

Advertentie- en tracking-netwerken bouwen uitgebreide profielen op die bij een lek eveneens op straat kunnen belanden. Lees onze gids over trackers blokkeren op je telefoon en over wat Google over jou weet om je digitale voetafdruk te verkleinen.

Update software en gebruik encryptie

Installeer updates zo snel mogelijk, gebruik schijfversleuteling (BitLocker, FileVault) op je apparaten en kies voor encrypted DNS (bijvoorbeeld via NextDNS of Cloudflare 1.1.1.1) om je surfgedrag te beschermen.

Wat als bedrijf X mij niet informeert over een lek?

Sommige bedrijven proberen datalekken stil te houden of pas veel later te melden. Dit is in strijd met de AVG. Als jij ontdekt dat je gegevens gelekt zijn zonder officiële melding:

Neem schriftelijk contact op met de Functionaris Gegevensbescherming (FG) van het bedrijf
Vraag om inzage in wat er precies is gelekt (dataverzoek)
Krijg je binnen een maand geen bevredigend antwoord, dan meld je dit bij de AP
Overweeg deelname aan een collectieve schadeclaim

Speciale situaties: kinderen, medische en financiële gegevens

Bij bepaalde categorieën gegevens is extra actie nodig omdat de impact groter kan zijn.

Gegevens van kinderen

Kinderen genieten extra bescherming onder de AVG. Bij een lek van gegevens van minderjarigen kun je rechtstreeks eisen dat alle data wordt gewist en aanvullende maatregelen worden genomen. Overweeg ook of de identiteit van je kind beschermd moet worden richting het CMI.

Medische gegevens

Lekken van medische data (bijvoorbeeld door ziekenhuizen of huisartsen) vallen onder bijzondere persoonsgegevens. De AP behandelt deze zaken met hoge prioriteit en boetes zijn doorgaans zwaarder. Vraag altijd om een volledig incidentrapport.

Bankgegevens en IBAN

Bij een lek van je IBAN of creditcardgegevens: bel direct je bank, laat monitoring instellen, overweeg een nieuwe kaart en houd Sepa-incasso's scherp in de gaten. Onterechte incasso's kun je binnen 8 weken kosteloos terugboeken.

Veelgemaakte fouten na een datalek

Slachtoffers maken vaak dezelfde fouten die de schade vergroten. Vermijd deze valkuilen:

Klikken op links in "we zijn gehackt"-mails: criminelen imiteren getroffen bedrijven om extra info te ontfutselen
Bellen met nummers uit de melding: verifieer via de officiële website
Wachtwoord alleen aanpassen bij één dienst: aanvallers proberen het overal
Denken "mijn data is toch al lang overal": elk nieuw lek vergroot het risico
Geen aangifte doen: zonder aangifte geen strafrechtelijk onderzoek en geen bewijsstuk voor claims

Conclusie

Een datalek is vervelend, maar met de juiste acties beperk je de schade aanzienlijk. Onthoud de essentie: wachtwoorden direct wijzigen, 2FA activeren, banken en instanties inlichten, alles documenteren en je AVG-rechten uitoefenen. Preventief werken met unieke wachtwoorden, een wachtwoordmanager, alias-mailadressen en privacybewuste tools maakt je aanzienlijk minder kwetsbaar voor de volgende hack.

Datalekken worden alleen maar frequenter. Door nu je digitale hygiëne op orde te brengen, zorg je ervoor dat het volgende incident jou hoogstens tien minuten werk kost in plaats van een nachtmerrie van maanden.

Veelgestelde vragen (FAQ)

Ben ik verplicht om een datalek te melden aan de politie?

Nee, alleen als er sprake is van strafbare feiten zoals fraude of identiteitsdiefstal is aangifte verstandig. Voor het lek zelf is de organisatie verplicht dit binnen 72 uur bij de Autoriteit Persoonsgegevens te melden. Als slachtoffer meld je verdachte activiteit wel bij politie en Fraudehelpdesk.

Hoeveel schadevergoeding kan ik krijgen na een datalek?

Bedragen variëren sterk: van 250 euro voor beperkte immateriële schade tot enkele duizenden euro's bij ernstige gevolgen zoals identiteitsfraude. In collectieve claims (zoals tegen Facebook of TikTok) liggen bedragen vaak tussen 300 en 2000 euro per persoon.

Moet ik mijn e-mailadres veranderen na een datalek?

Meestal niet direct nodig. Wel raadzaam: gebruik voortaan alias-e-mailadressen per dienst (via SimpleLogin, AnonAddy of Apple Hide My Email). Zo kun je een gecompromitteerd adres simpelweg uitschakelen zonder je hoofdmail te hoeven veranderen.

Kan ik zien welke gegevens er precies over mij zijn gelekt?

Ja, onder de AVG heb je recht op inzage. Dien binnen redelijke termijn een schriftelijk verzoek in bij de organisatie. Zij moeten binnen één maand aangeven welke categorieën gegevens over jou zijn getroffen en welke maatregelen zijn genomen.

Wat is het verschil tussen een datalek en identiteitsfraude?

Een datalek is het incident waarbij gegevens ongewild openbaar worden. Identiteitsfraude is wat criminelen ermee kunnen doen: op jouw naam accounts openen, leningen afsluiten of aankopen doen. Niet elk datalek leidt tot fraude, maar elk lek vergroot wel het risico.