Datalek: Wat te Doen als Slachtoffer (Stappenplan 2026)

Een datalek kan iedereen overkomen. Of je nu een melding krijgt van een webshop, je bank, of ontdekt dat je gegevens op het dark web staan: de volgende 24 uur zijn cruciaal. In deze gids lees je precies wat je moet doen als slachtoffer van een datalek, welke rechten je hebt onder de AVG, en hoe je verdere schade voorkomt.

Wat is een datalek precies?

Een datalek is een inbreuk op de beveiliging waarbij persoonsgegevens onbedoeld worden blootgesteld, gewijzigd of verloren gaan. Denk aan een hack van een bedrijf, een verloren laptop met klantgegevens, of een verkeerd verzonden e-mail met persoonsgegevens.

Volgens de Autoriteit Persoonsgegevens (AP) worden er jaarlijks meer dan 25.000 datalekken gemeld in Nederland. En dat is slechts het topje van de ijsberg, want veel lekken worden pas maanden later ontdekt of helemaal nooit gemeld.

Veelvoorkomende soorten datalekken

• Hacking: cybercriminelen breken in op servers van bedrijven.
• Phishing: medewerkers worden misleid en geven inloggegevens prijs.
• Menselijke fouten: verkeerde ontvanger van een e-mail of verloren USB-stick.
• Ransomware: gegevens worden gegijzeld en vaak ook gekopieerd.
• Insider-lekken: (ex-)medewerkers die bewust data meenemen.

Hoe weet je dat je slachtoffer bent van een datalek?

Er zijn meerdere manieren waarop je erachter komt dat jouw gegevens zijn gelekt. Sommige zijn duidelijk, andere subtieler.

Directe signalen

1. Officiele melding van een organisatie. Bedrijven zijn volgens de AVG verplicht om jou binnen redelijke termijn te informeren als jouw gegevens betrokken zijn bij een lek met hoog risico.
2. Vreemde inlogpogingen. Je ontvangt meldingen van inlogpogingen vanuit onbekende landen of apparaten.
3. Onverklaarbare afschrijvingen. Er worden bedragen van je rekening afgeschreven die je niet herkent.
4. Plotselinge spam of phishing. Een duidelijke toename van verdachte e-mails of sms-berichten.

Zelf controleren

Wacht niet tot je een melding krijgt. Controleer regelmatig zelf of je e-mailadres of wachtwoorden zijn gelekt. In onze gids over het controleren van gelekte wachtwoorden leggen we stap voor stap uit hoe je dit doet via tools zoals Have I Been Pwned.

Datalek wat te doen: het directe stappenplan

Zodra je weet of vermoedt dat je slachtoffer bent, telt elke minuut. Volg deze stappen in volgorde om je schade te beperken.

Stap 1: Blijf rustig en inventariseer

Paniek leidt tot overhaaste beslissingen. Ga eerst na welke gegevens precies gelekt zijn. Is het alleen je e-mailadres? Ook je wachtwoord? Je adres, telefoonnummer, of zelfs je BSN en bankgegevens? De ernst van het lek bepaalt je vervolgstappen.

Stap 2: Wijzig direct je wachtwoord

Verander het wachtwoord van het gehackte account onmiddellijk. Gebruik je hetzelfde wachtwoord ook ergens anders? Verander het daar ook meteen. Dit is een van de meest voorkomende fouten: cybercriminelen proberen gelekte combinaties systematisch op andere diensten (credential stuffing).

Stap 3: Activeer tweefactorauthenticatie (2FA)

Zet op alle belangrijke accounts tweefactorauthenticatie aan. Zelfs als je wachtwoord opnieuw lekt, kan een aanvaller zonder je telefoon of authenticator-app niet inloggen. Gebruik bij voorkeur een app zoals Aegis of Authy, geen SMS (SIM-swapping is een reeel risico).

Stap 4: Controleer je financiele overzichten

Log in op je bankieren-app en controleer de afgelopen weken op vreemde transacties. Zijn je bank- of creditcardgegevens gelekt? Neem direct contact op met je bank om de kaart te blokkeren en een nieuwe aan te vragen.

Stap 5: Meld fraude bij relevante instanties

Afhankelijk van wat er gelekt is, meld je het bij:

• Je bank: bij financiele fraude of gelekte bankgegevens.
• Politie: doe aangifte via politie.nl bij identiteitsfraude of financiele schade.
• Fraudehelpdesk: meld verdachte berichten en vraag advies (0881 788 788).
• Autoriteit Persoonsgegevens (AP): dien een klacht in als een organisatie onzorgvuldig met je gegevens omging.
• CentraalMeldpuntNederland: bij identiteitsfraude.

Overzicht: welke acties bij welk type gelekte data?

Niet elk datalek vereist dezelfde reactie. Hieronder een overzicht van wat je moet doen per type gelekte gegevens.

Gelekte gegevens	Risiconiveau	Directe acties
Alleen e-mailadres	Laag	Alert op phishing, overweeg spamfilter aanscherpen
E-mail + wachtwoord	Hoog	Wachtwoord wijzigen overal, 2FA activeren
NAW-gegevens	Middel	Alert op gerichte phishing en nepfacturen
Telefoonnummer	Middel	Pas op voor SIM-swapping en smishing
BSN	Zeer hoog	Melding CMI, aangifte politie, monitor BRP
Bank- of creditcardgegevens	Zeer hoog	Bank bellen, kaart blokkeren, aangifte doen
Identiteitsbewijs / paspoortkopie	Zeer hoog	Documenten laten vervangen, melding CMI

Je rechten als slachtoffer onder de AVG

De Algemene Verordening Gegevensbescherming (AVG) geeft jou als Europese burger sterke rechten wanneer jouw persoonsgegevens worden verwerkt of lekken. Veel mensen weten niet dat ze hiervan gebruik kunnen maken.

Recht op informatie

Een organisatie is verplicht jou te informeren over een datalek als dit een hoog risico voor je rechten en vrijheden oplevert. Die melding moet in begrijpelijke taal zijn en bevatten: wat er gelekt is, wat de mogelijke gevolgen zijn, en welke maatregelen zijn genomen.

Recht op inzage en verwijdering

Je mag opvragen welke gegevens een organisatie van jou heeft. Ook heb je het recht om vergeten te worden: de organisatie moet jouw gegevens verwijderen als daar geen zwaarwegende reden meer voor is.

Recht op schadevergoeding

Heb je materiele of immateriele schade geleden door het datalek? Dan kun je de verantwoordelijke organisatie aansprakelijk stellen. Immateriele schade (zoals stress, verlies van controle over je gegevens) komt in Nederland steeds vaker voor als toegekende vergoeding, hoewel de bedragen meestal bescheiden zijn (enkele honderden euro's).

Klacht indienen bij de AP

Vermoed je dat een organisatie de AVG heeft overtreden? Dien een klacht in bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. De AP kan onderzoek doen en boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Lange termijn: je digitale identiteit beschermen

Na een datalek is het niet genoeg om alleen de acute brandjes te blussen. Je moet je digitale hygiene structureel verbeteren om herhaling te voorkomen.

Gebruik een wachtwoordmanager

De belangrijkste les van elk datalek: hergebruik nooit wachtwoorden. Een wachtwoordmanager zoals Bitwarden, 1Password of KeePassXC genereert en onthoudt unieke, sterke wachtwoorden voor elke dienst. Zo beperkt een datalek bij 1 website zich automatisch tot dat ene account.

Minimaliseer je digitale voetafdruk

Hoe minder data over jou online staat, hoe minder er kan lekken. Bekijk eens wat Google allemaal over jou weet en ruim op wat niet nodig is. Verwijder oude accounts die je niet meer gebruikt via diensten zoals JustDelete.me.

Blokkeer trackers en ongewenste dataverzameling

Veel data komt bij bedrijven terecht via trackers en advertentienetwerken. Lees onze gids over trackers blokkeren op je telefoon om dit te beperken. Installeer ook een goede tracker-blokker in je browser (uBlock Origin is gratis en effectief).

Wees voorzichtig met links en bijlagen

Na een datalek worden gelekte e-mailadressen vaak doelwit van gerichte phishing. Klik nooit zomaar op links in e-mails, ook niet als ze er legitiem uitzien. Als je zelf links wilt delen op een veilige en controleerbare manier, kun je een dienst zoals Lunyb gebruiken: zo zie je waar een link naartoe gaat en kun je statistieken bijhouden. In onze handleiding over korte links maken leggen we dit verder uit.

Bescherm je netwerkverkeer

Gebruik versleutelde DNS (DNS-over-HTTPS of DNS-over-TLS) via providers zoals Cloudflare (1.1.1.1), NextDNS of Quad9. Dit voorkomt dat je internetprovider en mogelijke aanvallers op openbare netwerken zien welke websites je bezoekt. Overweeg daarnaast een privacy-vriendelijke browser zoals Firefox of Brave.

Specifieke scenario's: wat te doen bij...

Een gehackte e-mailaccount

1. Wijzig onmiddellijk je wachtwoord en activeer 2FA.
2. Controleer verzonden items en prullenbak op verdachte activiteit.
3. Controleer doorstuurregels en filters: aanvallers stellen vaak in dat jouw e-mails ook naar hen worden gestuurd.
4. Waarschuw contacten dat er mogelijk nepberichten uit jouw naam zijn verstuurd.
5. Reset wachtwoorden van alle accounts die aan dit e-mailadres gekoppeld zijn.

Identiteitsfraude

1. Doe direct aangifte bij de politie (politie.nl).
2. Meld de fraude bij het Centraal Meldpunt Identiteitsfraude (CMI).
3. Controleer je BKR-registratie op onbekende leningen.
4. Informeer de gemeente als er misbruik is van je BSN.
5. Overweeg je identiteitsdocumenten te laten vervangen.

Gelekte gegevens van je kind

Minderjarigen hebben extra bescherming onder de AVG. Neem contact op met de organisatie en eis verwijdering van alle gegevens. Meld het incident bij de AP. Houd rekening met langdurige risico's: data van kinderen die nu lekt, kan jaren later nog misbruikt worden.

Hoe voorkom je toekomstige datalekken (als consument)?

Je kunt niet voorkomen dat bedrijven gehackt worden, maar je kunt wel de impact ervan minimaliseren. Enkele structurele maatregelen:

• Gebruik aliassen: diensten als SimpleLogin, Addy.io of Apple's Hide My Email geven je unieke e-mailadressen per dienst. Lekt er een, dan weet je direct welke bron en kun je die alias uitzetten.
• Geef minimale info: verplicht een webshop je geboortedatum? Vul die alleen in als het echt nodig is.
• Betaal privacy-vriendelijk: gebruik iDEAL in plaats van creditcard waar mogelijk, of virtuele kaartnummers.
• Blijf op de hoogte: volg nieuws over datalekken en lees de ontwikkelingen rond AI en privacy in 2026, want AI maakt gerichte aanvallen steeds realistischer.
• Backup je belangrijke data: zo heb je bij ransomware altijd een uitweg.

Veelgemaakte fouten na een datalek

In de paniek na een datalekmelding maken mensen vaak dezelfde fouten. Voorkom deze valkuilen:

1. Klikken op links in de datalekmelding zelf. Ga altijd handmatig naar de website van de organisatie om in te loggen of je wachtwoord te wijzigen.
2. Betalen voor dubieuze 'herstel-diensten'. Veel oplichters springen in op datalekken met nep-hersteldiensten.
3. Alleen het wachtwoord van 1 account wijzigen. Als je het wachtwoord hergebruikte, zijn al die accounts kwetsbaar.
4. De melding negeren omdat je 'niks te verbergen' hebt. Datalekken hebben jaren later nog gevolgen via gerichte oplichting.
5. Vergeten om 2FA aan te zetten na het wijzigen van het wachtwoord.

FAQ: Veelgestelde vragen over datalekken

Moet een bedrijf mij altijd informeren over een datalek?

Nee, alleen als het datalek waarschijnlijk een hoog risico voor jouw rechten en vrijheden oplevert. De organisatie moet het lek wel altijd binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Bij twijfel kun je bij de organisatie zelf navragen of jouw gegevens betrokken waren.

Kan ik schadevergoeding eisen na een datalek?

Ja. Onder de AVG heb je recht op vergoeding van zowel materiele schade (bijvoorbeeld financieel verlies) als immateriele schade (stress, verlies van controle). Je moet wel kunnen aantonen dat er een verband is tussen het datalek en de schade. Toegekende bedragen varieren meestal van 100 tot enkele duizenden euro's.

Hoe lang blijven gelekte gegevens een risico vormen?

Jaren, soms zelfs decennia. Gelekte wachtwoorden circuleren oneindig op het dark web. Ook NAW-gegevens, geboortedatum en BSN veranderen niet of nauwelijks, waardoor ze langdurig misbruikt kunnen worden voor identiteitsfraude. Behandel elk datalek daarom als blijvend relevant.

Wat is het verschil tussen een datalek en een hack?

Een hack is een specifieke vorm van een datalek, waarbij iemand opzettelijk binnendringt in een systeem. Een datalek is breder: ook een verloren USB-stick, een verkeerd verzonden e-mail of een slecht beveiligde database die per ongeluk openbaar staat, telt als datalek onder de AVG.

Moet ik aangifte doen bij de politie na een datalek?

Dat hangt af van de schade. Bij puur een gelekt e-mailadres is aangifte meestal niet zinvol. Bij financiele fraude, identiteitsdiefstal of concrete oplichting is aangifte wel aan te raden: je hebt dit nodig voor je bank, verzekering en eventuele schadevergoeding. Doe aangifte via politie.nl of maak een afspraak op het bureau.

Conclusie

Een datalek voelt als een inbreuk op je privacy en dat is het ook. Maar met het juiste stappenplan beperk je de schade aanzienlijk. Het belangrijkst: wijzig direct wachtwoorden, activeer 2FA, controleer je financien en meld fraude bij de juiste instanties. Op lange termijn maak je het verschil door een wachtwoordmanager te gebruiken, je digitale voetafdruk te minimaliseren en structureel aandacht te besteden aan je online beveiliging.

Datalekken zullen helaas blijven gebeuren. Door nu goede gewoontes te ontwikkelen, zorg je ervoor dat het volgende lek voor jou een ongemak is in plaats van een ramp.