Wat een datalek voor jou betekent en wat je eraan doet

De Autoriteit Persoonsgegevens kreeg in 2025 in totaal 39.407 meldingen van datalekken, tegen 37.839 in 2024. Die toezichthouder bewaakt in Nederland hoe organisaties met persoonsgegevens omgaan. Bij 2.428 van die meldingen ging het om een cyberaanval. De rest is kleiner werk: een mail naar de verkeerde ontvanger, een kwijtgeraakte laptop, een brief in de verkeerde envelop. Hoe erg een lek voor jou is, hangt niet af van het aantal getroffen mensen maar van de combinatie van gegevens die op straat ligt.

Wat een datalek precies is

Een datalek is elke situatie waarin persoonsgegevens verloren gaan of in handen komen van iemand die er geen recht op heeft. Persoonsgegevens zijn alle gegevens die naar jou te herleiden zijn: je naam, je adres, je rekeningnummer, je burgerservicenummer, maar ook je medische gegevens.

Het hoeft dus niet om een hacker te gaan. Een verkeerd geadresseerde mail met een deelnemerslijst is ook een datalek. Zo ontstaat het merendeel van de meldingen: door een menselijke fout, niet door een aanval.

Wat veel mensen niet weten: een datalek op zichzelf is geen overtreding van de privacywet. Onvoldoende beveiliging is dat wel, en een lek verzwijgen dat gemeld had moeten worden ook. Dat onderscheid bepaalt of een organisatie een boete riskeert.

Hoeveel datalekken er in Nederland zijn

Het aantal meldingen groeit langzaam, maar de aard ervan verandert snel. De sterkste stijging zit in het overnemen van accounts: van 607 gevallen in 2024 naar 1.742 in 2025, bijna drie keer zo veel. Dat begint bijna altijd met een nepbericht waarin iemand zijn inloggegevens afgeeft.

In de tabel hieronder zie je de cijfers van de toezichthouder over 2024 en 2025 naast elkaar.

De toezichthouder wijst op een wisselwerking die zichzelf versterkt. Met gegevens uit een eerder lek maken criminelen met kunstmatige intelligentie nepberichten die kloppen: je eigen naam, je eigen bank, je eigen laatste bestelling. Wie daarop klikt, levert weer nieuwe gegevens. Er worden zelfs kant-en-klare pakketten verhandeld waarmee iemand zonder technische kennis zo’n aanval opzet.

Vicevoorzitter Monique Verdier van de toezichthouder vatte het in juli 2026 zo samen: “Digitale veiligheid is chefsache.” Het is dus een zaak van de directie en niet van de systeembeheerder alleen.

Wat een lek voor jou betekent

Met een los gegeven kan een crimineel weinig. Alleen je burgerservicenummer levert hem niets op. Het risico ontstaat als gegevens worden gecombineerd: een kopie van je identiteitsbewijs, je adres en je mailadres bij elkaar maken identiteitsfraude mogelijk. Dan sluit iemand op jouw naam een lening af of bestelt hij spullen die jij moet betalen.

Die combinatie komt niet altijd uit één lek. Vaak komt een deel uit een eerder lek en een deel van wat je zelf op sociale media hebt gezet. Buitgemaakte klant- en inloggegevens worden verhandeld op het dark web, het afgeschermde deel van internet.

Hoe zwaar een lek weegt, verschilt bovendien per persoon. Voor de meeste mensen is een uitgelekt woonadres vervelend. Voor iemand die bij een gewelddadige ex vandaan is verhuisd, is het gevaarlijk. Diezelfde gegevens, een heel ander risico.

En er is een kant die in de cijfers niet terugkomt. Liggen je medische gegevens of je privéfoto’s op straat, dan is de schade niet financieel maar persoonlijk. Daar helpt geen nieuw wachtwoord tegen.

Wat je doet als je bericht krijgt

Krijg je een mail dat je gegevens zijn gelekt, dan raadt de toezichthouder vijf stappen aan. Ze kosten samen een half uur.

1. Zoek uit wat er precies gelekt is. Dat hoort in het bericht te staan; staat het er niet, vraag het dan op bij de organisatie.
2. Beperk meteen het risico. Is een wachtwoord gelekt, verander het dan overal waar je het ook gebruikte.
3. Kijk naar je eigen situatie. Een gelekt rekeningnummer vraagt om andere waakzaamheid dan een gelekt identiteitsbewijs.
4. Merk je identiteitsfraude, meld dat dan. Wachten maakt het aantoonbaar maken alleen moeilijker.
5. Ga na of je schade kunt verhalen.

Het beste dat je vooraf kunt doen is saai en het werkt: overal een ander wachtwoord, en tweestapsverificatie aanzetten waar een organisatie die aanbiedt. Dan is een gelekt wachtwoord op zichzelf niet genoeg om in je account te komen.

Wanneer je recht hebt op schadevergoeding

Hier gaan veel pagina’s te makkelijk over. Recht op een vergoeding heb je alleen als aan drie voorwaarden samen is voldaan. Het lek ontstond doordat de organisatie zich niet aan de privacywet hield. Je hebt er schade door geleden. En die schade komt door die overtreding. Alle drie, niet twee van de drie.

Je claim dien je in bij de organisatie waar het lek plaatsvond. De toezichthouder speelt daar geen enkele rol in en gaat ook niet over de hoogte van een vergoeding. Win eerst juridisch advies in, want de bewijslast ligt bij jou.

Ons oordeel: reken er niet op. Voor de meeste mensen is de winst niet het geld maar de tijd die ze besparen door snel hun wachtwoorden te wisselen en hun rekeningafschriften een paar maanden goed te lezen.

Wat het voor een organisatie betekent

Heb je zelf een bedrijf of een vereniging, dan geldt de meldplicht. Een ernstig datalek meld je bij de toezichthouder, en bij een hoog risico ook bij de mensen zelf. Een voorlopige melding mag: je hoeft geen onderzoek af te wachten voordat je meldt.

Hoe dat in de praktijk misgaat, liet de zomer van 2026 zien. In augustus waarschuwde de toezichthouder dat kwetsbaarheden in het websitesysteem WordPress actief werden misbruikt, met datalekken tot gevolg. Het advies was: controleer je versie, installeer de update, laat je hostingpartij in de logbestanden kijken en ga bij sporen van misbruik uit van het slechtste scenario. Wat daar opviel, is dat getroffen organisaties het risico stelselmatig te laag inschatten en hun klanten daardoor niet waarschuwden.

Los van de boete raak je iets wat lastiger terug te kopen is. Klanten die niet zijn gewaarschuwd en er later zelf achter komen, komen zelden terug. Meer over privacy, techniek en de samenleving lees je in onze artikelen over maatschappelijke onderwerpen.

Veelgestelde vragen over datalekken