Datalek in het kantoor: de 72 uur en de melding
Het ogenblik van kennisname geeft het einde van de 72 uur, Belgische tijd, en wat volgt: de GBA al dan niet verwittigen, de betrokkenen al dan niet informeren, en de documenten.
Wat de regel zegt
Regels gecontroleerd op 07/10/2026
Een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur na de kennisname melden aan de Gegevensbeschermingsautoriteit, tenzij het waarschijnlijk geen risico voor personen inhoudt (art. 33.1 AVG). De 72 uur lopen ononderbroken, weekends en feestdagen inbegrepen. Is het risico hoog, dan worden de betrokkenen zonder onredelijke vertraging geïnformeerd (art. 34).
Elk datalek komt in het datalekregister van het kantoor, gemeld of niet, met de feiten, de gevolgen en de genomen maatregelen (art. 33.5).
Uw resultaat verschijnt hier
Het resultaat verschijnt zodra de nodige velden ingevuld zijn.
Een niet-versleutelde laptop met cliëntendossiers, verloren op vrijdag 9 oktober 2026 om 18.30 uur.
Bronnen
Regels gecontroleerd op 07/10/2026
- Verordening (EU) 2016/679 (AVG)
- Verordening (EEG, Euratom) nr. 1182/71 (termijnen, data en aanvangs- en vervaltijden)
- EDPB, richtsnoeren 9/2022 over de melding van inbreuken in verband met persoonsgegevens, v2.0
- GBA: handleiding melding van een datalek, v2.0 (02/02/2026)
- OVB, GDPR-wijzer: datalekken
Hulpmodel opgesteld volgens de vermelde bronnen. Na te lezen en aan te passen door de advocaat; het is geen advies en geen garantie dat de regels zijn nageleefd.
Hoe het werkt
Hoe de berekening werkt
- Vertrekpunt. Het ogenblik waarop het kantoor redelijke zekerheid heeft dat persoonsgegevens getroffen zijn. Een kort onderzoek mag voorafgaan, maar begint meteen (EDPB, richtsnoeren 9/2022). Verwittigd door een verwerker, heeft het kantoor kennis vanaf dat ogenblik.
- 72 uur aan één stuk. Een termijn in uren omvat weekends en feestdagen en schuift nooit naar de volgende werkdag (verordening 1182/71, art. 3.3 en 3.4). De tool toont de kennisname plus 72 uur.
- Strikte lezing. Volgens art. 3.1 van de verordening telt het uur van de kennisname niet mee: de termijn zou op het volgende volle uur aflopen. De tool vermeldt het, maar neemt het vroegste uur.
- Overgang zomer- en winteruur. De termijn telt echte uren: begint of eindigt het zomeruur tijdens de 72 uur, dan valt het einde een uur vroeger of later op de klok. Voorbeeld: kennisname op vrijdag 23 oktober 2026 om 14.20 uur, einde op maandag 26 oktober om 13.20 uur.
- Formulier van de GBA. Deel 1 binnen 72 uur, ook zonder ondernemingsaccount; deel 2 binnen 21 kalenderdagen, met herinneringen op dag 7 en 14 (handleiding van de GBA, v2.0).
Het risico en wat volgt
De tool stelt een niveau voor op basis van de antwoorden (wat getroffen is, welke gegevens, kwetsbare personen, wat het risico vermindert), zegt waarom, en laat u beslissen:
- risico onwaarschijnlijk: geen melding aan de GBA, wel een fiche in het register met de redenen (art. 33.5);
- risico: melding aan de GBA (art. 33.1);
- hoog risico: melding en informatie aan de betrokkenen zonder onredelijke vertraging (art. 34), tenzij de gegevens onbegrijpelijk waren, het risico werd weggenomen, of een openbare mededeling een onevenredige individuele informatie vervangt (art. 34.3).
Het verlies van de vertrouwelijkheid van gegevens onder het beroepsgeheim is schade die de AVG uitdrukkelijk vermeldt (overwegingen 75 en 85): het verlies van een niet-versleuteld cliëntendossier leidt in principe tot een hoog risico.
De documenten
De fiche van het datalekregister, het ontwerp van melding aan de GBA (de vier elementen van art. 33.3) en het ontwerp van bericht aan de betrokkenen, in duidelijke taal, met raad naargelang de getroffen gegevens. Export als pdf en Word in de gekozen taal, en een agendabestand met het einde van de 72 uur en de laatste dag voor deel 2.
Wat de tool niet doet
- Hij verwittigt de GBA niet: de melding gebeurt op het portaal van de GBA.
- Hij gaat de verplichtingen tegenover de beroepsaansprakelijkheidsverzekeraar of de stafhouder niet na, noch de NIS2-wet.
- Hij verstuurt niets: feiten, gevolgen en contacten blijven in dit tabblad; alleen datums, uur en opties staan in het adres van de pagina.
Verificatie
De regels werden gecontroleerd op 7 oktober 2026. De tool ondersteunt de advocaat, die verantwoordelijk blijft voor de beoordeling en de melding.
Bijgewerkt op 7 oktober 2026
Veelgestelde vragen
Tellen de 72 uur het weekend mee?
Ja. Een termijn in uren omvat zaterdagen, zondagen en feestdagen en schuift niet naar de volgende werkdag (verordening 1182/71, art. 3.3 en 3.4, waarnaar de richtsnoeren 9/2022 van de EDPB verwijzen). Een kennisname op vrijdag om 18.30 uur geeft een einde op maandag om 18.30 uur.
Vanaf wanneer lopen de 72 uur?
Vanaf het ogenblik waarop het kantoor redelijke zekerheid heeft dat een incident persoonsgegevens heeft getroffen. Een kort onderzoek om dat vast te stellen is toegestaan, maar begint meteen. Ontdekt een verwerker (IT-dienstverlener, cloud) het incident, dan verwittigt hij het kantoor zonder vertraging, en de 72 uur lopen vanaf die melding.
Moet u melden als de verloren laptop versleuteld was?
Was de versleuteling sterk, bleef de sleutel veilig en zijn de gegevens elders beschikbaar (back-up), dan houdt het datalek in principe waarschijnlijk geen risico in: geen melding, wel een fiche in het register met de redenen (EDPB, voorbeelden uit richtsnoeren 9/2022). Een niet-versleutelde laptop met cliëntendossiers vraagt daarentegen een melding en in principe de informatie van de cliënten.
Wat als de 72 uur verstreken zijn?
Toch melden, met de redenen voor de vertraging (art. 33.1 AVG). De informatie mag in fasen worden verstrekt (art. 33.4): eerst deel 1 van het GBA-formulier, deel 2 binnen 21 dagen.
Wat staat er in het datalekregister?
De feiten, de gevolgen en de genomen maatregelen, voor elk datalek, gemeld of niet (art. 33.5). De OVB raadt aan er ook de redenen te noteren waarom een datalek niet werd gemeld. De fiche van de tool bevat die elementen, de datums en uren, het weerhouden risiconiveau en de beslissing.
Wanneer informeert u de betrokken cliënten?
Wanneer het datalek waarschijnlijk een hoog risico voor hen inhoudt, zonder onredelijke vertraging en in duidelijke taal: de aard van het datalek, het contact, de waarschijnlijke gevolgen en de genomen maatregelen (art. 34). Dat is niet nodig als de gegevens onbegrijpelijk waren, als het risico nadien werd weggenomen, of als de inspanning onevenredig zou zijn; een openbare mededeling vervangt het dan.