Datalek: wat te doen als uw gegevens zijn gelekt

Een bericht dat uw gegevens zijn gelekt kan schrikken. Toch helpt een vaste volgorde: eerst weten wat er is gelekt, dan de risico's beperken, daarna zo nodig melden en claimen. Deze gids loopt die volgorde door. Hij is gebaseerd op de pagina's van de Autoriteit Persoonsgegevens (AP), de politie, het Centraal Meldpunt Identiteitsfraude (CMI), de Fraudehelpdesk en het Nationaal Cyber Security Centrum (NCSC).

We blijven bij wat deze organisaties schrijven. Waar hun pagina's iets niet zeggen, staat dat er ook bij. Dit is algemene informatie en geen juridisch advies voor uw situatie.

Wat u in de eerste uren kunt doen

De AP beschrijft vijf stappen voor slachtoffers van een datalek. Ze zijn hieronder in dezelfde volgorde gezet, met de eerste concrete handelingen erbij.

1. Stel vast wat er precies is gelekt. Meestal krijgt u een waarschuwingsbericht van de organisatie waar het datalek plaatsvond. Staat het antwoord daar niet in, vraag het dan aan de organisatie zelf.
2. Beperk direct de risico's. Wijzig meteen de wachtwoorden die mogelijk zijn gelekt. Gebruikt u hetzelfde wachtwoord ook elders, wijzig het dan ook daar.
3. Activeer meerfactorauthenticatie waar dat kan.
4. Wees alert op phishing en oplichting. Klik niet op links uit verdachte e-mails, sms'jes of andere berichten.
5. Kijk naar uw specifieke situatie. Wat u kunt doen, verschilt per soort gelekt gegeven. Dat leest u verderop.
6. Houd uw administratie in de gaten, zoals uw bankafschrijvingen. Ziet u iets vreemds, dan is melden bij het CMI en aangifte bij de politie de volgende stap.
7. Ga na of u recht heeft op schadevergoeding. Ook dat staat verderop.

Wilt u zien welke gegevens van u openbaar vindbaar zijn, ook in bekende datalekken? De gratis analyse van Remove Me kan een startpunt zijn, zonder account. Ze doorzoekt openbaar zichtbare zoekresultaten, bekende openbare datalekken (Have I Been Pwned) en een register van databrokers, en toont wat ze vindt. Het rapport opent u met een zescijferige code die per e-mail komt. Remove Me verstuurt voorlopig geen verzoeken tot gegevenswissing voor u.

Start mijn gratis analyse

Wat is een datalek precies?

De AP omschrijft een datalek als toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. De oorzaak is een inbreuk op de beveiliging van die gegevens. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo'n inbreuk valt onder een datalek.

Persoonsgegevens zijn volgens de AP informatie die direct over iemand gaat of indirect naar die persoon te herleiden is, bijvoorbeeld door meerdere gegevens te combineren.

Voorbeelden van een datalek

De AP noemt onder meer deze voorbeelden:

• persoonsgegevens die naar de verkeerde geadresseerde zijn verstuurd;
• inzage in een medisch dossier door een onbevoegde medewerker;
• het verlies van een USB-stick of apparaat met niet-versleutelde persoonsgegevens;
• een cyberaanval waarbij persoonsgegevens zijn buitgemaakt;
• een besmetting met ransomware waarbij persoonsgegevens ontoegankelijk zijn gemaakt.

U ziet dat een datalek niet altijd een hack is. Een e-mail die naar het verkeerde adres gaat, kan ook een datalek zijn.

De drie soorten datalekken

De AP onderscheidt drie soorten:

• Inbreuk op de vertrouwelijkheid: persoonsgegevens zijn openbaar gemaakt, of er was toegang toe voor iemand die daartoe niet bevoegd is. Het kan ook per ongeluk zijn gebeurd.
• Inbreuk op de integriteit: persoonsgegevens zijn gewijzigd door iemand die daartoe niet bevoegd is, of per ongeluk.
• Inbreuk op de beschikbaarheid: de organisatie kan niet meer bij de persoonsgegevens, of de gegevens zijn vernietigd.

Afhankelijk van de omstandigheden kan een datalek in meer dan één categorie vallen.

Een datalek is op zichzelf geen overtreding

De AP schrijft dat een datalek op zichzelf geen overtreding van de Algemene verordening gegevensbescherming (AVG) is. Onvoldoende beveiliging is dat wel. Een organisatie overtreedt de AVG ook als ze een datalek niet meldt aan de AP en aan de slachtoffers, terwijl dat wel had gemoeten. Dit onderscheid is belangrijk voor de schadevergoeding, zoals u verderop leest.

Stap 1: weten wat er is gelekt

De gevolgen van een datalek hangen af van meerdere factoren, zoals de hoeveelheid gelekte gegevens en hoe gevoelig die zijn. Daarom begint de AP bij de vraag wat er precies is gelekt.

Vragen aan de organisatie

Krijgt u een waarschuwingsbericht, kijk dan of het deze vragen beantwoordt. Zo niet, dan kunt u ze aan de organisatie stellen:

• Welke gegevens zijn gelekt?
• Bij wie zijn de gegevens terechtgekomen?
• Wat zijn de waarschijnlijke gevolgen van het datalek?
• Welke maatregelen zijn genomen om de impact te verkleinen?

Om de risico's verder in te schatten kan het volgens de AP ook goed zijn te vragen wanneer het datalek precies plaatsvond en hoe lang het heeft geduurd.

Vermoedt u een datalek zonder bericht?

Heeft u geen bericht gehad, maar vermoedt u dat er bij een organisatie een datalek is geweest? De AP raadt aan het mogelijke datalek eerst bij de organisatie zelf te melden. Een organisatie kan pas iets doen als ze weet dat het datalek er is. Daarna kunt u een datalektip indienen bij de AP. Hoe dat werkt, staat verderop.

Check je hack van de politie

Ook de politie biedt een controle aan. In gestolen datasets zitten vaak privégegevens van burgers. Op de pagina Check je hack voert u uw e-mailadres in. Komt dat adres voor in een dataset, dan ontvangt u binnen enkele minuten een e-mail van de politie. Kijk voor de zekerheid ook in uw spambox. Komt het adres niet voor, dan krijgt u geen e-mail.

De politie legt uit waarom het resultaat niet op het scherm verschijnt: dat heeft te maken met de bescherming van persoonsgegevens. Zo kan niemand willekeurig e-mailadressen invoeren om te zien wie slachtoffer is. Ingevoerde e-mailadressen worden niet bewaard. Ze worden eenmalig gebruikt om te controleren of het adres in de dataset voorkomt.

Twee dingen die de politie zelf benadrukt:

• Geen e-mail betekent niet dat uw gegevens veilig zijn. Dan zitten ze niet in de datasets die de politie heeft veiliggesteld, maar ze kunnen op een andere manier zijn gelekt.
• Pas op voor een valse Check je hack-mail. Krijgt u een e-mail uit naam van de politie om datasets te controleren, dan is dat volgens de politie oplichting. Klik niet op de link en verwijder de e-mail. De politie stuurt bewust geen mail met linkjes. Typ zelf politie.nl in uw browser.

Meer over de controle van uw e-mailadres leest u in het artikel Check je hack en datalek checken.

Stap 2: de risico's direct beperken

De AP noemt drie dingen die u meteen kunt doen.

Wachtwoorden wijzigen

Wijzig direct de wachtwoorden die mogelijk zijn gelekt. Gebruikt u dezelfde wachtwoorden voor meerdere apps en websites, dan wijzigt u ze volgens de AP ook daar. Een uniek wachtwoord per account voorkomt dat een lek bij één website meteen al uw andere accounts in gevaar brengt.

Het NCSC beschrijft een wachtwoordmanager als een handig hulpmiddel om veilige wachtwoorden te bedenken en deze voor u te onthouden. U hoeft dan alleen het hoofdwachtwoord of de wachtwoordzin te onthouden. Het NCSC noemt als goed hoofdwachtwoord er een van minstens 12 tekens, met een combinatie van letters, leestekens en cijfers. Een langere wachtwoordzin met alleen kleine letters, bijvoorbeeld van minimaal 16 tekens, is volgens het NCSC veiliger dan een korte zin met alles erin.

Meerfactorauthenticatie activeren

De AP legt uit dat meerfactorauthenticatie (MFA) een techniek is waarbij een persoon of systeem een combinatie van minimaal twee verschillende typen authenticatiefactoren moet gebruiken om toegang te krijgen. In de praktijk voert u dan naast uw gebruikersnaam en wachtwoord bijvoorbeeld ook een code in die u via uw telefoon krijgt. Biedt een organisatie zo'n extra beveiligde inlogmethode aan, gebruik die dan, adviseert de AP.

Het NCSC voegt daaraan toe dat een extra beveiligingslaag het gebruik van een zwak hoofdwachtwoord niet rechtvaardigt. Beide lagen tellen dus.

Alert blijven op phishing en oplichting

Met gegevens uit een datalek kunnen criminelen hun nepberichten geloofwaardiger maken. Hoe meer persoonsgegevens ze van u hebben, hoe echter een bericht kan lijken. Daarom is deze stap geen bijzaak. Hoe u phishing herkent en meldt, staat in de gids Phishing herkennen, voorkomen en melden.

Stap 3: uw specifieke situatie

Wat u kunt doen, verschilt per datalek. De AP geeft tips per soort gelekt gegeven.

E-mailadres en wachtwoord gelekt

Verander voor de zekerheid uw wachtwoord. Gebruikt u hetzelfde wachtwoord op andere websites en apps, verander het daar dan ook.

E-mailadres of telefoonnummer gelekt

Hier ligt het risico bij phishing. De AP beschrijft phishing als een vorm van fraude waarbij criminelen gegevens van u proberen te achterhalen, zoals inloggegevens, creditcardinformatie, pincodes of informatie op uw identiteitsbewijs, bijvoorbeeld met een nepmail. De AP geeft deze adviezen:

• Wees alert op contactpogingen per e-mail, bericht of telefoon, vooral als iemand zegt namens een organisatie te bellen en vraagt om gegevens of om een link aan te klikken.
• Check altijd of u echt met die organisatie te maken heeft. Vertrouwt u het niet, hang dan op of verwijder het bericht. Neem daarna zelf contact op met de organisatie en ga zelf naar de website in plaats van op een link te klikken.

Of een mail phishing kan zijn, ziet u volgens de AP aan een paar punten:

• Komt het e-mailadres overeen met de naam van de organisatie? Kijk wat er achter het @-teken staat.
• Staat in de aanhef iets algemeens, zoals “Geachte mijnheer/mevrouw”, of uw volledige naam? Let op: uw naam kan zijn afgeleid uit uw e-mailadres of zijn buitgemaakt bij een datalek. Ook met uw naam erin kan het phishing zijn.
• Wordt gevraagd op een link te klikken om uw gegevens “aan te vullen” of “te controleren”?
• Wordt u onder druk gezet om snel te handelen, of wordt u iets beloofd wat te mooi is om waar te zijn?

Adresgegevens gelekt

Wees alert op pogingen tot oplichting. De AP noemt dat criminelen gericht brieven en pakketten kunnen sturen, in de hoop dat u spullen koopt of een contract afsluit. Ze kunnen ook langskomen en zich bijvoorbeeld voordoen als bankmedewerker die om uw bankpas of pincode vraagt. Ook kunnen criminelen proberen in te breken.

De AP wijst erop dat een gelekt adres voor sommige mensen extra gevaarlijk is, bijvoorbeeld voor mensen die worden bedreigd, gestalkt worden of te maken hebben met huiselijk geweld.

IBAN gelekt

Met alleen uw IBAN kan een crimineel niet inloggen op uw bankrekening of geld overmaken, schrijft de AP. Wel kunnen oplichters zich met uw IBAN beter voordoen als uw bank. Wees dus alert op onverwachte of dringende berichten en deel nooit persoonlijke gegevens of codes. Uw IBAN wijzigen is meestal niet nodig, omdat een IBAN vaak al op facturen en bankafschriften staat.

De AP raadt aan regelmatig uw bankafschriften te controleren. Ziet u een onbekende incasso, dan kunt u die tot 13 maanden terugdraaien. Binnen 8 weken kan dat zonder voorwaarden. Neem bij twijfel contact op met uw bank.

Identiteitsbewijs of BSN gelekt

Een van de risico's na een datalek is identiteitsfraude. Criminelen maken dan misbruik van uw gegevens, bijvoorbeeld door op uw naam spullen te kopen zonder te betalen, een lening af te sluiten of een telefoonabonnement af te sluiten. De AP adviseert na een datalek in de gaten te houden of er vreemde dingen gebeuren op uw bankrekening en of u mailtjes krijgt over aankopen die u niet heeft gedaan.

Niet alle datalekken maken identiteitsfraude mogelijk. Met losse gegevens, zoals alleen een burgerservicenummer (BSN), kan een fraudeur volgens de AP niet veel. Het gaat om de combinatie van gegevens, daarom is een gelekte kopie van een identiteitsbewijs wel een risico. Om de kans op identiteitsfraude te verkleinen, meldt u bij uw gemeente dat uw identiteitsbewijs is gestolen. Bij uw gemeente kunt u een nieuw identiteitsbewijs aanvragen. Een nieuw BSN kunt u niet krijgen.

De AP geeft nog een tip: wees voorzichtig met wat u op sociale media en andere plekken op internet plaatst. Hoe meer informatie van u openbaar beschikbaar is, hoe makkelijker het voor een fraudeur is om extra gegevens te vinden en die met gelekte gegevens te combineren.

Gezondheidsgegevens gelekt

Gezondheidsgegevens zijn bijzondere persoonsgegevens, omdat ze heel privacygevoelig zijn. De AP schrijft dat de gevolgen groot kunnen zijn: stress, schaamte of reputatieschade, en ook afpersing of pestgedrag. Criminelen kunnen er bovendien een heel specifiek en geloofwaardig phishingbericht mee opstellen. De AP raadt aan de organisatie waar het datalek plaatsvond om duidelijkheid te vragen: welke gegevens zijn gelekt, bij wie zijn ze terechtgekomen en welke maatregelen heeft de organisatie genomen?

Een combinatie van gegevens is een groter risico

Met losse gegevens kan een crimineel niet veel. Het risico neemt toe wanneer criminelen meerdere gegevens combineren, zoals een kopie van een identiteitsbewijs, een adres en een e-mailadres. Die gegevens komen volgens de AP niet altijd uit een datalek. Het kunnen ook gegevens zijn die u zelf op internet heeft geplaatst, bijvoorbeeld op sociale media. Hoe schadelijk het lekken van bepaalde gegevens is, verschilt bovendien per persoon.

Stap 4: identiteitsfraude melden en aangifte doen

Ziet u vreemde transacties, of vermoedt u op een andere manier identiteitsfraude? De AP adviseert twee dingen: meld het bij het Centraal Meldpunt Identiteitsfraude (CMI) en doe aangifte bij de politie.

Het CMI is een meldpunt van de Rijksdienst voor Identiteitsgegevens (RvIG). Volgens de website van het CMI kunt u er terecht voor het melden van identiteitsfraude, tips om het te voorkomen en advies en ondersteuning als u slachtoffer bent. Na een melding ontvangt u direct een ontvangstbevestiging per e-mail. Het CMI geeft advies, denkt mee over mogelijke vervolgstappen en bemiddelt zo nodig met ketenpartners zoals de politie, de RDW of de Belastingdienst om de gevolgen te helpen herstellen.

Aangifte doet u bij de politie. Op de pagina Aangifte of melding doen staat dat u bij spoed 112 belt en dat u voor niet-spoedeisende zaken het nummer 0900-8844 kunt bellen. Er is ook een overzicht van aangifte- en meldformulieren. Welk formulier past bij uw situatie, moet u daar zelf nagaan: de pagina beschrijft geen aparte stappen voor identiteitsfraude.

Meer over dit onderwerp leest u in het artikel over aangifte van identiteitsfraude.

Heeft u al gegevens ingevuld op een nepsite?

Dat is een situatie die vaak volgt op een datalek, omdat gelekte gegevens phishing geloofwaardiger maken. De Fraudehelpdesk adviseert:

• Heeft u inloggegevens van uw bankrekening ingevuld? Neem dan direct contact op met uw bank voor advies. Doe dat ook als u iets heeft betaald nadat u gegevens invulde.
• Heeft u andere gegevens ingevuld? Neem dan contact op met de Fraudehelpdesk. Dat kan ook als u niets heeft ingevuld, maar toch ongerust bent.
• Wordt u gebeld door uw bank nadat u gegevens heeft ingevuld? Hang dan op en bel zelf uw bank om na te vragen of ze u hebben gebeld.

Stap 5: schadevergoeding na een datalek

Zijn uw gegevens getroffen door een datalek en heeft u daardoor schade geleden? Dan heeft u volgens de AP mogelijk recht op schadevergoeding. U heeft dat niet altijd, want er gelden drie voorwaarden.

De drie voorwaarden

1. Het datalek is ontstaan doordat de organisatie zich niet aan de AVG hield, bijvoorbeeld omdat uw persoonsgegevens niet goed genoeg waren beveiligd. De AP verwijst naar artikel 82 AVG: u heeft recht op schadevergoeding als u schade lijdt doordat een organisatie in strijd met de AVG handelt.
2. U heeft door het datalek schade geleden. Dat kan financiële schade zijn, maar ook immateriële schade.
3. De overtreding van de AVG en de schade zijn oorzaak en gevolg. De schade komt doordat de organisatie zich niet aan de AVG hield. Dat heet ook wel een causaal verband.

Wat is immateriële schade?

De AP schrijft dat de wet niet concreet zegt wat immateriële schade is. Volgens de AP kunt u immateriële schade lijden als u in uw eer bent aangetast of als uw goede naam is geschaad. Ook stress kan eronder vallen, als u een goede reden heeft om bang te zijn voor misbruik van uw persoonsgegevens. Sommige gegevens zijn gevoelig voor misbruik, zoals creditcardgegevens, niet-afgeschermde kopieën van een identiteitsbewijs en bijzondere persoonsgegevens. Om in aanmerking te komen voor een schadevergoeding is het volgens de AP niet nodig dat uw gegevens ook echt zijn misbruikt.

Een claim indienen

De AP adviseert altijd eerst juridisch advies in te winnen voordat u een schadeclaim indient. Een claim dient u in bij de organisatie waar het datalek plaatsvond. Bent u niet tevreden over de afhandeling, vraag dan opnieuw juridisch advies over de vervolgstappen, zoals naar de rechter gaan.

Let op: de AP speelt hierin geen rol. Ze kan u ook geen informatie of advies geven over de vraag of u recht heeft op schadevergoeding en over de hoogte ervan.

Een datalektip of klacht indienen bij de AP

Wat u bij de AP kunt indienen, hangt af van uw situatie. De AP beschrijft drie opties.

• Een tip als u vermoedt dat een organisatie of persoon zich niet aan de privacywet houdt. Een tip kost minder tijd dan een klacht en kan anoniem. Volgens de AP duurt het ongeveer 10 minuten. U krijgt geen persoonlijk bericht over wat de AP met uw tip doet.
• Een datalektip als u informatie heeft over een datalek, bijvoorbeeld als u denkt dat uw gegevens zijn gelekt of dat een datalek niet goed is afgehandeld. Geef het mogelijke datalek eerst door aan de organisatie zelf. De AP beoordeelt daarna of het gaat om een datalek dat de organisatie had moeten melden en neemt zo nodig contact op met de organisatie of start een onderzoek.
• Een klacht als het gaat om uw eigen persoonsgegevens. Een klacht indienen duurt ongeveer 15 minuten. De AP verwacht dat u eerst zelf contact opneemt met de organisatie. Heeft u dat nog niet gedaan, dan behandelt de AP uw klacht niet. Bij een klacht deelt de AP uw identiteit met de organisatie of persoon waarover u klaagt. Wilt u dat niet, dan kunt u beter een tip indienen.

Zijn uw gegevens zonder uw toestemming gedeeld met een andere organisatie? Dan is dat volgens de AP geen datalek. Het kan wel een andere overtreding van de AVG zijn. Dien in dat geval geen datalektip in, maar een tip of klacht. Hoe een klacht verloopt, leest u in het artikel over een klacht indienen bij de Autoriteit Persoonsgegevens.

Zo houdt u grip op uw gegevens

Organisaties zijn verantwoordelijk voor het goed beveiligen van uw persoonsgegevens. Toch kan een datalek elke organisatie overkomen, bijvoorbeeld door een menselijke fout. De AP noemt vier dingen die u zelf kunt doen:

• Gebruik overal een ander wachtwoord, eventueel met een wachtwoordmanager.
• Maak gebruik van een extra beveiligde inlogmethode als een organisatie die biedt.
• Let goed op wie om uw gegevens vraagt en op welke manier.
• Maak gebruik van uw privacyrechten.

Over die privacyrechten leest u meer in onze artikelen over uw rechten onder de AVG, zoals het artikel over een klacht bij de AP.

Wat er over u openbaar te vinden is, is een andere kant van hetzelfde verhaal. Gegevens die u zelf online plaatst, kunnen worden gecombineerd met gelekte gegevens. Remove Me kijkt met een gratis analyse naar wat openbaar zichtbaar is en laat de bevindingen zien. De analyse toont wat er is, verwijdert zelf niets en geeft geen oordeel over uw juridische positie.

Wat de bronnen niet zeggen

Om eerlijk te blijven benoemen we wat de gelezen pagina's niet beantwoorden:

• De AP-pagina's noemen geen termijn waarbinnen u een schadeclaim moet indienen. Informeer daarnaar bij een juridisch adviseur.
• De AP en de politie geven niet aan hoe groot de kans is dat uw gegevens worden misbruikt na een specifiek datalek. Dat hangt af van de gelekte gegevens, zoals hierboven beschreven.
• De pagina van de politie over aangifte beschrijft niet apart hoe u aangifte doet van misbruik van gelekte gegevens. U kiest het passende formulier uit het overzicht of belt 0900-8844.

Blijft u twijfelen over wat u moet doen? Vraag het de organisatie waar het datalek plaatsvond, de Fraudehelpdesk of, voor uw rechten, de AP.

Bronnen

Alle bronnen zijn geraadpleegd op 31 oktober 2026.

• Autoriteit Persoonsgegevens, Slachtoffer van een datalek?: https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/slachtoffer-van-een-datalek
• Autoriteit Persoonsgegevens, Wat is een datalek?: https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/wat-is-een-datalek
• Autoriteit Persoonsgegevens, Een tip of klacht indienen bij de AP: https://www.autoriteitpersoonsgegevens.nl/een-tip-of-klacht-indienen-bij-de-ap
• Politie, Check je hack: https://www.politie.nl/informatie/checkjehack.html
• Politie, Veel gestelde vragen over Check je hack: https://www.politie.nl/informatie/veel-gestelde-vragen-over-check-je-hack.html
• Politie, Aangifte of melding doen: https://www.politie.nl/aangifte-of-melding-doen
• Rijksdienst voor Identiteitsgegevens, Centraal Meldpunt Identiteitsfraude (CMI): https://www.rvig.nl/cmi
• Fraudehelpdesk, Ik heb gegevens ingevuld na klikken op een link: https://www.fraudehelpdesk.nl/fraude/ik-heb-gegevens-ingevuld-na-klikken-op-een-link/
• NCSC, Hoe kies ik een wachtwoordmanager?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager