Een datalek is elk beveiligingsincident waarbij persoonsgegevens verloren gaan of onrechtmatig worden verwerkt: de klassieker is een mail met leerlinggegevens naar de verkeerde ontvanger, maar ook een gestolen laptop, een gehackt account of gegevens in een onbeveiligde AI-tool tellen mee. De klok tikt vanaf het moment van ontdekking: binnen 72 uur moet een meldplichtig lek bij de Autoriteit Persoonsgegevens (AP) zijn gemeld.
Uur 0–4: stop het lek en verzamel de feiten
- Beperk de schade. Blokkeer het account, laat de mail terughalen, wis het apparaat op afstand, sluit de koppeling af.
- Leg vast wat je weet. Wat is er gebeurd, wanneer ontdekt, welke gegevens, van hoeveel leerlingen of medewerkers, wie heeft er (mogelijk) toegang toe gehad?
- Meld intern bij één punt. Elke medewerker moet wéten waar een (mogelijk) lek gemeld wordt — en dat snel melden altijd goed is, nooit fout.
Uur 4–24: beoordeel de ernst
Samen met je privacy-officer of FG beoordeel je het risico voor de betrokkenen. Relevante vragen: gaat het om gevoelige gegevens (gezondheid, gedrag, BSN)? Om minderjarigen (vrijwel altijd op school — en dat weegt zwaarder)? Is misbruik aannemelijk? Was de data versleuteld?
- Risico voor betrokkenen? → melden bij de AP, binnen 72 uur na ontdekking.
- Hoog risico? → ook de betrokkenen (ouders/medewerkers) informeren, zonder onnodige vertraging.
- Verwaarloosbaar risico? → niet melden, maar wél registreren, met de onderbouwing waarom niet.
Uur 24–72: meld en informeer
Melden doe je via het meldloket van de AP. Nog niet alle feiten compleet? Meld dan alvast en vul later aan — dat is uitdrukkelijk toegestaan en beter dan de termijn missen. Informeer je betrokkenen eerlijk en concreet: wat is er gebeurd, wat kan het voor hen betekenen, wat doen jullie eraan en wat kunnen zij zelf doen.
Daarna: registreer en leer
Elk datalek — ook de niet-gemelde — hoort in je interne datalekregister: feiten, gevolgen, maatregelen. Dat register is verplicht én het is goud voor je bewijsvoering: het laat zien dat je proces wérkt. Sluit af met een korte evaluatie: hoe kwam het lek, wat voorkomt herhaling, en werkte de procedure?
Het echte werk zit vóór het lek
De besturen die een lek soepel afhandelen, hebben één ding gemeen: ze hebben geoefend. Zet de procedure op papier, wijs rollen aan (wie beoordeelt, wie meldt, wie communiceert) en draai jaarlijks een oefencasus. In Edufort zit de datalekworkflow ingebouwd: melden in een paar klikken, automatische beoordeling-checklist, register en evaluatie in één flow — en incident response zit standaard in het abonnement als het groter blijkt dan een verkeerde bijlage.
Aan de slag — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het Normenkader IBP naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Het complete ecosysteem vanaf €1,70 per leerling per jaar — bekijk de prijzen.