Datalek melden binnen 72 uur: rekenhulp en meldhulp onder de AVG

Vul in wanneer uw instelling kennis kreeg van een datalek en zie de termijn van artikel 33 AVG met een live aftelling, de NIS2-termijnen als die gelden en de meldtermijn uit uw verwerkersovereenkomst. Doorloop daarna een korte toets op basis van de richtsnoeren van de EDPB, open de meldpagina van uw toezichthouder en kopieer een registerregel op grond van artikel 33, lid 5. Alles draait in uw browser.

Gepubliceerd 9 oktober 2026 · Bronnen geraadpleegd 9 oktober 2026

Ook beschikbaar in: English · Svenska · Norsk · Suomi · Dansk · Français · Español · Português

Hoe wordt de termijn van 72 uur berekend?

De 72 uur in artikel 33, lid 1, AVG lopen vanaf het moment waarop de instelling kennis kreeg van het datalek, en het zijn kalenderuren: nachten, weekenden en feestdagen tellen allemaal mee. De richtsnoeren van de EDPB over het melden van datalekken verwijzen naar Verordening 1182/71 over termijnen, die zaterdagen, zondagen en feestdagen bij elke termijn meetelt, tenzij die termijn in werkdagen is omschreven.

Artikel 33, lid 1, vraagt om melding "zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen". De 72 uur zijn een uiterste grens, geen streefdatum. Een latere melding moet een motivering voor de vertraging bevatten, en als feiten ontbreken, kunt u in stappen melden (artikel 33, lid 4).

De klok begint bij de kennisname, niet bij het incident zelf. De EDPB beschouwt een verwerkingsverantwoordelijke als op de hoogte wanneer hij "a reasonable degree of certainty" (een redelijke mate van zekerheid) heeft dat een beveiligingsincident persoonsgegevens heeft getroffen (richtsnoeren 9/2022, punt 31). Een kort onderzoek vóór dat moment is toegestaan, maar moet zo snel mogelijk beginnen (punt 34).

Wat Verordening 1182/71 toevoegt

In punt 40 van richtsnoeren 9/2022 plaatst de EDPB bij de 72 uur een voetnoot die verwijst naar Verordening (EEG, Euratom) nr. 1182/71, de algemene EU-regels voor termijnen, data en aanvangs- en vervaltijden. Drie van die regels zijn hier van belang:

• "Feestdagen, zondagen en zaterdagen zijn bij de termijnen inbegrepen", behalve als die dagen uitdrukkelijk zijn uitgesloten of de termijn in werkdagen is omschreven (artikel 3, lid 3).
• Het doorschuiven naar de volgende werkdag als een termijn op een weekend of feestdag eindigt, geldt alleen voor een termijn die "anders dan in uren omschreven" is (artikel 3, lid 4). De 72 uur worden er dus niet door verlengd.
• Bij een termijn in uren telt het uur waarin de gebeurtenis plaatsvindt niet mee (artikel 3, lid 1). Strikt gelezen begint de termijn bij kennisname om 10.20 uur dan om 11.00 uur en eindigt hij drie dagen later om 11.00 uur.

Validemics analyse De tool toont als termijn de gewone 72 uur vanaf de minuut van kennisname, en de strikte lezing op grond van artikel 3, lid 1, als opmerking. Houd het vroegste tijdstip aan. De extra minuten zijn geen discussie met uw toezichthouder waard, en de plicht is hoe dan ook "zonder onredelijke vertraging".

Tijdzones en zomer- en wintertijd

De tool zet het tijdstip dat u invoert om in een exact moment, zodat de termijn in elke tijdzone klopt. Valt er een overgang naar zomer- of wintertijd binnen de 72 uur, dan telt de tool 72 verstreken uren. Op de klok ligt de termijn dan een uur vroeger of later dan het tijdstip van kennisname. De tool meldt wanneer dit gebeurt en welk tijdstip het vroegst is.

Wanneer begint de klok als het datalek bij een leverancier ligt?

In beginsel op het moment dat de leverancier u informeert. Een verwerker moet de verwerkingsverantwoordelijke "zonder onredelijke vertraging" informeren zodra hij kennis heeft genomen van een datalek (artikel 33, lid 2), en volgens de EDPB krijgt de verwerkingsverantwoordelijke in beginsel kennis van het datalek zodra de verwerker hem heeft geïnformeerd (richtsnoeren 9/2022, punt 44). De AVG noemt voor de leverancier geen aantal uren.

De EDPB beveelt daarom aan dat verwerkers snel melden en details in stappen aanvullen, en dat de overeenkomst vastlegt hoe aan artikel 33, lid 2, wordt voldaan, wat volgens de EDPB "can include requirements for early notification" (eisen voor een vroege melding kan omvatten) (punten 45 en 46). De verwerker hoeft het risico niet te beoordelen voordat hij u informeert: dat is de taak van de instelling (punt 44). De overeenkomst moet de verwerker ook verplichten de instelling bij te staan bij de artikelen 32 tot en met 36 (artikel 28, lid 3, sub f).

Validemics analyse Geeft een verwerkersovereenkomst de leverancier 72 uur of meer, dan kan de leverancier de hele termijn opmaken voordat de instelling het weet. Uw eigen klok begint later, maar uw toezichthouder zal toch vragen waarom de melding zo lang heeft geduurd. Vul in stap 1 de meldtermijn uit de verwerkersovereenkomst in om te zien of de leverancier zich eraan heeft gehouden, en leg de uitkomst vast. Onze gids over het afhandelen van datalekken (Engels) beschrijft wat een datalekclausule in een verwerkersovereenkomst moet bevatten, en de checker voor verwerkersovereenkomsten (Engels) legt een overeenkomst naast artikel 28, lid 3.

Beoordeelt u op dit moment een leverancier? Validemic toetst de documenten van de leverancier aan de AVG en de AI-verordening, met een bron bij elke bevinding. Probeer de demo-omgeving

Moet ik een datalek melden?

Er zijn drie mogelijke uitkomsten. Is het niet waarschijnlijk dat het datalek een risico voor personen inhoudt, dan registreert u het maar meldt u het niet. Houdt het waarschijnlijk een risico in, dan meldt u het aan de toezichthoudende autoriteit. Houdt het waarschijnlijk een hoog risico in, dan informeert u ook de betrokkenen (artikel 34), tenzij een voorwaarde van artikel 34, lid 3, van toepassing is. Elk datalek wordt geregistreerd op grond van artikel 33, lid 5.

De meldhulp in stap 2 volgt de factoren die de EDPB noemt in deel IV van richtsnoeren 9/2022: het soort datalek; de aard, gevoeligheid en hoeveelheid van de gegevens; hoe gemakkelijk personen te identificeren zijn; hoe ernstig en hoe blijvend de gevolgen kunnen zijn; bijzondere kenmerken van de betrokkenen, zoals kinderen; en het aantal getroffen personen. Enkele punten uit de richtsnoeren bepalen de uitkomst:

• Gaat het om bijzondere persoonsgegevens of strafrechtelijke gegevens, dan moet schade volgens de EDPB als waarschijnlijk worden beschouwd ("should be considered likely to occur", punt 102).
• Goed versleutelde gegevens met een niet-gecompromitteerde sleutel zijn in beginsel onbegrijpelijk, zodat een inbreuk op de vertrouwelijkheid mogelijk niet gemeld hoeft te worden, mits er een back-up is. Zonder adequate back-ups kan het informeren van betrokkenen toch nodig zijn (punten 76 tot en met 79).
• Een betrouwbare ontvanger, zoals een andere afdeling of een bekende leverancier die de gegevens teruggeeft of verwijdert, kan de waarschijnlijkheid van een risico wegnemen (punt 114).
• Weet u niet of gegevens zijn gekopieerd, ga dan uit van het slechtste scenario ("the worse scenario", richtsnoeren 01/2021, punt 30).
• "If in doubt, the controller should err on the side of caution and notify" (bij twijfel moet de verwerkingsverantwoordelijke het zekere voor het onzekere nemen en melden) (richtsnoeren 9/2022, punt 119).

De uitgewerkte voorbeelden van de EDPB in richtsnoeren 01/2021 laten zien hoe de factoren samenwerken:

Artikel 34, lid 3, laat de plicht om betrokkenen te informeren vervallen als de gegevens onbegrijpelijk waren (bijvoorbeeld versleuteld), als latere maatregelen ervoor zorgen dat het hoge risico zich waarschijnlijk niet meer voordoet, of als individueel contact onevenredige inspanningen zou vergen. In het laatste geval is in plaats daarvan een openbare mededeling vereist. Onze gids over het afhandelen van datalekken (Engels) past deze factoren toe op vier scenario's in het hoger onderwijs.

Wat zijn de NIS2-termijnen van 24 uur, 72 uur en één maand?

Is uw instelling een essentiële of belangrijke entiteit onder de nationale NIS2-wetgeving, dan vraagt een significant incident om een vroegtijdige waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindverslag uiterlijk één maand na de incidentmelding (Richtlijn (EU) 2022/2555, artikel 23, lid 4). Deze meldingen gaan naar het CSIRT of de bevoegde autoriteit, niet naar de privacytoezichthouder.

Een incident is significant als het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of aanzienlijke schade aan anderen (artikel 23, lid 3). Is het incident nog aan de gang wanneer het eindverslag moet worden ingediend, dan dient u op dat moment een voortgangsverslag in en het eindverslag binnen één maand nadat het incident is afgehandeld (artikel 23, lid 4, sub e). Eén ransomware-aanval kan beide regimes in werking zetten, en de twee klokken kunnen op verschillende momenten gaan lopen: de NIS2-klok wanneer u weet van een significant incident, de AVG-klok wanneer u weet dat persoonsgegevens zijn getroffen.

Nationale wetten vullen dit aan. Het Zweedse Nationellt cybersäkerhetscenter, dat meldingen op grond van de Zweedse cyberbeveiligingswet ontvangt via zijn Cyberportal, telt de 24 uur vanaf het moment waarop de entiteit het incident als meldplichtig heeft aangemerkt. Het Duitse BSI omschrijft kennisname als het moment waarop een medewerker van het incident hoort "(innerhalb der Arbeitszeit)", dat wil zeggen tijdens werktijd. Of een instelling er überhaupt onder valt, verschilt per land; zie NIS2 and universities: are you in scope? (Engels) en onze pagina over de NIS2-richtlijn.

Hoe organiseren universiteiten het melden van datalekken?

Universiteiten die de 72 uur betrouwbaar halen, maken de eerste stap eenvoudig: één adres of formulier, direct melden, zonder op alle feiten te wachten. Vier voorbeelden:

• Trinity College Dublin vraagt medewerkers alle datalekken en vermoedelijke incidenten bij het data protection office te melden "without delay for assessment" (zonder vertraging, ter beoordeling), en stelt dat "a data protection breach is not a disciplinary issue" (een datalek geen disciplinaire kwestie is).
• The University of Edinburgh vraagt medewerkers een incident direct ("immediately") per e-mail te melden bij de Data Protection Officer en binnen 24 uur na ontdekking deel A van het evaluatieformulier voor datalekken in te vullen.
• De Universiteit van Oslo vraagt iedereen die namens de universiteit persoonsgegevens verwerkt, dit meteen aan de leidinggevende te melden, die vervolgens via een formulier meldt bij UiO-CERT; niet alle feiten hoeven al bekend te zijn.
• De Universiteit Utrecht vraagt medewerkers en studenten een vermoedelijk datalek zo snel mogelijk te melden bij de ICT Servicedesk, via een speciaal e-mailadres of, bij spoed, telefonisch.

Validemics analyse De rode draad is dat melden weinig moeite kost voor wie iets opmerkt, en dat de beoordeling centraal plaatsvindt. Een meldroute die ook buiten kantooruren bereikbaar is, is belangrijk, omdat de 72 uur in het weekend niet stilstaan.

Verandert de termijn van 72 uur?

In behandeling: het voorstel voor een digitale omnibus van de Europese Commissie (COM(2025) 837, procedure 2025/0360(COD), 19 november 2025) zou de AVG-termijn voor melding aan de toezichthouder verlengen tot 96 uur, de meldplicht richten op datalekken met een hoger risico en één centraal meldpunt invoeren voor incidentmeldingen onder meerdere wetten. Op 9 oktober 2026 vermeldt de Legislative Observatory van het Europees Parlement de status "Awaiting committee decision" (wacht op besluit van de commissie). Zolang het voorstel niet is aangenomen en van toepassing is, gaat u uit van 72 uur. Artikel 33 wordt toegelicht op onze pagina over de AVG.

Bronnen

Alle bronnen geraadpleegd op 9 oktober 2026.

1. Verordening (EU) 2016/679 (AVG), artikelen 4, punt 12, 28, lid 3, sub f, 33 en 34, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/nld (tekst van het Publicatieblad gelezen via het Publicatiebureau van de EU)
2. Richtlijn (EU) 2022/2555 (NIS2), artikel 23 en overweging 102, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/nld
3. EDPB, Guidelines 9/2022 on personal data breach notification under GDPR, versie 2.0, vastgesteld op 28 maart 2023: edpb.europa.eu, Guidelines 9/2022
4. EDPB, Guidelines 01/2021 on examples regarding personal data breach notification, versie 2.0, vastgesteld op 14 december 2021: edpb.europa.eu, Guidelines 01/2021
5. Verordening (EEG, Euratom) nr. 1182/71 houdende vaststelling van de regels die van toepassing zijn op termijnen, data en aanvangs- en vervaltijden, artikelen 1 en 3: EUR-Lex, CELEX 31971R1182 (oorspronkelijke tekst gelezen via legislation.gov.uk, zoals vastgesteld door de EU; Nederlandse tekst gelezen via het Publicatiebureau van de EU)
6. Legislative Observatory van het Europees Parlement, procedure 2025/0360(COD), digitale omnibus: oeil.europarl.europa.eu
7. Meldpagina's van toezichthoudende autoriteiten: IMY, Datatilsynet (Denemarken), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, CNPD, APD/GBA, Data Protection Commission, ICO en de lijst van Duitse toezichthouders van de Datenschutzkonferenz. Datatilsynet.no was op de controledatum niet bereikbaar.
8. NIS2-meldpunten: Zweden, Nationellt cybersäkerhetscenter; Denemarken, Styrelsen for Samfundssikkerhed; Finland, NCSC-FI bij Traficom; Nederland, NCSC; Duitsland, BSI: NIS-2-Meldepflicht; Ierland, NCSC incident reporting; Europese Commissie, omzetting van NIS2
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. The University of Edinburgh, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Universiteit van Oslo, Avvik ved behandling av personopplysninger: uio.no, personvern, avvik
12. Universiteit Utrecht, Report data breach: uu.nl, report data breach

Over deze pagina

Bronnen gecontroleerd op 9 oktober 2026. We hebben de AVG en NIS2 gelezen in de versies van het Publicatieblad die het Publicatiebureau van de EU publiceert, beide EDPB-richtsnoeren volledig, artikel 3 van Verordening 1182/71, elke hierboven gelinkte pagina van toezichthouders en universiteiten, en het proceduredossier van het Europees Parlement. De meldhulp is onze eigen vereenvoudiging van de factoren en voorbeelden van de EDPB. Het is een hulpmiddel voor een eerste toets en geen juridisch advies; de verwerkingsverantwoordelijke en de FG blijven verantwoordelijk voor de beoordeling, en nationaal recht of de praktijk van uw toezichthouder kan aanvullende eisen stellen. De datumlogica is getest rond de overgangen naar zomer- en wintertijd. Is een link verplaatst of ziet u een fout, neem dan contact met ons op, dan corrigeren we het.