Is een e-mail naar de verkeerde ontvanger een datalek?

Een verkeerde ontvanger telt meestal als datalek

Een e-mail die naar de verkeerde persoon gaat, valt in de meeste gevallen onder wat de AVG een datalek noemt: er is dan sprake van een inbreuk waarbij persoonsgegevens terechtkomen bij iemand die ze niet hoort te zien. Het gaat daarbij niet om het aantal ontvangers of de ernst van de inhoud, maar om het enkele feit dat gegevens buiten de bedoelde kring zijn beland. Een naam en e-mailadres die per ongeluk in de CC staan, een bijlage met een verkeerd klantdossier, of een mail die aan de verkeerde "Jan Jansen" in het adresboek is gestuurd — dat zijn allemaal situaties die onder de definitie van een datalek kunnen vallen.

Of zo'n voorval ook gemeld moet worden aan de Autoriteit Persoonsgegevens of aan de betrokkene zelf, is een aparte vraag die apart wordt beoordeeld. Dat hangt af van het risico dat de betrokkene loopt door het feit dat zijn gegevens bij de verkeerde persoon terecht zijn gekomen: gaat het om een adres dat toch al bekend was, of om gevoelige informatie zoals gezondheidsgegevens of een BSN. Die risico-inschatting bepaalt de vervolgstap, niet de vraag of er een datalek was — dat laatste staat meestal al vast zodra de mail is verstuurd.

Waar dit op berust: de definitie in de AVG

De AVG omschrijft een inbreuk in verband met persoonsgegevens in artikel 4 als elke schending van de beveiliging die per ongeluk of onrechtmatig leidt tot verstrekking van, of toegang tot, doorgezonden, opgeslagen of anderszins verwerkte gegevens. Een verkeerd geadresseerde e-mail past onder "verstrekking aan een onbevoegde ontvanger" en valt zo binnen die definitie. De vervolgvraag — of melding aan de toezichthouder of de betrokkene nodig is — wordt geregeld in de artikelen 33 en 34 van de AVG en is uitgewerkt op de pagina over datalekken van de Autoriteit Persoonsgegevens, waar het risico voor de betrokkene het aanknopingspunt vormt.