Het melden van een datalek bij de Autoriteit Persoonsgegevens kost zelf niets: daar is geen leges of vergoeding voor verschuldigd. De kosten zitten in wat eromheen gebeurt: het uitzoeken wat er precies is misgegaan, het informeren van betrokkenen, eventuele technische herstelwerkzaamheden en de tijd die dit allemaal van uw organisatie vraagt. Hoe hoog dat oploopt, hangt sterk af van de omvang van het lek, het soort gegevens en of u al een proces had liggen voordat het misging.
Er bestaat geen vast bedrag voor "een datalek", omdat geen twee datalekken hetzelfde zijn. Een verkeerd verzonden e-mail met contactgegevens van één klant vraagt iets anders dan een inbraak in een systeem met personeelsdossiers van honderd medewerkers. De kostenposten zijn wel steeds dezelfde categorieën; alleen de omvang verschilt.
Waar de kosten vandaan komen
De eerste kostenpost is interne tijd: iemand moet uitzoeken wat er is gebeurd, welke gegevens zijn geraakt en of de wettelijke termijn van tweeënzeventig uur voor melding aan de Autoriteit Persoonsgegevens in zicht komt. Die uren worden vaak onderschat, zeker als er geen vast aanspreekpunt of proces is en meerdere mensen tegelijk naar hetzelfde incident kijken.
Daarnaast kan externe hulp nodig zijn: een IT-leverancier die een lek technisch moet dichten, een forensisch onderzoeker bij een grotere inbraak, of een jurist die meekijkt bij de afweging of en hoe gemeld moet worden. Niet elk datalek vraagt om al deze schakels, maar bij een ernstiger incident lopen deze kosten wel snel op.
Ook het informeren van betrokkenen kost tijd en soms geld: het opstellen van een zorgvuldige, begrijpelijke brief of e-mail, het beantwoorden van vragen die daarop volgen, en in sommige gevallen het aanbieden van een vorm van genoegdoening, zoals een nieuwe inlogcode of gratis dienstverlening. De beslisboom op in een paar vragen zien of en hoe u moet melden helpt bij het scherp krijgen van de eerste stap, zodat u niet onnodig tijd verliest aan twijfel.
Wat de hoogte bepaalt
De belangrijkste factor is de omvang: hoeveel mensen zijn geraakt en hoe gevoelig zijn de gegevens. Een lek met namen en e-mailadressen weegt anders dan een lek met financiële gegevens of gezondheidsgegevens. De EDPB-richtsnoeren en de AVG zelf noemen dit soort risicofactoren als uitgangspunt voor de beoordeling, niet als rekenformule voor een bedrag.
Een tweede factor is hoe snel het lek wordt ontdekt en hoe duidelijk is wie waarvoor verantwoordelijk is. Als in een verwerkersovereenkomst al vastligt wie een leverancier moet waarschuwen en binnen welke termijn, scheelt dat uitzoekwerk op het moment dat het misgaat. Is die afspraak er niet, dan kost het incident zelf meer tijd om te doorgronden, nog voordat er aan herstel wordt begonnen.
Een derde factor is of uw organisatie al een vastgelegd proces heeft: een vast stappenplan, een lijst van wie te waarschuwen is, en een plek waar eerdere incidenten staan geregistreerd. Zonder dat moet bij elk incident opnieuw worden uitgevonden wie wat doet, wat zowel tijd als rust kost op een moment dat beide schaars zijn.
De melding zelf is gratis, de voorbereiding niet
Het is goed om dit onderscheid scherp te houden: de meldplicht aan de Autoriteit Persoonsgegevens brengt geen kosten met zich mee, maar het goed kunnen uitvoeren van die melding wel. Wie moet bepalen of een incident binnen de wettelijke termijn gemeld moet worden, en wat daarin precies moet staan, heeft daar tijd voor nodig. Een overzicht van wat er in een melding hoort en welke stukken u er doorgaans bij nodig heeft, staat beschreven in de kennisbank met uitleg per onderwerp.
Veel van deze kosten zijn niet eenmalig maar terugkerend, simpelweg omdat datalekken niet gepland zijn en zich ook na jaren opnieuw kunnen voordoen. Daarom kiezen sommige organisaties ervoor om de klok, de stappen en de vastlegging in een systeem te laten lopen in plaats van dit telkens handmatig te reconstrueren. Wat een dergelijk abonnement kost en wat daar tegenover staat, is te zien op de prijzenpagina met de opbouw per onderdeel.
Vooraf vastleggen scheelt achteraf
De grootste kostenbesparing zit meestal niet in het incident zelf, maar in de voorbereiding erop: een actueel verwerkingsregister, heldere afspraken met leveranciers en een vast aanspreekpunt zorgen ervoor dat een datalek minder tijd kost om te beoordelen en af te handelen. Veelgestelde vragen over wat daarbij wel en niet verplicht is, staan verzameld op de pagina met antwoorden op vragen die andere ondernemers ook stellen.
Wilt u voor uw eigen situatie een eerste beeld krijgen van waar u staat? De gratis quick-scan geeft in een paar vragen een indicatie, zonder dat u daarvoor een account nodig heeft.