Datalek in de praktijk van een psycholoog: wat moet je binnen 72 uur doen?

Een verslag per vergissing naar de verkeerde cliënt gemaild, een laptop met dossiers gestolen, een overgenomen mailaccount: allemaal kunnen ze een datalek zijn. De AVG laat dan een klok lopen. Dit artikel legt uit hoe die werkt en geeft je een plan van één pagina.

Goed om te weten: dit is algemene informatie voor zorgverleners en geen juridisch advies. Hangt een punt af van je beroepsorganisatie of je eigen situatie, dan zeggen we dat, in plaats van te gokken. De Nederlandstalige tekst is niet nagekeken door een jurist.

Wat is een datalek in een praktijk?

Een datalek is niet alleen hacken. Het gaat om elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens, per ongeluk of opzettelijk. Voorbeelden uit een praktijk: een verslag naar het verkeerde e-mailadres, een telefoon of laptop zonder versleuteling die verloren gaat, een gedeelde mailbox die ook iemand anders kan lezen, papieren dossiers die ergens blijven liggen of een leverancier die meldt dat gegevens zichtbaar waren.

Wat zegt artikel 33 AVG?

• Melding aan de toezichthouder zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat je kennis nam van het lek. Meld je later, dan moet je de vertraging motiveren.
• Geen melding als het lek waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van personen.
• Inhoud van de melding: de aard van het lek, een contactpunt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
• Een verwerker meldt het aan jou zonder onredelijke vertraging nadat hij het lek ontdekt, zodat jij je eigen termijn kunt halen.
• Documenteer elk lek, ook de lekken die je niet meldt: de feiten, de gevolgen en de genomen maatregelen, zodat de toezichthouder kan nagaan of je de regels naleeft.

In België is de toezichthouder de Gegevensbeschermingsautoriteit (GBA). Welke procedure en welk formulier je voor een melding moet gebruiken, kijk je na op haar website op het moment van het lek; wij nemen dat hier niet over, omdat de procedure kan wijzigen. Artikel 34 AVG regelt bovendien wanneer je ook de betrokken personen zelf moet informeren; vraag bij twijfel advies bij een jurist of een functionaris voor gegevensbescherming.

Een plan van één pagina

1. Wie beslist? Zet één naam (en een plaatsvervanger) op papier. Bij een solopraktijk ben jij dat zelf.
2. Noteer het moment van ontdekking. De 72 uur lopen vanaf het moment dat je kennis nam. Schrijf datum, uur en hoe je het te weten kwam op.
3. Beperk de schade. Wijzig wachtwoorden, trek toegang van verloren toestellen in, vraag de verkeerde ontvanger om de mail te verwijderen en dat te bevestigen.
4. Beoordeel het risico. Welke gegevens, hoeveel cliënten, hoe gevoelig (sessienotities wegen zwaarder dan een afspraakuur), was alles versleuteld?
5. Beslis en leg vast. Melden of niet, cliënten informeren of niet, en waarom.
6. Meld en informeer binnen de termijn als dat nodig is, in gewone taal.
7. Evalueer. Wat had dit voorkomen? Pas de werkwijze aan, niet alleen het wachtwoord.

Voorkomen: maatregelen die de meeste lekken klein houden

Artikel 32 AVG noemt versleuteling en het vermogen om de toegang tot gegevens snel te herstellen na een incident als voorbeelden van passende maatregelen. Praktisch betekent dat:

• Versleutelde toestellen met schermvergrendeling voor alles wat je voor het werk gebruikt.
• Dossiers in een systeem met toegangsbeheer en een activiteitenlogboek, niet in bijlagen van mails.
• Tweestapsverificatie op je e-mail en je praktijksoftware.
• Het adres controleren voordat je iets over een cliënt verstuurt, en geen namen van cliënten in onderwerpregels.
• Een leverancier die in de verwerkersovereenkomst belooft om een lek snel aan jou te melden.

Wat dit artikel niet kan beslissen

Of een concreet incident "waarschijnlijk een risico" inhoudt, is een inschatting. Een verkeerd verstuurd afspraakbericht en een verkeerd verstuurd psychologisch verslag zijn niet hetzelfde. Twijfel je, vraag dan advies en leg vast hoe je tot je beslissing kwam. Kijk ook na of je beroepsaansprakelijkheids- of cyberverzekering eigen meldtermijnen heeft.

Oefen één keer, vóór het nodig is

Een plan werkt pas als je het één keer hebt doorlopen. Neem een fictief scenario: je hebt een verslag naar het verkeerde adres gemaild. Loop de zeven stappen af en schrijf op hoe lang elk onderdeel duurde en waar je moest zoeken. Meestal blijkt dat je de contactgegevens van je leverancier, het adres van de toezichthouder of de vraag wie je kunt bellen niet bij de hand had. Noteer die gegevens op je pagina, en bewaar een papieren kopie op een plek die niet afhangt van de systemen die kunnen uitvallen.

Bronnen

Alle onderstaande pagina's zijn geraadpleegd op 7 november 2026.

• AVG/GDPR, artikel 33: melding van een datalek aan de toezichthouder (Engelstalige tekst)
• AVG/GDPR, artikel 32: beveiliging van de verwerking (Engelstalige tekst)
• AVG/GDPR, artikel 28: verwerker (Engelstalige tekst)
• Gegevensbeschermingsautoriteit (GBA), de Belgische toezichthouder