Website gehackt: datalek melden binnen 72 uur?

Is je website gehackt en bevat die persoonsgegevens (bestellingen, klantaccounts, contactformulieren, nieuwsbrieflijsten)? Dan moet je mogelijk een datalek melden bij je toezichthouder voor gegevensbescherming, uiterlijk 72 uur nadat je ervan op de hoogte bent. Die meldplicht datalekken geldt niet als het datalek waarschijnlijk geen risico oplevert voor de mensen van wie de gegevens zijn, maar je moet wel elk datalek documenteren, gemeld of niet. Is het risico hoog, dan moet je ook die mensen zelf informeren. De klok begint te lopen wanneer je redelijk zeker weet dat persoonsgegevens zijn geraakt, niet op het moment van de aanval. Je eerste taak is dus snel uitzoeken waar de aanvaller bij kon. Deze gids legt uit hoe je beslist, welke feiten je in de eerste uren verzamelt en waar je meldt in de EU, het Verenigd Koninkrijk en Thailand. Hij is geschreven door developers die gehackte websites opschonen, niet door juristen: twijfel je, vraag dan dezelfde dag je functionaris voor gegevensbescherming of je jurist om raad.

Is een gehackte website een datalek?

Niet altijd. Onder de AVG (GDPR) is een datalek een beveiligingsincident waarbij persoonsgegevens worden vernietigd, verloren raken, gewijzigd worden, verspreid worden of zonder toestemming toegankelijk zijn. Een hack op een site zonder persoonsgegevens, zoals een visitekaartjessite zonder formulieren of accounts, is een beveiligingsincident maar geen datalek. Een hack op een webshop, een boekingssite of een ledenportaal is dat meestal wel, want de aanvaller kon bij klantgegevens, ook als je niet kunt bewijzen dat hij ze heeft meegenomen.

De Europese Raad voor gegevensbescherming (EDPB) onderscheidt drie soorten datalekken, en een hack kan alle drie tegelijk zijn:

• Vertrouwelijkheid: iemand heeft gegevens gezien of gekopieerd die hij niet mocht zien, bijvoorbeeld een gedownloade klantentabel of een databaseback-up die in een openbare map bleef staan.
• Integriteit: gegevens zijn gewijzigd, bijvoorbeeld scripts die in bestelpagina's zijn geïnjecteerd of gewijzigde bankgegevens op facturen.
• Beschikbaarheid: gegevens zijn verloren of vergrendeld, bijvoorbeeld door ransomware of een gewiste database zonder werkende back-up.

Wanneer begint de klok van 72 uur te lopen?

Artikel 33 van de AVG zegt dat je melding doet zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat je er kennis van hebt genomen. In de richtsnoeren van de EDPB over meldingen van datalekken staat dat je op de hoogte bent zodra je redelijk zeker weet dat een beveiligingsincident ertoe heeft geleid dat persoonsgegevens zijn gecompromitteerd. Je mag kort onderzoeken of dat zo is, maar dat onderzoek moet meteen beginnen.

In de praktijk: de uren die je bezig bent met de vraag of een vreemde redirect ernstig is, zijn niet gratis. Zodra je tekenen van een hack ziet op een site met klantgegevens, begin je feiten te verzamelen. Lukt het je niet binnen 72 uur af te ronden, dan accepteren de toezichthouders in België, Nederland, Frankrijk, Duitsland en het Verenigd Koninkrijk allemaal een eerste melding binnen de termijn die je later aanvult. Een late melding moet de vertraging verklaren.

Beheert een developer of hostingbedrijf de site voor je, dan is die je verwerker. Een verwerker moet je zonder onredelijke vertraging informeren als hij een datalek ontdekt. De plicht om de toezichthouder te informeren blijft bij jou, het bedrijf dat bepaalt waarvoor de gegevens dienen.

Melden of niet: zo beslis je

Situatie	Melden bij de toezichthouder?	De betrokkenen informeren?
Hack op een site zonder persoonsgegevens (geen formulieren, accounts of bestellingen)	Nee, het is geen datalek	Nee
Spampagina's of een redirect geïnjecteerd, geen toegang tot de database of formulierinzendingen	Meestal niet, als je kunt aantonen dat de gegevens niet bereikbaar waren; documenteer waarom	Nee
Aanvaller had admin- of databasetoegang tot namen en e-mailadressen van klanten	Meestal ja: je kunt een risico niet uitsluiten	Hangt af van het risico; vaak ja als phishing waarschijnlijk is
Wachtwoorden, identiteitsbewijzen, betaalgegevens of gezondheidsgegevens blootgelegd	Ja	Meestal ja: hoog risico
Ransomware of een gewiste database, met een recente schone back-up teruggezet	Hangt ervan af of de gegevens ook gekopieerd zijn en hoe lang ze onbeschikbaar waren	Alleen bij een hoog risico
Gegevens waren versleuteld met een sleutel die de aanvaller niet heeft gekregen	Vaak toch ja, maar het risico is lager	Meestal niet: de AVG maakt een uitzondering voor gegevens die onbegrijpelijk zijn voor de aanvaller

De vraag is altijd wat het risico is voor de mensen in de gegevens, niet wat de schade is voor je bedrijf. Kijk naar het soort gegevens, het aantal mensen, of ze te identificeren zijn en wat iemand ermee kan doen: phishing, identiteitsfraude, schaamte, financiële schade. Twijfel je, dan is het advies van de Franse toezichthouder CNIL om te melden; de autoriteit kan je dan vertellen of je ook de betrokkenen moet informeren.

Wat je in de eerste uren verzamelt

Een melding vraagt om feiten. Dit zijn de feiten waar een developer je bij kan helpen, en ze sturen ook het opschonen:

1. Wat er gebeurd is en wanneer: het eerste signaal dat je zag, wanneer je het zag en wanneer de aanval waarschijnlijk begon. Serverlogs, wijzigingsdata van bestanden en nieuwe adminaccounts laten meestal de start zien.
2. Welke systemen bereikt zijn: alleen de websitebestanden, of ook de database, het beheerpaneel, e-mailaccounts of een gekoppeld systeem zoals de back-office van je webshop.
3. Welke persoonsgegevens er stonden: klanten, bestellingen, formulierinzendingen, nieuwsbriefabonnees, medewerkers, verkopers of leden. Maak een lijst van de tabellen of exports en de velden daarin.
4. Hoeveel mensen: een schatting volstaat voor een eerste melding. Met een telling in de database heb je binnen minuten een getal.
5. Of er gegevens de server hebben verlaten: zoek naar ongewone downloads, grote responses in de toegangslogs, databasedumps of exports in openbare mappen. Schone logs zijn geen bewijs dat er niets is meegenomen.
6. Wat je gedaan hebt: wachtwoorden gereset, lek gedicht, site hersteld, back-ups gecontroleerd, klanten gewaarschuwd.
7. Wie je contactpersoon is: de toezichthouder wil iemand die vervolgvragen kan beantwoorden.

Bewaar deze notities ook als je besluit niet te melden. Artikel 33, lid 5 van de AVG vereist een register van elk datalek: de feiten, de gevolgen en wat je eraan gedaan hebt. Zowel de Nederlandse als de Franse toezichthouder vraagt om dit interne datalekkenregister.

Waar meld je het?

Land	Autoriteit	Hoe
Nederland	Autoriteit Persoonsgegevens	Via het online meldloket datalekken; niet per telefoon, post of e-mail.
België	Gegevensbeschermingsautoriteit (GBA/APD)	Online portaal met een bedrijfsaccount; in het Nederlands, Frans of Duits. Meldingen per e-mail worden niet behandeld.
Frankrijk	CNIL	Online meldingsdienst; een eerste melding kan later worden aangevuld.
Duitsland	De toezichthouder voor gegevensbescherming van je deelstaat (Land); telecomaanbieders melden bij de BfDI	Elke deelstaat heeft een eigen online formulier, bijvoorbeeld Berlijn en Baden-Württemberg.
Verenigd Koninkrijk	Information Commissioner's Office (ICO)	Online melding binnen 72 uur; je kunt in fasen melden.
Thailand	PDPC Office	E-service voor datalekmeldingen op de website van de PDPC, binnen 72 uur nadat je ervan op de hoogte bent, waar mogelijk (PDPA, sectie 37(4)).

Zit je bedrijf in één EU-land en je klanten in meerdere, dan meld je meestal bij de autoriteit van je hoofdvestiging. Sommige sectoren, zoals telecom, hebben eigen aanvullende regels.

Een echt geval: een verkopersportaal op een niet-onderhouden site

In september 2026 nam een Belgische keten van tweedehandswinkels opnieuw contact met ons op na vier jaar zonder contact. Een grote cyberaanval had bijna alles op hun WordPress-sites kapotgemaakt, ook het portaal waarop hun verkopers inloggen om hun artikelen en uitbetalingen te volgen. Het herstellen van de sites en het dichten van de gaten die de aanvallers hadden gebruikt kostte 2 dagen werk.

Zo'n portaal bevat precies het soort gegevens waar dit artikel over gaat: namen, contactgegevens en uitbetalingsgegevens van de verkopers. Daarom zijn de technische vragen hierboven (wat was bereikbaar, sinds wanneer en heeft iets de server verlaten) even belangrijk als de site weer online krijgen. De beslissing om te melden blijft bij het bedrijf; onze taak is het de feiten snel genoeg te geven om binnen de termijn te kunnen beslissen.

Na de melding: dicht het lek

Melden lost niets op. Dezelfde stappen als bij elke gehackte site blijven gelden: reset alle wachtwoorden, zoek de toegangsweg en sluit die, vervang geïnfecteerde bestanden, update alles en controleer of de back-ups schoon zijn. Onze stappengids WordPress-site gehackt? Wat te doen in het eerste uur behandelt dat deel. Toezichthouders kijken ook naar wat je hebt gedaan om herhaling te voorkomen, dus schrijf de maatregelen op die je neemt: tweestapsverificatie, ongebruikte plugins verwijderen, monitoring en iemand die verantwoordelijk is voor updates. Is de site een tijd niet onderhouden, lees dan wat websiteonderhoud echt kost om te bepalen hoe je hem voortaan veilig houdt.

Wat het kost om de feiten te achterhalen

Optie	Prijs excl. btw	Goed om te weten
Je eigen team of hostingbedrijf	Je eigen tijd, of het abonnement bij je host	Prima als ze serverlogs en de database kunnen lezen. Veel hosts herstellen alleen een back-up.
WDDW spoedhulp	€75/uur, geen minimum	Een senior developer start dezelfde dag: zoekt uit wat bereikbaar was, verzamelt de feiten voor je melding en dicht het lek.
WDDW spoedhulp in het weekend	€112,50/uur	Aanvallen wachten niet tot maandag, en de klok van 72 uur ook niet.
WDDW strippenkaart	€910 voor 14 uur	Vooruitbetaalde uren voor het vervolgwerk: updates, tweestapsverificatie, monitoring.

Voor een gewone website van een klein bedrijf kost uitzoeken wat bereikbaar was een paar uur, geen dagen. Een volledig herstel duurt langer als de site jarenlang niet is onderhouden, zoals in het geval hierboven. Op onze prijzenpagina staan alle opties.

Gehackt en loopt de klok? Wij beginnen vandaag

Boek spoedhulp en een senior developer start dezelfde dag op je site, voor €75/uur excl. btw, zonder minimum en zonder intakegesprek. We tekenen een NDA als je dat wilt, zoeken uit waar de aanvaller bij kon, schrijven de feiten voor je melding op en dichten het lek. We geven geen juridisch advies en kunnen niet voor je beslissen of je moet melden, maar we zorgen dat je de feiten op tijd hebt. Liever eerst praten? Neem contact op in het Nederlands, Frans, Duits, Engels of Thai.