AP kreeg vorig jaar veel meer datalekmeldingen door bulkmeldingen

De Autoriteit Persoonsgegevens zag vorig jaar een grote stijging in het aantal gemelde datalekken. In 2024 kwamen er 37.839 datalekmeldingen binnen, tegenover 25.694 het jaar ervoor. Het aantal privacyklachten daalde, maar de AP heeft alsnog een kleine achterstand uit 2024.

Dat schrijft de Nederlandse privacytoezichthouder in zijn jaarverslag over 2024. De AP ontving in het hele jaar 37.839 meldingen, waarvan een klein deel binnenkwam van andere Europese toezichthouders. De meeste van die datalekken handelde de AP af: 37.475 datalekmeldingen. Een datalekmelding is overigens vaak maar klein: het gaat dan bijvoorbeeld om een verkeerd geadresseerde brief of e-mail. "Ook onbedoelde of onrechtmatige inzage van persoonsgegevens blijkt een veelvoorkomende bron van datalekken", schrijft de toezichthouder.

De AP verklaart die stijging onder andere doordat sinds vorig jaar verschillende organisaties datalekmeldingen in bulk mogen doen. Dat konden verschillende overheidsorganisaties al, zoals het UWV en de SVB, maar vorig jaar startte de AP een pilot met organisaties en brancheverenigingen. "Vermoedelijk heeft de extra aandacht en verruiming geleid tot meer in bulk gemelde datalekken. Dat is gestegen van 5.480 datalekken in 2023 naar 14.067 datalekken in 2024", schrijft de AP. Verder was er een grote cyberaanval op een bedrijf waardoor er 5313 meldingen in een keer werden gedaan, die de cijfers ook vertekent.

Klachten

Het aantal klachten dat de AP ontving daalde van 12.307 in 2023 naar 7119 in 2024. In 2022 daalde het aantal klachten ook al omdat de AP toen minder vaak telefonisch bereikbaar was. In 2024 lijkt de daling deels te komen door een verbeterd invulformulier op de website, schrijft de toezichthouder. In dat formulier wordt gevraagd of een klager ook al een melding bij de betreffende organisatie of bij een functionaris gegevensbescherming heeft gedaan. "Vermoedelijk heeft dit formulier ertoe geleid dat een burger eerst daar meldt en niet (of alsnog later) bij de AP. Dit is een wenselijke ontwikkeling", schrijft de toezichthouder.

In 2024 handelde de AP meer klachten af dan er binnenkwamen: 7634. De toezichthouder waarschuwt dat dat niet betekent dat alle klachten zijn weggewerkt. Al jaren heeft de AP last van achterstanden en ze moet achterstallige klachten van jaren geleden nog wegwerken. Inmiddels zijn alle achterstallige klachten uit 2023 opgelost, zegt de toezichthouder, maar nu liggen er nog klachten op de plank die in 2024 zijn ingediend. In het komende jaar wil de AP doorgaan met extra inhuur van personeel om ook die klachten verder weg te werken.

	2023	2024
Gemelde datalekken	25.694	37.839
Afgehandelde datalekmeldingen		37.475
Ontvangen klachten	12.307	7119
Afgehandelde klachten		7634

Reacties (7)

[pimlie]

Is er ook statistiek beschikbaar over de uitkomsten van klachten? Want je kan je afvragen of je een klacht ook echt afgehandeld kan noemen als de AP enkel een normbrief stuurt omdat ze naar eigen zeggen geen tijd hebben om de klacht verder te onderzoeken.

[Floort]

Afgehandeld betekend vaak afgewezen (niet perse omdat de klacht onterecht is) of dat er een brief gestuurd is met de strekking "Er is een klacht ingediend. We weten niet of de klacht terecht was, maar dit zijn de regels. Wees gewaarschuwd.". Maar ik vind het opmerkelijk dat daar in het jaarverslag geen duidelijke statistieken over zijn opgenomen.

[Floort]

"Inmiddels zijn alle achterstallige klachten uit 2023 opgelost, zegt de toezichthouder, maar nu liggen er nog klachten op de plank die in 2024 zijn ingediend." Ik heb nog een openstaande klacht uit 2019 en 2021. Voor de klacht uit 2019 is het onderzoek niet eens gestart.

[Frogmen]

Daalt het aantal klachten omdat er toch niets mee gedaan wordt of omdat er minder gebeurt. Denk dat het te vaak nog het eerste is, het heeft toch geen nut. Wat dat betreft kan je het vergelijken met fietsendiefstal, helaas.

[jorisvergeerTBA]

Mooi toch, dat je als je als organisatie zo vaak een datalek creëert, dat ze dan in bulk mag indienen.

[wildhagen]

Nou, bij een bulkmelding heb je weliswaar meerdere datalekken inderdaad, maar die hebben wel allemaal dezelfde (dus enkele) oorzaak. En je moet dat richting de AP ook kunnen aantonen dat dat zo is:

Voor een bulkmelding moet je voldoen aan specifieke voorwaarden die door de Autoriteit Persoonsgegevens zijn vastgesteld. Zo moet je kunnen aantonen dat de datalekken dezelfde oorzaak hebben en dat je dezelfde maatregelen hebt genomen om de gevolgen te beperken. Bovendien moet je alle betrokkenen op de hoogte stellen van het datalek en de stappen die je hebt ondernomen om hun persoonsgegevens te beschermen.

Daarbij wordt een datalek doorgaans niet opzettelijk gecreëerd.

Tevens kan de organisatie door zo'n bulkmelding het datalek efficiënt melden met zo min mogelijk lasten:

Een bulkmelding kan je helpen om administratieve lasten te verminderen terwijl je voldoet aan de meldplicht.

Zie voor beide quotes https://www.shiftbase.com/nl/woordenboek/datalek

Dan is zo'n bulkmelding imho wel degelijk een goede optie denk ik. Ja natuurlijk wil je zo'n datalek liever niet hebben, maar als hij er dan toch is, maak het melden ervan dan zo eenvoudig en efficiënt mogelijk hoor organisaties. Dat voorkomt ook weer het onder de pet houden ervan.

[Reactie gewijzigd door wildhagen op 21 maart 2025 13:12]

[jochemd]

Dat je vaak een datalek hebt wil niet zeggen dat je vaak een datalek creeert. Naam bijvoorbeeld de uitvoerder die belast is met de inning van achterstallige zorgpremie. Dat komt vaak omdat bijvoorbeeld arbeidsmigranten met de noorderzon zijn vertrokken zonder hun zorgverzekering te hebben opgezegd. Dan moet de uitvoerder die mensen eerst benaderen door ze een brief te sturen en dan komt die brief terecht bij de nieuwe bewoners omdat de huisjesmelkers en de gemeentes niet zo'n haast maken met de juiste registratie van arbeidsmigranten. En dan is dat dus een datalek.
De uitvoerder heeft geen vrije keuze in dit proces, hoe dit alles werkt is vastgelegd in Den Haag, dus ik denk niet dat het reeel is om te zeggen dat zij datalekken creeren. De uitvoerder heeft ze, maar de politiek heeft ze gecreeerd.