Een datalek beperkt zich niet tot een diefstal van inloggegevens. Het Europese regelgevingskader legt nu verschillende juridische regimes (AVG, DSA) op die afzonderlijke verplichtingen creëren voor verwerkingsverantwoordelijken en online platforms. Voor de betrokkenen opent deze overlapping vaak onderbenutte actiemogelijkheden.
Verbinding AVG en DSA: twee cumulatieve regimes in geval van een lek op een platform
Wanneer er een datalek plaatsvindt op een groot platform, verplicht de AVG de melding aan de CNIL en, in geval van een hoog risico, de directe informatie aan de betrokken personen. De verordening inzake digitale diensten (DSA) voegt verplichtingen toe die specifiek zijn voor online platforms, met name op het gebied van transparantie en het beheer van systemische risico’s.
Deze twee regimes cumuleren; ze vervangen elkaar niet. Een platform dat een datalek meldt op basis van de AVG blijft gebonden aan zijn DSA-verplichtingen met betrekking tot de moderatie van inhoud die voortkomt uit het lek, bijvoorbeeld de verspreiding van gestolen databases via zijn eigen diensten.
We merken op dat de meeste particulieren alleen de AVG inroepen in hun klachten bij de CNIL. Het expliciet vermelden van de DSA in een klacht stelt de autoriteit in staat om te signaleren dat het platform ook tekort is geschoten in zijn zorgplicht. Verschillende bronnen documenteren deze dubbele eis, zoals de praktische gidsen van Mindtrap die de beschikbare rechtsmiddelen volgens het type betrokken platform gedetailleerd beschrijven.
Sancties CNIL in 2026: wat de bedragen onthullen over de controle-doctrine
De CNIL sanctioneert niet alleen de technische fout. In haar rapport gepubliceerd op 9 september 2026 heeft de autoriteit een boete van 27 miljoen euro opgelegd aan een mobiele telefoonoperator op 8 januari 2026. De vastgestelde tekortkomingen omvatten de gegevensbeveiliging, maar ook het gebrek aan informatie aan de slachtoffers.
Het signaal is duidelijk: een bedrijf dat een lek ondergaat en te lang wacht met het informeren van de betrokken personen, loopt het risico op een autonome sanctie voor deze vertraging alleen. Voor een particulier betekent dit dat het ontbreken van een melding op zich een ontvankelijke klacht vormt bij de CNIL.
Gezondheidsgegevens: een hoger juridisch risiconiveau
Op 3 september 2026 heeft de CNIL een privéziekenhuis gesanctioneerd met 500.000 euro voor een schending van gezondheidsgegevens. Medische gegevens genieten een versterkt beschermingsregime op grond van artikel 9 van de AVG. Hun openbaarmaking kan leiden tot discriminatie bij verzekeringen, werk of krediet, ver voorbij het risico van klassieke phishing.
We raden personen wiens gezondheidsgegevens zijn gelekt aan om systematisch elke weigering of wijziging van contractvoorwaarden die na de schending heeft plaatsgevonden, te documenteren. Deze elementen vormen bewijzen van schade in het kader van een schadevergoeding.
Rechten van slachtoffers van datalekken: de vaak genegeerde concrete actiemogelijkheden
De populaire artikelen richten zich op het wijzigen van wachtwoorden en waakzaamheid tegen phishing. Deze maatregelen zijn noodzakelijk, maar ze dekken slechts een fractie van de beschikbare acties.
- Versterkt recht op toegang (artikel 15 AVG): vraag de verwerkingsverantwoordelijke om de exacte lijst van de categorieën van gecompromitteerde gegevens, de ontvangers aan wie ze zijn verstrekt en de exacte datum van detectie van de schending. Dit recht verplicht de organisatie om binnen een maand een gedocumenteerd antwoord te geven.
- Klacht bij de CNIL met dubbele basis: gelijktijdig inroepen van de tekortkoming in beveiliging (artikel 32 AVG) en het gebrek aan melding aan de betrokken personen (artikel 34 AVG). Vermeld de DSA als het lek betrekking heeft op een online platform dat onder deze verordening valt.
- Actie tot schadevergoeding: de AVG opent een recht op schadevergoeding voor materiële of morele schade (artikel 82). Documenteer de pogingen tot oplichting die zijn ontvangen na het lek, de administratieve stappen die zijn ondernomen en de tijd die is besteed aan het beveiligen van de accounts, dit vormt een bruikbaar dossier voor de civiele rechter.
- Actieve monitoring van de IBAN: in geval van een lek van een bankidentificatie, neem contact op met de bank om een witte lijst van geautoriseerde schuldeisers voor SEPA-incasso te activeren. Betwist elke niet-herkende incasso binnen een termijn van 13 maanden.
Beveiliging van accounts na een lek: verder dan alleen het wachtwoord
Het wijzigen van een gecompromitteerd wachtwoord is niet voldoende als dezelfde identificatie (e-mailadres) als authentificatiepunt op meerdere diensten wordt gebruikt. Het hergebruik van identificaties blijft de belangrijkste exploitatievector na een lek.
Een wachtwoordbeheerder genereert unieke identificaties per dienst, maar de bepalende beschermingslaag blijft de multi-factorauthenticatie (MFA). Geef de voorkeur aan een TOTP-app of een fysieke FIDO2-sleutel in plaats van SMS, waarvan de onderschepping door SIM-swapping gedocumenteerd is.
Houd je blootgestelde gegevens op het web in de gaten
Verschillende diensten stellen je in staat om te controleren of een e-mailadres voorkomt in een gecompromitteerde database. Deze tools vervangen de verplichte melding door de verwerkingsverantwoordelijke niet, maar ze vullen een blinde vlek op: sommige lekken worden nooit aan de slachtoffers gemeld, hetzij door nalatigheid, hetzij omdat de organisatie de kwalificatie van schending betwist.
Het instellen van waarschuwingen voor je belangrijkste identificaties stelt je in staat om te reageren voordat je een officiële melding ontvangt, als deze ooit komt.
Het Europese juridische kader biedt slachtoffers van datalekken uitgebreidere rechtsmiddelen dan alleen digitale hygiënemaatregelen. Het documenteren van de chronologie van de schending, het inroepen van de juiste juridische grondslagen en het benutten van de complementariteit AVG-DSA transformeert een defensieve houding in een reële actiemogelijkheid tegen falende organisaties.
