Aansprakelijkheid bij datalek medewerker: wanneer kan dat spelen en waar hangt het van af?

Definitie en kernvraag: wat bedoelen we met aansprakelijkheid bij een datalek door een medewerker?

Met “aansprakelijkheid bij datalek medewerker” wordt bedoeld dat een medewerker (of diens werkgever) mogelijk aansprakelijk kan worden gesteld voor schade die voortvloeit uit een ongeoorloofde openbaarmaking, verlies of wijziging van persoonsgegevens (of andere vertrouwelijke gegevens) door toedoen van die medewerker.

Het belangrijkste is dat “een datalek” op zichzelf nog niet automatisch betekent dat er juridisch aansprakelijkheid is. In de praktijk gaat het om een combinatie van factoren, zoals: wie verantwoordelijk is voor de gegevensverwerking, wat de medewerker precies deed, of dat verwijtbaar was, en of de schade aantoonbaar is en herleidbaar is tot het lek.

Eenvoudig model: de beoordeling in vier bouwstenen

Je kunt aansprakelijkheid bij een datalek door een medewerker vaak begrijpen met vier bouwstenen. Niet elk onderdeel hoeft altijd even zwaar te wegen, maar ze sturen doorgaans het gesprek.

1) Rol en zeggenschap over de gegevens

Wie bepaalde toegang had tot systemen of bestanden, wie beheerde rechten en werkinstructies, en wie had de zorgplicht om risico’s te beperken? In veel situaties ligt de nadruk op de organisatie die gegevens beheert en medewerkers toegang geeft binnen een werkomgeving.

2) Handeling of nalaten van de medewerker

Aansprakelijkheid gaat doorgaans over gedrag: bijvoorbeeld onbedoeld of bewust handelen (zoals onjuist gebruik van toegang, het delen van gegevens, of het niet opvolgen van procedures) of juist nalaten (zoals het niet melden van een incident terwijl dat wél verwacht mocht worden).

3) Verwijtbaarheid: was het te verwachten?

Een cruciale vraag is of de medewerker “een fout” had die redelijkerwijs te vermijden was. Daarbij tellen doorgaans zaken mee als:

opleiding en instructies die zijn gegeven
duidelijkheid van procedures
complexiteit en beveiligingsniveau van systemen
of er waarschuwingen of controles waren
de mate waarin de medewerker afwijkend gedrag vertoonde ten opzichte van beleid

4) Schade en causaal verband

Ook als een datalek door een medewerker aannemelijk is, moet vaak worden aangetoond dat er schade is en dat die schade (in voldoende mate) is toe te rekenen aan dat specifieke datalek. Denk aan bijvoorbeeld kosten die direct samenhangen met herstel, meldingen, onderzoek, of andere aantoonbare gevolgen. Alleen vermoedens of algemene risico’s zijn meestal niet genoeg.

Hoe het kan variëren: werkgever, medewerker en uitzonderingen

In de praktijk komen vaak twee “lijnen” naar voren: aansprakelijkheid van de werkgever en aansprakelijkheid van de medewerker. Welke lijn sterker is, hangt af van de omstandigheden.

Werkgever: vooral wanneer het databeheer en de organisatie van belang zijn

Als de organisatie toegang en werkwijzen heeft ingericht, kan zij eerder worden aangesproken op tekortkomingen in organisatie of beveiligingsmaatregelen. Bijvoorbeeld wanneer het beleid onduidelijk was, training ontbrak, rechten te ruim waren, of incidenten te laat werden onderkend.

Medewerker: vooral bij (in)zichtelijke fout of verwijtbaar gedrag

Een medewerker kan in beeld komen als het gaat om een concreet verwijt dat aan de medewerker is toe te rekenen. Dat is doorgaans sterker wanneer de medewerker wist of had moeten weten dat handelen onjuist was, of wanneer er sprake is van evidente afwijking van instructies.

Uitzonderingen en nuance

Er zijn situaties waarin het oordeel minder eenvoudig is:

Onbedoelde fouten kunnen leiden tot schade, maar de mate van verwijtbaarheid kan lager zijn dan bij bewuste handelingen.
Nalatigheid van de organisatie kan de verwijtbaarheid richting de medewerker beïnvloeden (bijvoorbeeld door gebrekkige instructie of ontoereikende beveiligingsmaatregelen).
Externe oorzaken (zoals een aanval van buitenaf) kunnen de koppeling tussen het lek en het handelen van de medewerker bemoeilijken.
Proces- en organisatorische fouten (zoals slechte logging of ontoereikend toezicht) kunnen zorgen dat meerdere partijen in de beoordeling opduiken.

Omdat dit juridisch sterk casusafhankelijk is, is het verstandig om te denken in “welke feiten dragen welke conclusie?”. Dat geeft richting in plaats van aannames.

Controlepunten voor de lezer: zo plaats je dit in je eigen situatie

Onderstaande controlepunten helpen je om de aansprakelijkheidsvraag feitelijk te kaderen, zonder te speculeren.

Wat is precies gebeurd? Leg het datalek feitelijk vast: om welke gegevens ging het, wat was de route (bij benadering) en op welke datum/periode?
Wie had toegang en waarom? Beschrijf welke systemen of mappen relevant waren, welke rechten de medewerker had en welke rol daarbij hoorde.
Welke instructies en training waren er? Zijn procedures aantoonbaar beschikbaar, en waren ze praktisch uitvoerbaar? Was er aantoonbare uitleg over relevante risico’s?
Is er sprake van afwijking van beleid? Vergelijk het handelen met wat de organisatie redelijkerwijs mocht verwachten.
Wat is de schade (en hoe is die onderbouwd)? Verzamel concrete posten: kosten, herstelwerk, gevolgen voor klanten/partners, en andere aantoonbare effecten.
Is het verband te leggen? Breng in kaart waarom het datalek (of een onderdeel ervan) leidt tot die schade, en waar dat verband zwakker of sterker wordt.

Als je wilt verdiepen, kan het helpen om ook breder te kijken naar aansprakelijkheid in algemene ondernemerscontext en naar aansprakelijkheid bij schade door medewerkers.

Praktische voorbereiding: feiten verzamelen zonder beschuldigingen

In een aansprakelijkheidsdiscussie wint meestal degene die de feiten beter kan onderbouwen. Probeer daarom, waar mogelijk, vroeg:

incidentdata te ordenen (tijdlijn)
relevante log- of dossierstukken veilig te stellen
rollen en verantwoordelijkheden schriftelijk te reconstrueren
te documenteren welke maatregelen en instructies vooraf bestonden

Het doel is niet om iemand “schuld” toe te schrijven, maar om de beoordeling van verwijtbaarheid en causaal verband mogelijk te maken. Zo voorkom je dat het gesprek ontspoort op meningen in plaats van toetsbare informatie.

Een laatste nuance: zonder concrete feiten blijft onzekerheid bestaan. Het juridische antwoord wordt meestal pas helder wanneer je weet welke handeling/nalaten precies aan de medewerker (of aan de organisatie) wordt toegeschreven, welke schade concreet is, en hoe het verband daartussen kan worden onderbouwd.