Aansprakelijkheid bij datalekschade bij derden: wat je moet weten

Definitie en kernvraag: wanneer is er aansprakelijkheid richting derden?

Aansprakelijkheid bij datalekschade richting derden draait om de vraag of de derde schade kan verhalen op de partij die het incident kan worden toegerekend. In de praktijk betekent dat: niet elk datalek leidt automatisch tot schadevergoeding. Er moet meestal een juridische beoordeling plaatsvinden waarin drie bouwstenen terugkomen: (1) een onrechtmatige gedraging of fout, (2) schade bij de derde en (3) een causaal verband tussen die fout en de schade.

Voor ondernemers is het nuttig om “datalekschade” niet als één soort claim te zien. Het kan gaan om directe schade (bijvoorbeeld kosten die direct voortkomen uit het incident) en indirecte schade (bijvoorbeeld extra werkzaamheden, tijdverlies of reputatieschade). Welke schadeposten juridisch kansrijk zijn, hangt af van de omstandigheden, de onderbouwing en de relevante rechtsgrond.

Eenvoudig model: fout, schade en oorzakelijk verband

Een bruikbaar denkmodel is: iemand stelt dat er schade is ontstaan doordat een partij niet (genoeg) heeft gehandeld.

Toerekenbare tekortkoming of fout Bij datalekken ligt de discussie vaak bij de manier waarop is beveiligd, hoe snel is gereageerd en of passende maatregelen aanwezig waren. “Passend” is geen kant-en-klaar checklist-item: het wordt beoordeeld op basis van wat redelijkerwijs van een betreffende organisatie verwacht mag worden, gegeven aard en omvang van de gegevens en de risico’s.
Werkelijke schade bij de derde Een vordering heeft doorgaans meer kans als er concrete schade is vast te stellen. Abstracte zorgen of loutere theoretische risico’s zijn in veel gevallen onvoldoende om vergoeding te krijgen. Wel kan het voorkomen dat bepaalde kosten die aantoonbaar zijn gemaakt na het incident onder “schade” vallen.
Causaal verband (van incident naar schade) Zelfs bij een fout en schade, moet het verband worden gelegd: hoe heeft de fout doorgewerkt naar de schade? Bij datalekken kan dat complex zijn, omdat schade ook door andere oorzaken kan ontstaan (bijvoorbeeld aanvullend misbruik door derden, of situaties waarin gegevens al eerder bekend waren). Daardoor verschilt per zaak hoe streng het verband wordt beoordeeld.

Rollen en afbakening: wie is aangesproken en wanneer?

Een belangrijke oorzaak van misverstanden is dat “datalek” meerdere actoren kan raken: degene die beslist over doeleinden en middelen van gegevensverwerking, en degene die uitvoert op instructie. Welke partij juridisch aangesproken kan worden, hangt af van de rolverdeling, contractuele afspraken en de concrete feiten.

Daarnaast speelt afbakening een rol op twee niveaus:

Aansprakelijkheid voor het incident: de vraag of de betreffende partij een verwijt treft (bijvoorbeeld omdat beveiliging of reactie niet voldeed).
Aansprakelijkheid voor schadeclaims van derden: de vraag welke schade juridisch toerekenbaar is en in welke omvang.

Let op: in sommige scenario’s ligt de discussie minder bij “wie is juridisch verantwoordelijk” en meer bij “wat is aantoonbaar het effect van dit specifieke incident”. Dat betekent dat bewijs rondom oorzaak, tijdlijn en maatregelen zwaarder weegt dan algemene aannames.

Variaties en uitzonderingen: wanneer kan een claim minder sterk zijn?

Er zijn meerdere redenen waarom een derde minder makkelijk vergoeding kan krijgen. Zonder een specifieke zaak of jurisdictie te kennen, zijn dit generieke aandachtspunten die vaak terugkomen:

Geen aantoonbare schade: als de derde geen concrete, onderbouwde schadepost kan laten zien, wordt een claim lastiger.
Onvoldoende bewijs van oorzakelijk verband: wanneer niet duidelijk is dat de gestelde fout de schade daadwerkelijk heeft veroorzaakt, kan de vordering stranden of beperkt worden.
Eigen schuld of medeverantwoordelijkheid: als de derde zelf bijdraagt aan de schade (bijvoorbeeld door onzorgvuldig gedrag dat de impact vergroot), kan dat de uitkomst beïnvloeden.
Overmacht of onvoorzienbare oorzaken: als zich een situatie voordoet waarin de partij redelijkerwijs geen controle had over de gebeurtenis en niet kon voorkomen dat het zich voordeed, kan toerekening worden betwist.
Mitigatie en beperking van schade: als de derde (of betrokken partijen) aantoonbaar maatregelen heeft genomen om de gevolgen te beperken, kan dat de omvang van schade bespreken beïnvloeden. Het omgekeerde kan ook: nalaten om schade te beperken kan tot discussie leiden.

Welke uitzondering “werkt”, verschilt per geval en hangt samen met feiten, de bewijslast en de gekozen juridische route. Omdat wet- en regelgeving en rechtspraak per land kunnen verschillen, blijft het verstandig om vooral naar de specifieke omstandigheden te kijken in plaats van naar algemene verwachtingen.

Praktische controlepunten voor ondernemers

Als je wilt begrijpen waar een derdeclaim mogelijk over draait, kun je je eigen zaak verwoorden langs feiten die je meestal nodig hebt voor een plausibele analyse:

Tijdlijn: wanneer werd het incident ontdekt, wat is er direct gedaan en wat volgde daarna?
Gegevens en impact: welke gegevens waren betrokken en is duidelijk welke categorieën derden zijn geraakt?
Oorzakenonderzoek: wat zijn de aangewezen oorzaken (technisch, organisatorisch, procesmatig) en hoe is dat onderbouwd?
Maatregelen vóór het incident: welke beveiligings- en responscapaciteiten waren aanwezig?
Maatregelen na het incident: hoe is verdere schade beperkt (zoals monitoring, blokkeren, herbeveiliging)?
Communicatie en bewijsstukken: welke documenten bestaan er (logs, meldingen, interne rapportages) om claims te kunnen beoordelen?

Als je deze punten helder kunt beantwoorden, kun je beter inschatten welke elementen van “fout–schade–verband” waarschijnlijk worden betwist en welke minder.

Veelvoorkomende misvattingen

Misvatting 1: elk datalek is automatisch schadevergoeding. Dat is niet zo; er moet doorgaans een juridische koppeling zijn tussen fout, schade en oorzakelijk verband.
Misvatting 2: de grootte van het datalek bepaalt automatisch de schade. Juridisch telt vooral wat aantoonbaar is en hoe het verband loopt.
Misvatting 3: rollen zijn irrelevant. Wie beslissingen neemt of uitvoert op instructie kan mede bepalen wie aangesproken wordt en waarop.

Samengevat: wat moet de lezer onthouden?

Aansprakelijkheid bij datalekschade aan derden is meestal geen “automatische uitkomst”, maar een beoordeling van toerekenbaarheid, aantoonbare schade en causaal verband. Afbakening van rollen en feiten rondom oorzaak, maatregelen en schadebeperking bepalen vaak hoe sterk een claim staat. Omdat uitzonderingen en bewijslast per casus verschillen, is de kern het zorgvuldig vaststellen en onderbouwen van de relevante feiten en effecten.