Aansprakelijkheid bij datalek: wat je moet weten

Definitie en kernvraag: wanneer is er sprake van aansprakelijkheid?

Bij een datalek is er aansprakelijkheid als iemand kan worden verweten dat persoonsgegevens (onbedoeld) zijn verloren, gewijzigd, toegankelijk zijn geworden of op een andere manier zijn blootgesteld. Het is daarbij belangrijk om aansprakelijkheid niet te verwarren met “er is een datalek geweest”. Een datalek is de gebeurtenis; aansprakelijkheid gaat over de vraag wie de gevolgen moet dragen en waarom.

In de praktijk draait het meestal om vier bouwstenen:

Een normschending of onrechtmatigheid: is er iets gebeurd dat niet strookt met de zorgplicht die van een organisatie mag worden verwacht?
Schade: wat is het effect op betrokkenen of op de organisatie?
Causaliteit: is het datalek (of de betreffende fout) aantoonbaar de oorzaak van die schade?
Toerekenbaarheid: in welke mate valt het de betreffende partij te verwijten (bijvoorbeeld door handelen of nalaten, of doordat een ingeschakelde partij faalde)?

Omdat regels en uitkomsten per situatie verschillen, geldt: zonder concrete feiten blijft het een beoordeling. Werk daarom altijd van gebeurtenis → maatregelen → impact → verband naar mogelijke aansprakelijkheid.

Een eenvoudig model: gebeurtenis, verantwoordelijkheid en schade

Een bruikbaar denkkader voor zelfstandig ondernemers en organisaties is:

1) Wat gebeurde er precies?

Welke persoonsgegevens betroffen het lek?
Wat was de omvang en aard (bijvoorbeeld toegang door onbevoegden, verlies, onbeheerde blootstelling)?
Wanneer vond het plaats en hoe werd het ontdekt?
Is het lek “een incident” gebleven of is er daadwerkelijk misbruik gemaakt?

2) Wie had welke verantwoordelijkheid op het moment van het lek? Er zijn vaak meerdere rollen. In algemene zin kun je onderscheid maken tussen:

De organisatie die bepaalt waarom en hoe persoonsgegevens worden verwerkt (verantwoordelijke rol).
De partij die namens die organisatie verwerkt (verwerker/uitvoerder-rol).
Aanvullende leveranciers of uitvoerders die onder verantwoordelijkheid van één van deze rollen werkzaamheden doen.

Aansprakelijkheid ligt meestal daar waar de fout of het tekort in maatregelen kan worden geplaatst. Dat kan betekenen dat niet alleen de “initieel betrokken” partij aansprakelijk is, maar dat ook een andere partij verantwoordelijk kan zijn voor het deel waar zij controle had.

3) Welke maatregelen zijn genomen en volstaan die? Aansprakelijkheid wordt vaak beïnvloed door de vraag of een organisatie redelijke beveiligings- en organisatie-maatregelen had getroffen die passen bij het risiconiveau. Hoe beter de organisatie kan aantonen welke maatregelen er waren, hoe eenvoudiger het wordt om te beoordelen of er sprake was van tekortschieten.

4) Welke schade is er, en is die toe te rekenen? Schade kan grofweg bestaan uit:

Gevolg bij betrokkenen (bijvoorbeeld misbruik van gegevens kan leiden tot ongemak of financiële schade).
Gevolg voor de organisatie (bijvoorbeeld kosten voor herstel, communicatie, onderzoek of juridische afhandeling).

Niet elke negatieve ervaring na een datalek leidt automatisch tot aansprakelijkheid. Het gaat om aantoonbare schade en een aannemelijk verband met het datalek.

Verschillen en uitzonderingen: waarom uitkomsten kunnen veranderen

Aansprakelijkheid bij datalekken is zelden “automatisch”. Hieronder staan factoren die vaak het verschil maken tussen wél en niet (of minder) aansprakelijk.

1) Ernst en waarschijnlijkheid van het risico vóór het lek Als persoonsgegevens een hoger risico meebrachten (bijvoorbeeld categorieën met hogere gevoeligheid of grotere aantallen), worden strengere verwachtingen gesteld aan beveiliging en organisatie. Bij lagere risico’s kan de lat qua maatregelen anders liggen.

2) Aantoonbaarheid van causaliteit Zelfs als er schade is, kan aansprakelijkheid minder waarschijnlijk zijn als niet valt te onderbouwen dat de schade door het datalek kwam. Soms is er sprake van meerdere oorzaken of onduidelijkheid over de route van toegang tot de gegevens.

3) Betrokkenheid van derden en contractuele rolverdeling Waar rollen zijn verdeeld (bijvoorbeeld opdrachtgever en verwerker), kan de verdeling van aansprakelijkheid mede afhangen van:

wie verantwoordelijk was voor welke technische en organisatorische onderdelen,
welke afspraken zijn gemaakt over beveiliging, incidentbehandeling en samenwerking,
en of een partij binnen haar controlegebied tekort heeft geschoten.

Contracten bepalen niet alles, maar kunnen de beoordeling wel sturen. Zorg daarom dat je afspraken rondom datalekken en beveiliging consistent hebt gedocumenteerd.

4) Overmacht of buitencontrole-situaties (nuancering) In het algemeen geldt dat aansprakelijkheid soms wordt beïnvloed door omstandigheden die buiten de invloedssfeer liggen. Of daarvan sprake is, hangt sterk af van de feiten en van wat redelijkerwijs verwacht werd aan preventie en voorbereiding.

5) Eigen maatregelen ná ontdekking Wat je doet zodra je een incident vermoedt, kan relevant zijn voor de omvang van schade en de mate van verwijtbaarheid. Snelle containment, onderzoek, en het beperken van verdere blootstelling kunnen het verschil maken tussen beperkte en grotere gevolgen.

Praktische controlepunten voor ondernemers: zelf beter inschatten

Je hoeft geen jurist te zijn om de kern logisch te toetsen. Gebruik deze controlepunten om je eigen situatie te structureren (zonder vooruit te lopen op uitkomst):

Feitenlogboek bijhouden: wanneer signalen ontstonden, welke stappen zijn genomen, en welke besluiten zijn onderbouwd.
Impact onderbouwen: welke gegevens waren mogelijk toegankelijk, en is er misbruik aannemelijk gemaakt of niet?
Beveiligingsniveau vergelijken met het risiconiveau: waren maatregelen passend bij de aard van de gegevens en het gebruik.
Rollen en verantwoordelijkheden scherp krijgen: welke taken lagen bij welke interne dienst of externe partij.
Schade kwantificeren of ten minste specificeren: welke kosten of gevolgen hangen direct samen met het incident.

Als je deze punten op orde hebt, kun je beter beantwoorden: waar zat het mogelijke tekort, waardoor ontstond de schade, en wie had controle over dat deel van het proces?

Tot slot: bij aansprakelijkheid bij datalekken blijft er vaak een bandbreedte door onzekerheden in feiten en verband. Het doel van bovenstaande aanpak is niet om “zeker” te claimen wat de uitkomst zal zijn, maar om je beoordeling controleerbaar te maken en discussie met derden te onderbouwen.