Wat een datalek je écht kost (en hoe je het voorkomt)

Wat is een datalek?

Een datalek is volgens de AVG elke inbreuk op de beveiliging waardoor persoonsgegevens verloren gaan, worden gewijzigd of bij iemand terechtkomen die er geen toegang toe mag hebben. Dat klinkt als hackers en ransomware, maar de praktijk is veel alledaagser. Een polisblad dat bij de verkeerde klant op de mat valt, is net zo goed een datalek.

Van de 44.374 datalekmeldingen die de Autoriteit Persoonsgegevens (AP) over 2025 ontving, ging bijna driekwart over verkeerd bezorgde brieven of e-mails. Slechts ongeveer 5 procent betrof een cyberaanval. Voor een verzekeraar, die dagelijks polissen, schadedossiers en soms medische gegevens verstuurt, is dat de kern van het probleem.

Waarom de boete niet je grootste kostenpost is

De AVG staat boetes toe tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Die bedragen halen de krantenkoppen, maar ze worden zelden opgelegd. De AP ontving in 2025 meer meldingen dan het jaar ervoor, maar legde juist minder boetes op.

De kosten die je wel altijd maakt, zie je minder snel. Volgens het IBM Cost of a Data Breach Report 2026 kost een datalek wereldwijd gemiddeld 4,99 miljoen dollar. In de financiële sector ligt dat gemiddelde met 6,3 miljoen dollar een stuk hoger. Het grootste deel daarvan zit niet in boetes, maar in onderzoek, herstel en verloren klanten.

Dit kost een datalek je écht

Zet je de kostenposten op een rij, dan zie je hoe snel een ‘klein’ incident oploopt.

• Onderzoek en herstel. Forensisch onderzoek, het dichten van het lek en uitzoeken welke gegevens van welke klanten zijn geraakt. Dat vraagt externe expertise en veel interne uren van IT, security en compliance.
• Melden en informeren. Je meldt een datalek uiterlijk 72 uur na ontdekking bij de AP. Loopt de klant een hoog risico, dan informeer je ook de betrokkenen zelf. Bij een grote groep klanten is dat een complete communicatieoperatie.
• Piek in klantcontact. Na elke melding volgt een golf van vragen. Je klantenservice draait overuren, terwijl het reguliere werk gewoon doorloopt.
• Schadeclaims. Klanten hebben onder de AVG recht op schadevergoeding als zij door een lek schade lijden. Collectieve claims maken dat risico groter.
• Toezicht en audits. Een incident trekt de aandacht van toezichthouders. Onder DORA gelden voor financiële instellingen strikte regels voor het melden van ernstige ICT-incidenten, en een lek levert bij de volgende audit vrijwel altijd extra vragen op.
• Klantverloop en reputatie. De duurste post is het moeilijkst te meten: klanten die bij de verlenging overstappen, omdat ze je hun gegevens niet meer toevertrouwen.

Waarom de meeste datalekken geen hack zijn

Als driekwart van de meldingen over verkeerd bezorgde post of e-mail gaat, dan zit het grootste risico niet in je firewall. Het zit in de manier waarop je documenten bij klanten krijgt. Een verouderd adres in het CRM, een autocomplete in het e-mailveld of een pdf die als bijlage wordt doorgestuurd: het zijn menselijke fouten in een proces dat er vatbaar voor is.

Daar komt bij dat je bij e-mail en post zelden kunt aantonen wat er na verzending gebeurde. Kwam het document aan? Bij wie? Is het geopend? Zonder dat bewijs weet je bij een incident niet eens hoe groot het lek is, en dat maakt je melding, je klantcommunicatie en je verdediging lastiger. In ons eerdere artikel over hoe je een datalek als verzekeraar voorkomt gaan we dieper in op de rol van versnipperde kanalen en phishing.

Zo verlaag je het risico structureel

Beveiliging van je systemen blijft noodzakelijk, maar het grootste effect haal je in het afleverproces zelf.

• Bezorg op identiteit, niet op adres. Koppel documenten aan een geverifieerde ontvanger in plaats van aan een los e-mail- of postadres dat verouderd of verkeerd ingevoerd kan zijn.
• Verstuur geen gevoelige bijlagen per e-mail. Een bijlage die eenmaal verstuurd is, haal je niet meer terug. Een document in een beveiligde omgeving wel.
• Leg elke stap vast. Tijdstempels op verzending, aflevering en opening geven je bij een incident direct inzicht in de omvang.
• Maak aflevering aantoonbaar. Voor documenten met juridisch gewicht, zoals opzeggingen of ingebrekestellingen, is een aangetekende zending digitaal versturen een alternatief voor papieren aangetekende post, met bewijs van aflevering.
• Beperk het aantal kanalen. Hoe meer losse kanalen (post, e-mail, portaal, app), hoe meer plekken waar het mis kan gaan.

Checklist: hoe groot is jouw risico?

• Weet je welk deel van je klantdocumenten nog per e-mail of post de deur uitgaat?
• Kun je van elk verstuurd document aantonen of het is aangekomen, en bij wie?
• Controleer je adresgegevens voordat een document wordt verstuurd?
• Kun je binnen 72 uur vaststellen welke klanten door een incident zijn geraakt?
• Is vastgelegd wie bij een datalek welke rol heeft in de melding en de klantcommunicatie?

Kun je een van deze vragen niet met ja beantwoorden, dan heb je een concreet verbeterpunt voor je risicoregister.

Waar Doccle je bij helpt (en waar niet)

Doccle bezorgt documenten actief in de persoonlijke digitale kluis van je klant. De ontvanger is geïdentificeerd, documenten worden versleuteld opgeslagen op servers binnen Europa en elke stap wordt vastgelegd in een audittrail. Zo verklein je precies het risico waar de meeste datalekken ontstaan: bij de aflevering.

• Geen gevoelige bijlagen meer in e-mail. Je klant krijgt een melding en opent het document in zijn eigen kluis.
• Afzendergarantie. Documenten via Doccle komen gegarandeerd van de juiste afzender. Dat maakt phishing uit naam van je organisatie een stuk lastiger.
• Aantoonbare aflevering. Je ziet wanneer een document is bezorgd en geopend. Hoe dat werkt, lees je bij documenten afleveren in de digitale kluis.
• Gecertificeerde basis. Doccle is ISO 27001- en ISO 9001-gecertificeerd.

Wat Doccle niet doet: je interne systemen beveiligen of een lek in je CRM of schadeapplicatie voorkomen. Doccle is de veilige laag tussen jouw organisatie en je klant, geen vervanging van je eigen informatiebeveiliging.

Voor wie is dit relevant?

Dit artikel is bedoeld voor governance-, compliance- en risicomanagers bij verzekeraars, en voor directieleden die het datalekrisico willen vertalen naar een businesscase. Werk je bij een bank of pensioenfonds, dan gelden dezelfde principes: overal waar gevoelige documenten naar klanten gaan, zit het grootste risico in de aflevering.

Veelgestelde vragen

• Wat kost een datalek gemiddeld?
  Volgens het IBM Cost of a Data Breach Report 2026 wereldwijd gemiddeld 4,99 miljoen dollar per incident. In de financiële sector ligt dat op 6,3 miljoen dollar. Het grootste deel zit in onderzoek, herstel en klantverloop, niet in boetes.
• Hoe hoog is de boete voor een datalek?
  De AVG staat boetes toe tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. De hoogte hangt af van de ernst, de duur en de maatregelen die je vooraf had genomen.
• Binnen welke termijn moet je een datalek melden?
  Uiterlijk 72 uur nadat je het ontdekt, bij de Autoriteit Persoonsgegevens. Loopt de betrokkene een hoog risico, dan informeer je die ook zelf, zonder onnodige vertraging.
• Is een verkeerd verstuurde brief ook een datalek?
  Ja. Komen persoonsgegevens bij de verkeerde persoon terecht, dan is dat een datalek. Het merendeel van de meldingen bij de AP gaat juist over verkeerd bezorgde brieven en e-mails.
• Voorkomt versleuteling een datalek?
  Versleuteling beschermt gegevens onderweg en in opslag, maar voorkomt niet dat je een document naar de verkeerde ontvanger stuurt. Daarvoor heb je bezorging op geverifieerde identiteit nodig.