Kan ik als bestuurder persoonlijk aansprakelijk worden gesteld bij een datalek of cyberaanval?

Ja, als bestuurder kun je persoonlijk aansprakelijk worden gesteld bij een datalek of cyberaanval. Dit geldt zowel civielrechtelijk als bestuursrechtelijk, en in ernstige gevallen zelfs strafrechtelijk. De kern van de aansprakelijkheid ligt niet zozeer in het incident zelf, maar in de vraag of jij als bestuurder aantoonbaar hebt voldaan aan je zorgplicht. In dit artikel beantwoorden we de meest gestelde vragen over bestuurdersaansprakelijkheid bij datalekken en cyberincidenten.

Wanneer is een bestuurder persoonlijk aansprakelijk bij een datalek?

Een bestuurder is persoonlijk aansprakelijk bij een datalek wanneer er sprake is van ernstig verwijtbaar handelen of nalaten. Concreet betekent dit dat je als bestuurder wist, of had moeten weten, dat de organisatie onvoldoende beveiligd was, en dat je desondanks geen passende maatregelen hebt getroffen. Aansprakelijkheid volgt dus niet automatisch uit een incident, maar uit een gebrek aan bestuurlijke zorgvuldigheid.

In het Nederlandse recht onderscheiden we twee belangrijke routes. Ten eerste de interne aansprakelijkheid: de organisatie zelf kan een bestuurder aanspreken als het datalek het gevolg is van een onbehoorlijke taakvervulling. Ten tweede de externe aansprakelijkheid: gedupeerde derden, zoals klanten of medewerkers van wie persoonsgegevens zijn gelekt, kunnen de bestuurder persoonlijk aanspreken op grond van onrechtmatige daad.

Daarbij speelt de Autoriteit Persoonsgegevens (AP) een steeds actievere rol. De toezichthouder kan niet alleen de organisatie beboeten, maar ook individuele bestuurders in het vizier nemen wanneer er sprake is van structurele nalatigheid. De vraag die centraal staat, is: heeft de bestuurder gedaan wat redelijkerwijs van hem of haar verwacht mocht worden?

Welke verplichtingen legt de AVG op aan bestuurders?

De AVG legt organisaties een reeks concrete verplichtingen op, en als bestuurder ben jij eindverantwoordelijk voor de naleving daarvan. De wet vereist dat je passende technische en organisatorische maatregelen neemt om persoonsgegevens te beschermen, datalekken tijdig meldt bij de AP, en aantoonbaar kunt maken dat de organisatie privacyprincipes actief naleeft. Dit laatste wordt ook wel de verantwoordingsplicht genoemd.

In de praktijk betekent dit voor bestuurders onder andere:

• Zorgen voor een actueel en werkend privacybeleid
• Risicoanalyses laten uitvoeren op verwerkingen van persoonsgegevens
• Medewerkers bewust maken van hun rol in informatiebeveiliging
• Zorgen dat datalekken binnen 72 uur worden gemeld aan de AP
• Contractuele afspraken maken met leveranciers via verwerkersovereenkomsten

De AVG maakt geen onderscheid tussen kleine en grote organisaties. Of je nu 50 of 500 medewerkers hebt: de verplichtingen zijn gelijkwaardig, en de beveiliging van persoonsgegevens binnen je digitale omgeving is een bestuurlijke verantwoordelijkheid die niet gedelegeerd kan worden zonder toezicht.

Wat zijn de financiële en reputatiegevolgen van een datalek voor een bestuurder?

De financiële en reputatiegevolgen van een datalek voor een bestuurder kunnen aanzienlijk zijn. De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Persoonlijk aansprakelijk gestelde bestuurders kunnen daarnaast geconfronteerd worden met schadeclaims van gedupeerden. Maar de reputatieschade is vaak minstens zo ingrijpend als de directe financiële gevolgen.

Denk aan de gevolgen voor jouw positie als bestuurder:

• Verlies van vertrouwen bij de Raad van Commissarissen of aandeelhouders
• Negatieve publiciteit die klanten, partners en investeerders afschrikt
• Persoonlijke aansprakelijkheidsstelling via civiele procedures
• Ontslag of non-reactivering als gevolg van bestuurlijk falen

Bestuurdersaansprakelijkheidsverzekeringen (D&O-verzekeringen) bieden soms dekking, maar lang niet altijd. Bij opzet of grove nalatigheid vervalt de dekking doorgaans. Dat maakt proactief beleid niet alleen verstandig, maar ook financieel rationeel.

Hoe beschermt aantoonbaar beleid een bestuurder juridisch?

Aantoonbaar beleid beschermt een bestuurder juridisch doordat het aantoont dat je als bestuurder hebt gehandeld zoals een redelijk en zorgvuldig bestuurder betaamt. De kern van juridische bescherming ligt in documentatie: niet wat je zegt dat je doet, maar wat je kunt bewijzen dat je hebt gedaan. Rechters en toezichthouders beoordelen bestuurlijk handelen achteraf, en dan telt alleen wat aantoonbaar is.

Concreet betekent dit dat je als bestuurder moet kunnen laten zien:

• Dat er een vastgesteld informatiebeveiligingsbeleid bestaat
• Dat dit beleid periodiek wordt geëvalueerd en bijgesteld
• Dat risico’s zijn geïnventariseerd en afgewogen
• Dat medewerkers zijn getraind en zich bewust zijn van hun verantwoordelijkheden
• Dat incidenten worden geregistreerd en dat er geleerd wordt van fouten

Beleid hoeft niet perfect te zijn om bescherming te bieden. Wat telt, is dat je als bestuurder structureel en serieus hebt geïnvesteerd in beveiliging. Een incident dat plaatsvindt ondanks aantoonbaar goed beleid, leidt zelden tot persoonlijke aansprakelijkheid. Een incident dat plaatsvindt bij aantoonbare nalatigheid, vrijwel altijd wel.

Welke rol speelt de IT-partner bij het beperken van bestuurdersrisico?

Een betrouwbare IT-partner speelt een directe rol bij het beperken van bestuurdersrisico doordat hij de technische en organisatorische maatregelen implementeert en beheert die de AVG vereist. Een goede IT-partner vertaalt bestuurlijke verantwoordelijkheid naar concrete, werkende beveiligingsmaatregelen en zorgt ervoor dat jij als bestuurder kunt aantonen dat je aan je zorgplicht voldoet. Dat maakt de keuze voor de juiste partner een strategische beslissing, geen operationele.

Wat een IT-partner concreet bijdraagt aan het verminderen van cyberrisico governance:

• Proactief beheer van toegangsrechten en identiteiten
• Monitoring op verdachte activiteiten en dreigingen
• Gestructureerde back-up en herstelplannen bij incidenten
• Rapportages waarmee jij als bestuurder verantwoording kunt afleggen
• Begeleiding bij het opstellen van verwerkersovereenkomsten en beleidsdocumentatie

De structurele ICT-beheer en ondersteuning die een partner biedt, is daarmee niet alleen een operationele keuze, maar een onderdeel van je risicomanagement als bestuurder. Hoe transparanter en aantoonbaarder het beheer, hoe sterker je positie bij een eventueel incident.

Hoe Puur ICT helpt bij het beperken van bestuurdersaansprakelijkheid

Wij begrijpen dat cyberrisico governance voor bestuurders niet stopt bij techniek. Het gaat om aantoonbare controle, heldere rapportages en een partner die proactief meedenkt over jouw risicopositie. Met de Puur Moderne Werkplek bieden wij een complete, veilige werkplekoplossing die gebouwd is op bewezen Microsoft-technologie en volledig beheerd wordt door ons gecertificeerde team.

Wat wij voor jou als bestuurder concreet doen:

• Proactief beveiligingsbeheer via Microsoft Endpoint Management en continue monitoring
• Aantoonbare documentatie van beveiligingsmaatregelen, zodat jij verantwoording kunt afleggen
• Heldere rapportages die aansluiten op bestuurlijke verantwoordelijkheid richting RvC of aandeelhouders
• Begeleiding bij AVG-compliance, inclusief verwerkersovereenkomsten en beleidsdocumentatie
• Eén aanspreekpunt dat volledig ontzorgt, van advies en implementatie tot dagelijks beheer

Wil je weten hoe wij jouw organisatie helpen om cyberrisico’s te beheersen en bestuurdersaansprakelijkheid te beperken? Neem contact met ons op en we bespreken samen wat jouw situatie vraagt.

Gerelateerde artikelen

• Wat bespaar je aan IT-kosten door te kiezen voor een cloudwerkplek via Microsoft 365?
• Wat moet je geregeld hebben in Microsoft 365 voordat je Copilot zinvol kunt inzetten?
• Wat is een risicoanalyse en hoe voer je die uit voor NIS2?
• Hoe zorg je dat medewerkers de software die je al betaalt ook echt goed gebruiken?
• Hoe leer je medewerkers slimmer werken met de digitale middelen die ze al hebben?