De meldingen van datalekken hebben halverwege het jaar het totaal van heel 2025 al overtroffen. Voor het eerste halfjaar van 2026 worden 1.803 gemelde compromitteringen geteld.
Eén incident weegt zwaarder dan alle andere samen
Het lek bij het onderwijsplatform Canvas van Instructure leverde in zijn eentje naar schatting 275 miljoen meldingen aan betrokkenen op: 58% van het halfjaartotaal.
Dat is het cijfer dat een functionaris voor gegevensbescherming in gedachten moet houden bij het lezen van zulke statistieken. Het aantal getroffen personen meet niet hoe vaak een risico zich verwezenlijkt, maar hoe geconcentreerd het is. Enkele veelgebruikte platforms verschuiven het hele totaal, en de meeste organisaties lijken in niets op het gemiddelde.
AI komt voor bij één op de vier lekken
Tussen maart 2025 en februari 2026 bleek bij één op de vier lekken kunstmatige intelligentie betrokken — 56% meer dan het jaar ervoor.
Voorzichtigheid is geboden: "met AI" dekt zeer uiteenlopende zaken — beter geschreven phishing, geautomatiseerde verkenning, gebruik van generatieve hulpmiddelen door aanvallers. Het is geen juridische categorie, maar een waarneming over technieken.
Wat dit betekent voor de risicobeoordeling
Artikel 32 verlangt passende maatregelen "rekening houdend met de stand van de techniek". Verandert de stand van de techniek aan de kant van de aanvaller, dan verandert ook de maatstaf waarmee de toereikendheid van de verdediging wordt beoordeeld. Een twee jaar geleden opgestelde en nooit herziene risicobeoordeling beschrijft vandaag een andere wereld.
En de zaak Canvas herinnert aan iets dat gemakkelijk wordt vergeten: het grootste lek dat uw klant treft, gebeurt vrijwel nooit in zijn eigen systemen, maar bij een leverancier. Daarom zijn het verwerkersregister en de waarborgen van artikel 28 geen papierwerk.
Het loont om bij klanten slechts twee dingen na te gaan: welke platforms van derden hun gegevens verwerken, en of er een procedure bestaat om te vernemen dat elders een lek heeft plaatsgevonden. Meestal luidt het antwoord op de tweede vraag: het nieuws komt via de pers.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
