Veel mensen denken dat door een goede ICT-beveiliging de kans op een cyberaanval minimaal is. In de praktijk blijkt alleen dat het falen van een IT-systeem het minst vaak de daadwerkelijke oorzaak is van een inbreuk op data. De drie voornaamste oorzaken van cyberrisico’s zijn: een criminele aanval, menselijk falen of technisch falen.

Slechte beveiliging kan leiden tot een datalek en dat kan weer misbruik van de gelekte gegevens tot gevolg hebben. We spreken van een datalek als er een inbreuk is op de beveiliging zoals bedoeld in artikel 13 van de Wet bescherming Persoonsgegevens.

Met andere woorden: het gaat om de toegang tot persoonsgegevens of vernietiging, wijziging of het vrijkomen van gegevens, zonder dat dat de bedoeling is van de betreffende organisatie.

Het gaat dus niet alleen over het vrijkomen (lekken) van de gegevens, maar ook om de onrechtmatige verwerking van de gegevens. 

De Eerste Kamer heeft op 26 mei 2015 een wetsvoorstel aangenomen dat een meldplicht datalekken regelt. Dit houdt in dat bedrijven en overheden sinds 1 januari 2016 direct een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een datalek met ogenschijnlijk ernstige gevolgen voor de bescherming van de persoonsgegevens hebben.
Als het datalek mogelijk schadelijk is voor de persoonlijke levenssfeer van de betrokkenen, dan moeten zij ook op de hoogte gebracht worden. Als ze dit niet of niet op tijd doen, riskeren ze een boete van maximaal € 820.000,- of 10% van de omzet over het voorafgaande jaar. Met deze meldplicht wil de overheid de persoonsgegevens nog beter beschermen.