Is een gehackte WordPress-site een datalek en moet je het melden?

Een gehackte WordPress-site is een datalek zodra de hack heeft geleid tot ongeoorloofde toegang tot persoonsgegevens, of tot het verlies, de wijziging of de vernietiging ervan. Dan geldt voor de verwerkingsverantwoordelijke, bij een bedrijfssite doorgaans jijzelf als eigenaar, een meldplicht: volgens artikel 33 van de AVG meld je het zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat je er kennis van hebt genomen, tenzij het niet waarschijnlijk is dat het lek een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Dit artikel legt uit hoe je dat beoordeelt, wat je vastlegt en wat je in de eerste uren doet. Dit is algemene informatie en geen juridisch advies.

Wanneer is een hack een datalek?

De AVG gebruikt het woord hack zelf niet. Ze definieert een inbreuk in verband met persoonsgegevens als een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van, of de ongeoorloofde toegang tot, doorgezonden, opgeslagen of anderszins verwerkte gegevens. Dat is de Nederlandse tekst van de AVG zoals die op EUR-Lex staat. De definitie kijkt dus naar wat er met de gegevens gebeurt, niet naar de techniek waarmee iemand binnenkwam.

Voor een WordPress-site betekent dit het volgende. Staan er persoonsgegevens in je database, zoals de naam en het e-mailadres van mensen die een contactformulier invulden, accounts van klanten of bestellingen van een webshop, en had een aanvaller daar toegang toe, dan is er sprake van een datalek. Een hack waarbij alleen een spamlink in een bestand is geplaatst, kan een ander verhaal zijn. Maar je moet dat wel onderzoeken, want een aanvaller met toegang tot het beheer kan méér doen dan hij laat zien.

WordPress.org noemt in de eigen hack-handleiding enkele kenmerken van een gehackte site. Je site staat bijvoorbeeld door Google of Bing op een blacklist, of er gebeurt ongeautoriseerd gedrag, zoals het aanmaken van nieuwe gebruikers. Dat laatste is voor de AVG extra relevant. Een nieuw beheerdersaccount dat jij niet hebt gemaakt betekent dat iemand de beheeromgeving in kon. Wie in het beheer kan, kan in principe ook bij alles wat de site opslaat. WordPress.org schrijft in de beveiligingshandleiding dat iemand met toegang tot een beheerdersaccount kwaadaardige scripts kan installeren die de hele server in gevaar kunnen brengen. Beschouw zo’n signaal dus niet alleen als een technisch probleem.

Binnen welke termijn moet je melden?

Hoe snel moet je handelen? Artikel 33, lid 1 van de AVG zegt dat de verwerkingsverantwoordelijke een datalek zonder onredelijke vertraging meldt en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen. Die melding gaat naar de toezichthoudende autoriteit die overeenkomstig artikel 55 bevoegd is. Zoek op welke toezichthouder dat voor jouw organisatie is voordat je het nodig hebt, zodat je onder tijdsdruk niet hoeft te zoeken. De termijn begint dus niet bij het moment van de hack, maar bij het moment dat jij weet dat het is gebeurd.

Als algemene uitleg, en geen juridische definitie: de verwerkingsverantwoordelijke is de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt. Heb je een website met een contactformulier of een webshop, dan ben jij dat doorgaans zelf. Je hostingpartij kan dan een verwerker zijn. De AVG zegt dat een verwerker de verwerkingsverantwoordelijke zonder onredelijke vertraging informeert zodra hij kennis heeft genomen van een inbreuk. Leg daarom met je hostingpartij vast hoe je elkaar bereikt. Dan voorkom je dat de 72 uur voorbijgaan terwijl een e-mail ongelezen in een postvak ligt.

Gebeurt de melding niet binnen 72 uur, dan vervalt de meldplicht niet. De AVG bepaalt dat de melding in dat geval vergezeld gaat van een motivering voor de vertraging. Lees dat niet als vrijbrief om te wachten: de hoofdregel blijft melden zonder onredelijke vertraging. Ons advies: schrijf vanaf de ontdekking op wanneer je wat wist en waarom je op een bepaald moment tot melden besloot. Dat helpt ook als je later uitleg moet geven.

Wanneer hoef je niet te melden?

Niet elk datalek hoeft gemeld te worden. De AVG zegt dat de melding achterwege kan blijven als het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De vraag is dus niet of er iets mis is gegaan, maar hoe waarschijnlijk het is dat mensen daar schade van ondervinden. Als vuistregel, en niet als tekst uit de AVG: hoe gevoeliger de gegevens en hoe groter de kans dat een aanvaller ze heeft kunnen inzien of kopiëren, hoe minder snel je kunt zeggen dat het risico niet waarschijnlijk is.

Wees voorzichtig met het wegredeneren van een melding. Je kunt zelden met zekerheid zeggen wat een aanvaller heeft bekeken. Daar komt bij dat de AVG je verplicht alle datalekken te documenteren, ook de lekken die je niet meldt, met de feiten, de gevolgen en de genomen maatregelen. Leg daarom ook vast waarom je tot je conclusie kwam. Een korte, eerlijke afweging op papier is sterker dan een beslissing die je achteraf niet meer kunt onderbouwen. Twijfel je, laat je dan adviseren door een jurist of door een functionaris gegevensbescherming.

Wanneer informeer je de mensen om wie het gaat?

Artikel 34 van de AVG gaat over de mensen wier gegevens zijn geraakt. Wanneer de inbreuk waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden, deelt de verwerkingsverantwoordelijke de inbreuk onverwijld aan hen mee. Dat is een andere drempel dan bij de melding aan de toezichthouder. Melden bij de toezichthouder mag alleen achterwege blijven als een risico niet waarschijnlijk is, voor het informeren van betrokkenen moet het risico waarschijnlijk hoog zijn. Hoe die drempel uitpakt voor bijvoorbeeld wachtwoorden, betaalgegevens of een lijst nieuwsbriefadressen, beoordeel je per geval, zo nodig met een jurist.

Denk bij de mededeling aan betrokkenen aan duidelijke taal: wat is er gebeurd, welke gegevens zijn mogelijk geraakt en wat kunnen mensen zelf doen, bijvoorbeeld een wachtwoord wijzigen als ze dat ook elders gebruiken. De AVG-tekst die in dit artikel is gebruikt, geeft de drempel en de eis van onverwijld informeren. Voor de precieze inhoud van de melding en de mededeling raadpleeg je de volledige artikelen 33 en 34 of de richtlijnen van de toezichthouder, die we hier niet nalopen.

Wat leg je vast, ook als je niet meldt?

Wat leg je vast? De AVG zegt dat de verwerkingsverantwoordelijke alle inbreuken documenteert, met de feiten, de gevolgen en de genomen maatregelen. Begin daar meteen mee. WordPress.org noemt in de hack-handleiding als eerste concrete stap na een compromittering dat je documenteert wat je ziet. Noteer wanneer en hoe je het ontdekte, welke symptomen je zag, welke accounts of bestanden verdacht zijn en wie je hebt ingelicht. Een eenvoudig logboek met tijdstippen volstaat en is later van grote waarde.

Wat doe je in de eerste uren na ontdekking?

Wat je technisch doet als je WordPress gehackt ziet, staat in ons stappenplan voor de eerste 24 uur. Voor de AVG zijn twee dingen uit de WordPress.org-handleiding extra relevant. Maak voor het schoonmaken een snapshot van de omgeving, ook als die al besmet is, zodat je bewijs behoudt van wat er stond. Wijzig daarna alle toegangspunten: FTP of SFTP, wp-admin, het hostingpaneel en MySQL. Zo sluit je de deur waarlangs de aanvaller binnenkwam.

Heb je hulp nodig bij het opruimen, dan doet WordPress-hulp dat vanaf €95 per storing. Voorkomen is goedkoper: bekijk wat WordPress-onderhoud kost, vanaf €45 per maand bij Digitaalnu, en loop de WordPress-beveiligingschecklist na. Vraag je hostingpartij ook naar het back-upbeleid, zoals WordPress.org adviseert, zodat je weet wat je host terugzet en hoe snel. Leg ook vast wie in jouw organisatie de melding doet, zodat je daar niet onder tijdsdruk over hoeft na te denken.

Laatst bijgewerkt op 11 oktober 2026