Verkeerd verzendlabel: moet je webshop een datalek melden?

Je krijgt bericht dat een pakket bij de verkeerde persoon terechtgekomen is. Op de doos staat een naam en adres, en binnenin zit mogelijk een pakbon met artikelen. De klantenservice wil de bestelling herstellen. Tegelijk moet je beoordelen wat met de persoonsgegevens is gebeurd. Wacht daarmee niet tot de vervoerder de schadeclaim of zoekactie heeft afgerond. Die onderzoeken hebben een ander doel en kunnen andere informatie opleveren.

Dit artikel is bedoeld voor de Nederlandse webshop die de eigen verzendfout of een fout bij een uitvoerder onderzoekt. De officiële bronnen zijn geopend op 14 oktober 2026. De stappen hieronder zijn een praktisch incidentproces, geen vaste uitkomst voor iedere labelverwisseling. Je beoordeling hangt af van de werkelijke gegevens en omstandigheden. Leg onbekende punten vast en onderzoek ze gericht.

Wanneer is een verzendfout ook een inbreuk op persoonsgegevens? #

Artikel 4 nummer 12 AVG omschrijft een inbreuk op persoonsgegevens als een beveiligingsinbreuk die leidt tot onder meer verlies, wijziging, ongeoorloofde verstrekking of toegang. Dat kan per ongeluk gebeuren. Er hoeft dus geen hacker bij betrokken te zijn. Een pakbon die bij een andere klant belandt of een screenshot van een label dat in het verkeerde gesprek wordt gedeeld, vraagt dezelfde eerste vraag: welke persoonsgegevens zijn buiten de bedoelde toegang terechtgekomen?

Maak onderscheid tussen een logistieke melding en het vastgestelde gegevensincident. Een vertraging zonder aanwijzing voor een beveiligingsinbreuk is niet automatisch een datalek. Een onbekende afleverstatus vraagt onderzoek. Een foto die duidelijk toont dat een andere persoon de pakbon heeft ontvangen, geeft veel concretere informatie. Formuleer wat je al weet en wat je nog moet vaststellen, zodat je een vermoeden niet verwart met bewijs of omgekeerd.

Kijk verder dan de voorkant van de doos. Een label kan naam, adres, telefoon of een herleidbare barcode bevatten. Een pakbon kan daarnaast bestelde producten, aantallen en een klantreferentie tonen. De combinatie bepaalt de blootstelling. Een ordernummer is ook een persoonsgegeven als het naar een klant kan worden herleid. Controleer daarom welk document werkelijk is meegegaan, in plaats van alleen te vragen of het pakket open was.

Wanneer begint de termijn van 72 uur te lopen? #

Artikel 33 lid 1 verbindt de termijn aan kennisname door de verwerkingsverantwoordelijke. De EDPB-richtsnoeren 9/2022 leggen dit uit als een redelijke mate van zekerheid dat een beveiligingsincident persoonsgegevens heeft getroffen. Een concrete bevestiging van ongeoorloofde ontvangst kan dat moment dus al opleveren. Je hoeft niet eerst alle gevolgen of het volledige aantal documenten te kennen.

Een eerste korte controle kan nodig zijn om vast te stellen of werkelijk persoonsgegevens zijn geraakt. Begin die controle direct. Gebruik onzekerheid niet als reden om de melding onbeperkt uit te stellen. Dezelfde richtsnoeren onderscheiden de eerste vaststelling van een later, uitgebreider onderzoek. Noteer beide momenten: wanneer het signaal binnenkwam en wanneer je voldoende zekerheid had over de inbreuk.

De AVG spreekt over uren, niet over werkdagen. Zorg dus ook buiten kantooruren voor een bereikbaar escalatiepunt. Een verwerker moet jou volgens artikel 33 lid 2 zonder onredelijke vertraging informeren zodra die van de inbreuk weet; de wet geeft hem niet automatisch een eigen wachttijd van 72 uur. Leg deze overdracht vast voordat de samenwerking start, zodat jij op tijd een inhoudelijke beslissing kunt nemen.

Welke gegevens heb je nodig voor de risicobeoordeling? #

Beoordeel zowel de kans op gevolgen als de ernst ervan. Naam en adres kunnen in een bepaalde situatie een serieus probleem vormen, bijvoorbeeld wanneer de persoon zijn verblijfplaats moet beschermen. Bestelinhoud kan in sommige gevallen informatie over gezondheid of andere beschermde kenmerken onthullen. Ga niet uitsluitend af op het aantal klanten. Een incident met weinig personen kan grote gevolgen hebben.

Vraag niet méér bewijs dan nodig. Als een beperkte beschrijving en relevante foto het probleem aantonen, hoef je de verkeerde ontvanger niet te vragen ieder document volledig naar meerdere medewerkers te sturen. Bewaar incidentstukken op een afgebakende plek. Het onderzoek mag niet zelf een nieuwe verspreidingsronde worden. Vermeld in het dossier welke gegevens je beperkt hebt gehouden en welke aanvullende informatie nog ontbreekt.

Wanneer meld je bij de toezichthouder en wanneer bij de klant? #

Volgens artikel 33 lid 1 moet je de inbreuk melden aan de bevoegde toezichthouder, tenzij het niet waarschijnlijk is dat zij een risico inhoudt voor de rechten en vrijheden van personen. Voor een onder Nederlandse bevoegdheid vallende webshop is dat de Autoriteit Persoonsgegevens. Bij een grensoverschrijdende verwerking moet je de bevoegde autoriteit bepalen; de bestemming op één pakket beslist dat niet vanzelf.

Artikel 34 gebruikt voor een mededeling aan betrokkenen de hogere drempel van waarschijnlijk hoog risico. De klant moet dan zonder onredelijke vertraging worden geïnformeerd, in duidelijke taal. Vermeld de aard van de inbreuk, een contactpunt, waarschijnlijke gevolgen en maatregelen. Een gewone leveringsmail die alleen zegt dat het pakket opnieuw onderweg is, bevat die informatie niet noodzakelijk.

Er zijn in artikel 34 lid 3 uitzonderingen op die mededeling, bijvoorbeeld wanneer passende beschermingsmaatregelen de gegevens voor onbevoegden onbegrijpelijk maken of latere maatregelen het hoge risico waarschijnlijk wegnemen. Beoordeel of de uitzondering werkelijk past. Een leesbaar adres op papier is niet versleuteld omdat je orderadministratie wel beveiligd is. Een toezegging van vernietiging kan relevant zijn, maar vraagt nog steeds een beoordeling van de omstandigheden.

Wat doe je als het onderzoek nog niet klaar is? #

Artikel 33 lid 4 laat toe dat noodzakelijke informatie in stappen wordt verstrekt wanneer alles niet tegelijk beschikbaar is. Je hoeft een meldplichtig incident dus niet onnodig laat te melden omdat één onderzoeksvraag openstaat. Vermeld wat bekend is, welke onzekerheden er zijn en welke aanvulling volgt. Als een melding later dan 72 uur gebeurt, verlangt lid 1 een motivering van de vertraging.

Lid 3 noemt de gegevens die de melding ten minste moet beschrijven: de aard van de inbreuk, waar mogelijk categorieën en aantallen, een contactpunt, waarschijnlijke gevolgen en genomen of voorgestelde maatregelen. Gebruik die onderdelen ook voor je interne dossier. Zo voorkom je dat je wel een lange klantenservicegeschiedenis hebt, maar de informatie voor een besluit telkens opnieuw moet verzamelen.

1. 1

   Beperk de blootstelling

   Stop de betrokken print- of verzendstroom als dezelfde fout nog orders kan raken. Vraag om veilige terughaal- of vernietigingsmaatregelen en bevestiging van het resultaat.

2. 2

   Stel de feiten en tijden vast

   Leg signaal, kennisname, documenten en betrokken orders vast. Vraag de uitvoerder gericht wat is gebeurd en welke andere bestellingen mogelijk geraakt zijn.

3. 3

   Neem twee meldbesluiten

   Beoordeel risico voor melding aan de toezichthouder en waarschijnlijk hoog risico voor de klantmededeling afzonderlijk. Wijs aan wie het besluit neemt en de actie uitvoert.

4. 4

   Vul aan en verbeter

   Voeg nieuwe feiten en maatregelen toe, ook na een eerste melding. Herstel de oorzaak van de verwisseling en controleer de werking voordat dezelfde stroom opnieuw begint.

Moet je ook een niet-gemeld datalek bewaren? #

Ja. Artikel 33 lid 5 verlangt documentatie van alle inbreuken, inclusief feiten, gevolgen en corrigerende maatregelen. Bewaar dus ook de onderbouwing wanneer je besluit niet bij de toezichthouder te melden. Schrijf een inhoudelijke reden op: welke gegevens zijn geraakt, waarom is risico niet waarschijnlijk en welke vastgestelde maatregelen ondersteunen dat? Alleen opgelost of klant tevreden verklaart de privacybeslissing onvoldoende.

Gebruik het dossier ook om de oorzaak aan te pakken. Waren labels naast elkaar geprint zonder controle, werd een oude pakbon opnieuw gebruikt of kwam een adreswijziging te laat binnen? De EDPB-richtsnoeren over privacy door ontwerp leggen de nadruk op de inrichting van het proces. Maak de volgende juiste handeling eenvoudig voor degene die daadwerkelijk inpakt.

Hoe scheid je opnieuw verzenden van privacyherstel bij AirPost? #

Bij AirPost voor webshops houdt een lokale verzender je voorraad, pakt orders in en brengt pakketten weg. Als bij die uitvoering iets met klantgegevens misgaat, heb je feiten van de uitvoerder nodig voor je privacybeoordeling. Leg vooraf een bereikbaar meldpunt vast. De normale order- of claimafhandeling vervangt jouw beoordeling van een mogelijk datalek niet automatisch.

Als je voor logistiek herstel een nieuw klein pakket laat inpakken, zijn de gepubliceerde rekenbestanddelen € 2,25 aanbevolen pakvergoeding en € 0,85 platformtarief: samen € 3,10. De constanten zijn gecontroleerd op 14 oktober 2026. Deze som omvat geen nieuw label, materiaal, terughaalactie of privacyonderzoek en doet geen uitspraak over wie de foutkosten draagt. Gebruik de afgesproken vergoeding en het concrete herstelplan voor je werkelijke kosten.

Voor de kostenstructuur kun je verzendkosten voor je webshop berekenen raadplegen. Houd in de incidentafhandeling daarnaast bij wat met de verkeerd gedeelde gegevens is gebeurd. Een vervangend pakket kan de bestelling herstellen terwijl de pakbon nog bij een onbevoegde persoon ligt. Beide vragen moeten een aantoonbaar antwoord krijgen.