Toen kwam de toezichthouder „woorden tekort” voor de toename in het aantal datalekken in 2021. In dat jaar kreeg de Autoriteit Persoonsgegevens 2210 meldingen van datalekken als gevolg van cyberaanvallen. Dat was 88 procent meer dan het jaar daarvoor. De stijging kwam volgens de waakhond deels omdat gedupeerde organisaties sneller een datalek meldden. In 2020 uitte de waakhond al zorgen toen het aantal meldingen met een derde steeg.

Volgens de autoriteit richten kwaadwillenden zich steeds vaker op IT-leveranciers. Dat zijn bedrijven die softwarediensten leveren aan kleine ondernemers. Bij zulke diensten komen veel persoonlijke gegevens van burgers samen, en die zijn voor criminelen goud waard.

Het meest recente grote datalek was in maart bij softwarebedrijf Nebu. Dat werd ruim een dag later pas ontdekt. Nebu maakt software die marktonderzoekers gebruiken om tevredenheidsonderzoeken te doen voor bedrijven. Volgens de autoriteit zijn er tot begin mei 172 datalekmeldingen binnengekomen die te maken hebben met het lek bij Nebu. Daardoor zouden enkele miljoenen Nederlanders getroffen kunnen zijn. Het onderzoek naar dit lek loopt nog.

Volgens de Algemene verordening gegevensbescherming (AVG) zijn organisaties wettelijk verplicht een ernstig datalek te melden bij de Autoriteit Persoonsgegevens, tenzij het lek geen risico oplevert voor ‘rechten en vrijheden van betrokkenen’.