E-mail verkeerd verstuurd

Je klikt op verzenden en ziet het meteen: verkeerde ontvanger. Of je merkt het pas een uur later als je de verzonden items doorloopt. Een offerte met klantnamen naar de verkeerde prospect. Een factuur met IBAN naar iemand buiten je organisatie. Of CC in plaats van BCC bij een groepsmail naar dertig klanten.

Dit is het meestvoorkomende datalek in Nederland. Verkeerd verstuurde post en e-mail waren samen goed voor ruim 11.000 van de bijna 38.000 datalekmeldingen bij de AP in 2024. Dit is wat je doet.

Doe dit direct (4 stappen)

1. Probeer de e-mail terug te halen. Gmail: als je verzendvertraging aanstaat (Instellingen > Ongedaan maken > 30 sec), klik op "Ongedaan maken." Outlook: Verzonden items > rechtermuisklik > Bericht intrekken. Succes niet gegarandeerd, maar doe het als eerste.

2. Bel de verkeerde ontvanger. Bellen, niet mailen. Vraag om de e-mail te verwijderen zonder de inhoud te lezen. Wees concreet: "Je hebt per abuis een e-mail ontvangen die niet voor jou bedoeld was. Wil je die verwijderen, inclusief eventuele bijlagen?" De meeste mensen werken mee. Documenteer wie je hebt gebeld, wanneer, en of ze hebben bevestigd.

3. Beoordeel de inhoud. Welke persoonsgegevens stonden erin? Van hoeveel personen? Hoe gevoelig? Dit bepaalt of je moet melden bij de AP.

4. Documenteer. Wanneer verstuurd, wanneer ontdekt, wat erin stond, welke stappen genomen. In je datalekkenregister. Dit is verplicht onder artikel 33 lid 5 AVG, ook als je niet meldt bij de AP.

Ben je niet zeker of je beveiliging en datalekprocedure op orde zijn? De Privacy Scan checkt het in 2 minuten.

Moet je melden bij de AP?

Niet elke verkeerde e-mail is meldplichtig. Het hangt af van de inhoud.

Niet melden: alleen een voornaam of zakelijk e-mailadres, naar een bekende ontvanger die bevestigt te hebben verwijderd. Laag risico. Registreren in je datalekkenregister, niet melden.

Wel melden: factuurgegevens (naam + adres + IBAN), klantdossier als bijlage, BSN-nummers, medische informatie, of financiele details naar een onbekende derde. Binnen 72 uur melden via datalekken.autoriteitpersoonsgegevens.nl. Meer over de meldprocedure lees je in het artikel over datalek melden.

CC/BCC-fout: als je e-mailadressen van tientallen klanten aan elkaar onthult via CC in plaats van BCC, is dat een datalek. E-mailadressen zijn persoonsgegevens. Als het een gevoelige context betreft (apotheek, therapeut, advocaat) is het hoog risico en moet je ook de betrokkenen informeren.

Bij twijfel: meld. De AP heeft liever een onnodige melding dan een gemiste.

Drie scenario's uitgewerkt

Scenario 1: offerte naar de verkeerde prospect. Je stuurt een offerte met naam, adres en projectbeschrijving van klant A naar prospect B. Persoonsgegevens van een derde zijn onbedoeld gedeeld. Bel prospect B, vraag om verwijdering, documenteer. Melden bij de AP als prospect B de offerte al heeft gelezen en niet bevestigt te verwijderen. Registreren in je datalekkenregister: altijd.

Scenario 2: factuur met IBAN naar de verkeerde ontvanger. Naam, adres en bankgegevens van je klant zijn bij een onbevoegde terechtgekomen. Dit is bijna altijd meldplichtig: financiele gegevens + IBAN = risico op misbruik. Meld bij de AP, informeer je klant, en adviseer om bankafschriften te controleren.

Scenario 3: CC in plaats van BCC bij nieuwsbrief. Je stuurt je maandelijkse nieuwsbrief naar 50 klanten via CC. Alle 50 e-mailadressen zijn nu zichtbaar voor alle andere ontvangers. Dit is een datalek: 50 persoonsgegevens onbedoeld gedeeld. Melden bij de AP, betrokkenen informeren, en overstappen op een nieuwsbrieftool met ingebouwd BCC. Meer over nieuwsbrieven en de AVG lees je in het artikel over nieuwsbrieven.

De 5 oorzaken (en hoe je ze voorkomt)

1. Autocomplete. Veruit de meestvoorkomende oorzaak. Je typt "Jan" en je mailclient kiest Jan de Vries in plaats van Jan Bakker. De oplossing is simpel maar vereist discipline: bij gevoelige e-mails, pauzeer, check het volledige e-mailadres, en stuur pas dan. Sommige e-mailclients laten je autocomplete-suggesties opschonen. In Gmail: zoek op de verkeerde suggestie, klik op het X-icoon naast de naam. Dat voorkomt dat het opnieuw gebeurt met dezelfde persoon.

2. Verzendvertraging instellen. Gmail: Instellingen > Ongedaan maken > zet op 30 seconden. Outlook: maak een regel voor uitgesteld verzenden (1-2 minuten). Die vertraging is het verschil tussen "oeps, terugtrekken" en "te laat, melden bij de AP." Kost twee minuten om in te stellen en is de meest effectieve privacymaatregel die je vandaag kunt nemen.

3. BCC voor groepsmails. Altijd. Geen uitzondering. CC bij een groepsmail naar klanten onthult persoonsgegevens van alle ontvangers aan alle andere ontvangers. Beter nog: gebruik een nieuwsbrieftool (Mailchimp, Brevo, Laposta) die dit probleem structureel voorkomt. Een nieuwsbrieftool stuurt per ontvanger een aparte mail. Geen risico op CC/BCC-fouten.

4. Bijlagen controleren. Een offerte voor klant A met daarin de gegevens van klant B is een klassiek scenario. Open de bijlage voordat je verzendt. Vijf seconden. Vooral bij PDF's en Excel-bestanden die je hergebruikt als template: check of je de gegevens van de vorige klant hebt overschreven.

5. Reply-all bij groepsgesprekken. Een klant stuurt je een e-mail, je collega zit in CC, en je drukt op "allen beantwoorden" bij een e-mail die alleen voor de klant bedoeld was. Bij projectcommunicatie met meerdere partijen: check altijd wie er in de CC staat voordat je op verzenden klikt.

Als developer die technische e-mails stuurt: wees extra alert bij configuratiebestanden, API-documentatie met credentials, of screenshots van admin-panels. Die bevatten vaak meer persoonsgegevens dan je op het eerste gezicht denkt. Meer over je basisbeveiliging op orde krijgen lees je in het artikel over beveiliging voor ZZP'ers.

Na de paniek: registratie en evaluatie

Het incident is afgehandeld. De verkeerde ontvanger heeft verwijderd, je hebt al dan niet gemeld bij de AP. Nu het deel dat iedereen overslaat.

Registreer in je datalekkenregister. Datum, wat er gebeurde, welke gegevens, hoeveel betrokkenen, je beoordeling, je besluit (wel/niet gemeld), en de genomen maatregelen. Dit is verplicht, ook bij niet-meldplichtige incidenten.

Evalueer: hoe voorkomen? Stond je verzendvertraging al aan? Gebruik je BCC standaard? Heb je je autocomplete-suggesties opgeschoond? Een incident is een reden om een maatregel te nemen. Niet om jezelf te straffen, maar om het volgende incident te voorkomen.

Meer over digitale beveiliging en hoe je je basismaatregelen op orde krijgt lees je in dat artikel.

De eerlijke inschatting

Een verkeerd verstuurde e-mail is vervelend, niet het einde van de wereld. De meeste gevallen zijn laag risico en worden opgelost met een telefoontje. De AP begrijpt dat menselijke fouten voorkomen en legt geen boetes op voor incidentele vergissingen. Het gaat niet om perfectie. Het gaat om hoe je ermee omgaat: snel handelen, documenteren, en eerlijk zijn.

De contra-intuïtieve les: de verzendvertraging van 30 seconden in Gmail is de meest effectieve privacymaatregel die je vandaag kunt instellen. Gratis. Twee klikken. En het voorkomt het meestvoorkomende datalek in Nederland.

Zet het nu aan. Niet morgen. Nu. Gmail: Instellingen > Ongedaan maken > 30 seconden. Outlook: zoek op "uitgesteld verzenden" in de instellingen. Klaar.