Nieuw EDPB template voor melding gegevensinsbreuken: vereenvoudiging van melding gegevensinbreuken?

64% van de CISO's besteedt tussen de 4 en 24 uur aan de rapportage van een beveiligingsincident aan de bevoegde autoriteit, en dan is de incidentafhandeling zelf nog niet meegerekend. Die cijfers uit een recente ECSO-bevraging illustreren wat iedereen die ooit een gegevensinbreuk heeft meegemaakt al weet: het rapportageformulier invullen is maar een deel van het probleem, maar het is wel het deel dat op het slechtste moment veel tijd vraagt. 

Op 10 juni 2026 publiceerde het Comité voor gegevensbescherming (hierna: “EDPB”) een gemeenschappelijke template voor gegevensinbreuk-meldingen aan nationale gegevensbeschermingsautoriteiten op basis van artikel 33 AVG. De timing is geen toeval: de template kadert in de Helsinki Statement-belofte van het EDPB om AVG-compliance eenvoudiger te maken. Bovendien valt het samen met de onderhandelingen over de Digital Omnibus Verordening: het EU-wetgevingspakket dat een reeks digitale regels vereenvoudigt en moderniseert. Die Omnibus wil ook artikel 33 AVG hervormen: de meldingsdrempel verhogen, de termijn verlengen van 72 naar 96 uur, en – relevant hier – het EDPB uitdrukkelijk verplichten een gemeenschappelijke notificatietemplate vast te stellen. De huidige EDPB-template anticipeert met andere woorden op een wettelijke verplichting die haar eigen mandaat nog moet formaliseren. Voor een volledig overzicht van het Digital Omnibus-voorstel, lees zeker onze eerdere blogpost hierover. 

De template staat open voor publieke consultatie tot 5 augustus 2026. Wij analyseerden haar, vergeleken haar met het formulier van de Belgische Gegevensbeschermingsautoriteit (hierna de “GBA”), en namen een kritische blik. 

Wat bevat de template? 

De template is primair ontworpen voor implementatie via een IT-systeem door de nationale DPA's. Ze bestaat uit zo'n 100 velden in zeven verschillende secties, en formuleert verschillende antwoordopties, en antwoordlogica. Ze volgt de structuur van art. 33(3) AVG, maar gaat inhoudelijk verder dan de wettelijke minimumvereiste. Ze heeft de volgende structuur: 

- Type notificatie

 - identiteit van de verwerkingsverantwoordelijke en de persoon die rapporteert, 

- feiten van de inbreuk, gevolgen en maatregelen, 

- meer informatie over de inbreuk 

- communicatie naar betrokkenen 

- Andere mogelijke problemen 

- bijlagen 

De template bevat enkele positieve elementen: 

- Ze structureert de melding systematisch langs de zogenaamde CIA-driehoek (vertrouwelijkheid, integriteit, beschikbaarheid) en stelt per type gerichte vervolgvragen, onder meer of gegevens daadwerkelijk zijn geëxfiltreerd of enkel waarschijnlijk, en of beschermingsmaatregelen omzeilbaar waren. 

- Ze maakt een expliciet onderscheid tussen maatregelen om de huidige inbreuk te adresseren (sectie 4.3) en maatregelen om toekomstige inbreuken te voorkomen (sectie 4.4) een scheiding die voor de art. 34-drempelbeoordeling materieel relevant is maar niet in alle nationale formulieren aanwezig is. 

- Ze vraagt bovendien naar het aantal betrokken personen (sectie 3.3) en het aantal betrokken bestanden (records) (sectie 3.4) als aparte velden, met een praktische “tooltip” die uitlegt waarom "500 records" twee volledig verschillende risicoprofielen kan verbergen. 

- De “follow-up/withdraw”-logica is ingebouwd: een melding kan worden gemarkeerd als compleet, incompleet of ingetrokken, met een veld voor het interne referentienummer en het ID van de eerdere melding. 

Dit is essentieel bij ransomware-incidenten die in meerdere fasen worden gemeld. 

- Ten slotte vraagt de template expliciet hoe de inbreuk werd ontdekt (interne detectie, melding door verwerker, betrokkene, externe partij, pers). Dit is ook een element dat vaak ontbreekt in nationale formulieren en relevant is voor de beoordeling van de meldingstermijn. Echter, zijn er ook enkele zaken die uitdrukkelijk ontbreken in de template.

- Ze is bewust nationaal-neutraal: er staan geen nationale wettelijke grondslagen (in België is dat bijvoorbeeld de Wet Elektronische Communicatie, Wetboek Economisch Recht)sectorale bevoegde autoriteiten BIPT voor telecomoperatoren) ofparallelle meldingsverplichtingen bij de VTC (Vlaamse instanties) of de NBB (financiële dienstverleners onder PSD2) in vermeld; en 

- Datacategorisering blijft redelijk abstract. De datacategorisering in het formulier van de GBA is nog meer granulair. Het bevat bijvoorbeeld opties als rijksregisternummer, CCTV-beeldopnamen, HR-data, smart grid gegevens, en gaat in die zin verder dan wat het EDPB-template biedt. 

Dat is logisch vanuit de pan-Europese scope, maar betekent dat de Belgische GBA-handleiding onmisbaar blijft als operationeel complement. 

Wordt de template bindend? 

Nog niet, en het is onzeker of en wanneer dat gebeurt. Na de publieke consultatie beslist het EDPB over de implementatietijdlijn door de nationale gegevensbeschermingsautoriteiten. De template heeft geen wettelijke grondslag die nationale autoriteiten dwingt haar over te nemen. Het EDPB kan haar niet opleggen via een bindend instrument in de huidige AVG-structuur. 

Dat kan veranderen via het Digital Omnibus-voorstel. Dat voorstel zou de bestaande artikel 33 AVG bepaling aanpassen en het EDPB uitdrukkelijk mandateren een gemeenschappelijke notificatietemplate op te stellen én een lijst van omstandigheden waarin een inbreuk een hoog risico oplevert, beide driejaarlijks te herzien. Met andere woorden: de huidige template anticipeert op een wettelijke verplichting die haar eigen mandaat zou formaliseren. Of het Omnibus-voorstel in die vorm de triloog overleeft is onzeker: de EDPB en EDPS zijn in hun gezamenlijk advies van februari 2026 kritisch op andere onderdelen van het voorstel, waaronder de voorgestelde verhoging van de notificatiedrempel naar "hoog risico" en de verlenging van de termijn van 72 naar 96 uur. 

De vraag of de EDPB-template descriptief is, namelijk een mapping van bestaande nationale formulieren of prescriptief, een nieuwe standaard die nationale templates moet verdringen is vooralsnog onbeantwoord. Het antwoord hangt af van de mate waarin nationale gegevensbeschermingsautoriteiten hun formulieren aanpassen na de consultatie, en van de uitkomst van de Omnibus-onderhandelingen. 

De GBA heeft haar notificatieformulier eind 2024/begin 2025 ingrijpend vernieuwd, inclusief een meerfasen-notificatiestructuur. Als zij haar formulier niet aanpast aan de EDPB-template, heeft de EDPB-template voor de dagelijkse Belgische praktijk weinig operationele impact. 

Lost de template het echte probleem op? 

De drempel, niet het formulier 

De 72 uur gaan niet verloren aan het invullen van een formulier. Ze gaan verloren aan het vaststellen wat er met voldoende zekerheid is gebeurd, en aan de vraag of de inbreuk meldingswaardig is. De kwalificatieve drempelanalyse ("is het waarschijnlijk dat de inbreuk een risico inhoudt voor de rechten en vrijheden van betrokkenen?") vereist een feitelijk onderzoek dat dit template niet verkort. Het EDPB heeft in haar Guidelines 9/2022 de ENISA-risicobeoordelingsmethodologie formeel geadopteerd als hulpmiddel. Maar ook met dit instrument blijft de vraag "vanaf welk moment weegt het risico zwaar genoeg?" een kwalitatief oordeel zonder formele ondergrens in EDPB-richtsnoeren. 

AI-incidenten: het accuraatheidsrisico 

De template veronderstelt dat de feiten van een inbreuk binnen 72 uur met redelijke zekerheid kunnen worden vastgesteld. Die veronderstelling staat steeds meer onder druk bij AI-gerelateerde incidenten. Neem een organisatie die gebruik maakt van een generatief AI-model als onderdeel van een klantenportaal. Een gebruiker meldt dat het model persoonsgegevens van andere gebruikers teruggeeft in zijn antwoorden, een klassiek voorbeeld van wat de EDPB in haar “Opinion 28/2024” aanduidt als leakage en regurgitation". De oorzaak kan liggen in de trainingsdata, in een promptinjectie door een derde, in een misconfiguratie van de retrieval-laag of in een combinatie van eerder vermelde problemen. Welke persoonsgegevens precies zijn blootgesteld, van hoeveel betrokkenen, en of er sprake is van exfiltratie dan wel loutere ongeautoriseerde vrijgave , is binnen 72 uur vaak niet te bepalen zonder een cyberforensisch onderzoek van het model zelf, wat technisch aanzienlijk complexer is dan het onderzoeken van een eenvoudig databanklek. De template biedt de "onvolledige notificatie "-optie, maar die stelt het moment van feitelijke analyse alleen maar uit. De GBA verduidelijkt in haar handleiding bovendien dat ze een volledig cyberforensisch onderzoek verwacht bij hacking-incidenten, inclusief exfiltratieanalyse en logonderzoek. Die verwachting is bij AI-incidenten moeilijk in te lossen, al zeker niet binnen de gangbare termijnen. 

De Belgische meerfasen-notificatiestructuur 

De GBA voerde eind 2024/begin 2025 een twee-fasen-notificatiestructuur in. Organisaties kunnen een initiële (onvolledige) melding indienen binnen 72 uur, gevolgd door een aanvullende melding binnen de 21 dagen zodra het onderzoek vordert. Dat sluit aan bij de "onvolledige notificatie"-optie in de EDPB-template en bij de art. 33(4) AVG-mogelijkheid om informatie in fasen aan te reiken. De GBA-logica en de EDPB-templatelogica zijn hier in lijn, wat een positief signaal is voor eventuele toekomstige integratie. Toch zijn de formulieren zelf niet naadloos op elkaar afgestemd: de GBA vraagt bij een aanvullende melding om specifieke velden die niet direct overeenkomen met de follow-up-velden in de EDPB-template, wat bij grensoverschrijdende incidenten tot dubbel werk kan leiden.

Het authenticatieprobleem 

Voor de dagelijkse Belgische praktijk stelt zich nog een ander knelpunt dat geen enkele template oplost: de authenticatie op het nieuwe GBA-platform. De wettelijke vertegenwoordiger van een organisatie moet vooraf een rol toewijzen aan de DPO of een gemachtigde vertegenwoordiger in het GBA-systeem (het GBA_Documentum_Vertegenwoordiger-profiel). Voor Belgische ondernemingen met een internationale bestuurder of bestuurder in de EU die geen eIDAS login heeft en dus die rol niet kan toewijzen ontstaat er een probleem. Dat is een structureel operationeel obstakel dat voor de introductie van om het even welke template moet worden opgelost. 

Harmonisering: de bredere context 

De EDPB-template is één stap in een breder harmoniseringslandschap. DORA beschikt al over een geharmoniseerde meldingstemplate vastgelegd in een gedelegeerde verordening. De NIS2 Cooperation Group werkt aan een vergelijkbaar instrument via een uitvoeringshandeling. De Digital Omnibus wil dit samenbrengen in een ENISA-beheerd single entry point. Die ambitie is relevant voor iedere organisatie die onder meerdere van deze regimes valt: een financiële instelling die NIS2-entiteit is en DORA-subject, moet vandaag voor hetzelfde incident aan de CCB, aan de sectorale toezichthouder en aan de GBA rapporteren, elk met een eigen -tijdslijn, template en drempel. 

Het INCIDENTRON-project (Grant Agreement No. 101249201), waaraan Timelex deelneemt, analyseert precies dit landschap: hoe kunnen meldingsverplichtingen worden geïntegreerd zonder informatie-asymmetrie te creëren tussen toezichthouders of de kwaliteit van individuele meldingen te verlagen? De EDPB-template is een bouwsteen, maar de integratie met andere meldingssystemen blijft de kritieke variabele. 

Conclusie 

De EDPB-template is analytisch beter dan vele nationale formulieren en de harmoniseringsrichting is de juiste. Maar de impact op vereenvoudiging hangt af van enkele factoren die op dit moment onzeker zijn: 

- of nationale gegevensbeschermingsautoriteiten hun formulieren zullen aanpassen, 

- hoe de Digital Omnibus het verplicht gebruik van de template door nationale autoriteiten en de drempelproblematiek regelt , en 

- of de echte bottleneck, de kwalificatieve drempelanalyse en het forensisch cyberonderzoek, worden ondersteund door instrumenten die verder gaan dan een gestandaardiseerd veld. 

Een template is de goedkoopste vereenvoudiging die het EDPB kon bieden. Dat is zowel haar verdienste als haar begrenzing. 

De publieke consultatie sluit op 5 augustus 2026. Organisaties en hun adviseurs die met de huidige fragmentatie van meldingsverplichtingen worstelen, hebben een uniek moment om concrete, praktijkgerichte feedback in te dienen en daarmee het verdere verloop van zowel de template als de Digital Omnibus-onderhandelingen mede te bepalen.