GmailEen zorgorganisatie stuurt de maandelijkse nieuwsbrief naar de cliënten die ze begeleidt. Een medewerker plakt de lijst in het aan-veld in plaats van bcc. Elke ontvanger ziet nu elke andere ontvanger, en door wat deze organisatie precies doet, verraadt het e-mailadres alleen al iets diep persoonlijks over ieder gezin op de lijst.
Dat is geen hypothese. In 2016 beboette de Britse toezichthouder een soa-kliniek met £180.000 nadat een nieuwsbrief naar 781 mensen ging met hun adressen in het zicht in plaats van in bcc. Namen gekoppeld aan een hiv-context kwamen zo op straat te liggen. Het was de tweede keer dat dezelfde organisatie dezelfde fout maakte.
Geen firewall houdt dit tegen. Geen versleutelingsinstelling voorkomt het. Het is niet Google's systeem dat faalt: het is een mens, in haast, die gegevens aan andere mensen geeft. En dat is, veel meer dan wat Google op zijn servers doet, waar Gmail-privacy echt misgaat.
Het risico dat je in een contract vastlegt, en het risico dat dat niet kan
Het ligt voor de hand om bij Google zelf te beginnen. De bekende zorg luidt: Google leest alles, traint zijn AI op je mail, en verdient aan je inbox. Die zorg verdient een eerlijk antwoord, en dat antwoord is geruststellender dan de zorg zelf.
Het meeste is contractueel af te dekken. Op Google Workspace krijg je een verwerkersovereenkomst onder de AVG. Je kunt dataresidentie tot de EU beperken. Google stopte in 2017 met het scannen van consumenten-Gmail-inhoud voor advertentiepersonalisatie. En het heeft publiekelijk gesteld dat het Gmail-inhoud niet gebruikt om zijn Gemini-model te trainen. Je hoeft dit niet allemaal op goed vertrouwen aan te nemen, veel ervan staat in voorwaarden waaraan je Google kunt houden.
Met andere woorden: het risico aan Google's kant heeft een eigenaar, een contract en een remedie. Je kunt het afkopen.
Wat je niet kunt afkopen, is de ontvanger. Geen overeenkomst die Google tekent verandert naar wie een medewerker mailt, hoeveel die erin zet, of dat hij een thread met drie weken geschiedenis doorstuurt. Het moment waarop een mens beslist wat hij vóór een andere mens neerlegt, is het moment waar geen contract bij komt, en het is het moment waar de overgrote meerderheid van de e-maillekken begint.
Hoe Gmail met je gegevens omgaat
| Consumenten-Gmail (gratis) | Google Workspace (zakelijk) | |
|---|---|---|
| Accounttype | Persoonlijk @gmail.com | Beheerd werkdomein |
| Verwerkersovereenkomst | Nee | Ja |
| Inhoud gescand voor advertenties | Nee (sinds 2017) | Nee |
| Inhoud om Gemini te trainen | Nee (volgens Google) | Nee (volgens Google) |
| Beheercontrole | Geen | Volledig, via Beheerdersconsole |
| Verandert naar wie je mailt | Nee | Nee |
De tabel maakt het punt dat telt: de overstap van consumenten-Gmail naar beheerd Workspace repareert de contractkolom. Het raakt de onderste regel niet. Een bedrijf hoort op Workspace te zitten, want een persoonlijk Gmail-account dat klantgegevens verwerkt heeft geen verwerkersovereenkomst en is het verkeerde gereedschap. Maar zelfs een perfect ingerichte Workspace, met EU-residentie en elke AI-functie beoordeeld, verstuurt nog steeds precies de mail die de gebruiker opdraagt, naar precies de persoon in het aan-veld.
Waar het misgaat: zeven momenten voor Verzenden
Elk hiervan gaat over gegevens die een mens bereiken, niet een server.
1. Automatisch aanvullen kiest de verkeerde contactpersoon
Gmail stelt ontvangers fanatiek voor op basis van je historie: oud-collega's, contacten met gelijkende namen, een externe partner van een project van twee jaar geleden. De suggestie verschijnt voordat je de naam af hebt. Eén tab en de mail is geadresseerd aan de verkeerde persoon, met wat er ook in staat.
2. Allen beantwoorden op een gegroeide thread
Een bericht komt binnen via een lijst of een brede cc. Je reageert op één punt en klikt op Allen beantwoorden. Iedereen die ooit op de thread stond ontvangt je antwoord, en de oudere berichten eronder, die context kunnen bevatten die die mensen nooit hadden mogen zien.
3. Aan of cc in plaats van bcc bij een groepsmail
Stuur naar een groep in aan of cc en het adres van elke ontvanger is zichtbaar voor elke andere ontvanger. Horen die adressen bij patiënten, gedupeerden, sollicitanten of leden van een lotgenotengroep, dan zijn de adressen zelf gevoelige persoonsgegevens. Deze ene fout behoort jaarlijks tot de meest gemelde datalekken bij toezichthouders.
4. Een thread doorsturen met zijn geschiedenis
Doorsturen neemt alles onder het laatste bericht mee. Een snelle "ter info, zie onder" kan salariscijfers, juridisch advies of de gegevens van een andere klant doorgeven aan iemand die geen reden had ze te ontvangen. De meeste mensen scrollen niet naar beneden voordat ze doorsturen.
5. Een Drive-bestand bijvoegen is het delen ervan
In Gmail betekent het bijvoegen van een Google-document of -spreadsheet vaak het delen van een Drive-link, niet het versturen van een kopie. Staat de toegang op "iedereen met de link", dan kan de ontvanger, en iedereen aan wie hij hem doorstuurt, veel meer openen dan dat ene document, soms inclusief de bewerkingsgeschiedenis en opmerkingen. Het gemak verbergt een deelbeslissing.
6. Meer in de tekst zetten dan de ontvanger nodig heeft
Het stille, constante risico. Een antwoord dat een geboortedatum nodig had om een identiteit te bevestigen, heeft niet het hele dossier eronder geplakt nodig. Een update voor een collega heeft het rekeningnummer van de klant niet nodig. Elk extra herleidbaar gegeven in de tekst is data die zonder reden wordt overgedragen, en de ontvanger heeft het nu.
7. Een vertrouwelijke modus die veiliger voelt dan hij is
Gmails vertrouwelijke modus stelt een vervaldatum in en blokkeert doorsturen, kopiëren en downloaden. Het oogt beschermend, maar het vermindert niet wat je deelt: de beoogde ontvanger leest de volledige inhoud nog steeds op het scherm en kan een screenshot of foto maken, en Google kan het nog steeds verwerken. Het is een lichte toegangscontrole, geen vertrouwelijkheid, en het kan mensen juist meer laten delen, in de overtuiging dat het veilig is.
Wat een verkeerd verstuurde mail kost
Onder de AVG kan een e-mail die bij de verkeerde persoon belandt, of die een lijst met ontvangersadressen blootlegt, een datalek zijn. Brengt de data een risico mee voor de rechten en vrijheden van mensen, zoals gezondheidsgegevens, financiële informatie of een lijst die alleen al door zijn bestaan iets verraadt, dan moet de organisatie de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking informeren.
Boetes lopen op tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is, en de aansprakelijkheid ligt bij de organisatie als verwerkingsverantwoordelijke. Maar het boetebedrag is zelden het ergste. Een verkeerd geadresseerde e-mail naar een klant, een patiënt of een kwetsbaar persoon richt schade aan die niet kan worden teruggehaald, de ontvanger heeft het al gelezen. In de zorg, het recht, de financiële wereld en de hulpverlening is die schade direct en persoonlijk.
En let op waar de aansprakelijkheid niet heen verschuift: een vlekkeloos contract met Google biedt geen verweer wanneer het lek een medewerker was die de verkeerde gegevens vóór de verkeerde mens neerlegde.
Bekende Gmail-datalekken, en hoe ze ontstonden
2016: Soa-kliniek, bcc-fout
Een Londense kliniek stuurde een hiv-gerelateerde nieuwsbrief naar 781 ontvangers met aan in plaats van bcc, waardoor 730 volledige namen werden onthuld naast adressen die aan een uiterst gevoelige context waren gekoppeld. De toezichthouder beboette de organisatie met £180.000 en merkte op dat ze jaren eerder een vrijwel identieke fout had gemaakt. Bron: ICO / Digital Health, mei 2016.
2022: Erasmus MC-Sophia, e-mailadressen jonge patiënten
Het Erasmus MC-Sophia meldde een datalek bij de Autoriteit Persoonsgegevens nadat in een nieuwsbrief aan ouders en patiënten onder de 18 van de afdeling Kinderinfectieziekten/Immunologie de e-mailadressen van alle ontvangers zichtbaar waren, tientallen adressen van minderjarige patiënten in een gevoelige zorgcontext. Bron: Medisch Contact.
De toezichthouder zelf
Zelfs de Autoriteit Persoonsgegevens ging de fout in: een woordvoerder zette tientallen ontvangers in de cc van een mail aan journalisten en media, waardoor iedereen kon zien wie de mail nog meer had gekregen. Als de privacywaakhond zelf op de cc-knop struikelt, illustreert dat hoe menselijk en alledaags dit risico is. Bron: Computable.
Het patroon is bij alle drie hetzelfde: geen aanvaller, geen fout in de dienst, maar een gewone mens die net iets te snel gegevens naar andere mensen stuurt.
Wat je in Gmail en Workspace kunt dichtzetten
Deze verkleinen de kans. Geen ervan haalt de beslissing weg.
1. Vertraag of zet automatisch aanvullen uit Toezichthouders raden aan automatisch aanvullen uit te zetten voor gevoelige contexten, zodat een half ingetypte naam niet naar de verkeerde contactpersoon springt voordat je kijkt.
2. Zet Verzenden ongedaan maken aan en verleng het venster Stel in de Gmail-instellingen de annuleerperiode op het maximum. Het geeft je een paar seconden om een verkeerde ontvanger of een vergeten bcc nog te corrigeren.
3. Gebruik bcc, of een echte bulktool, voor groepen Gebruik voor elke groepsmail bcc, of beter, een mailmerge- of bulkmaildienst. Voor echt gevoelige lijsten is bcc alleen niet de aanbevolen maatregel.
4. Controleer Drive-linkrechten vóór het bijvoegen Bevestig bij het bijvoegen van een Google-bestand de deelreikwijdte. Stel standaard "beperkt" of specifieke personen in, niet "iedereen met de link".
5. Behandel de vertrouwelijke modus als toegangscontrole, niet als geheimhouding Gebruik het om doorsturen te beperken, maar vertrouw er nooit op om inhoud weg te houden bij een ontvanger die simpelweg een screenshot kan maken.
Stappen geverifieerd in juni 2026; de labels in Gmail veranderen met de tijd.
Wat geen instelling, of contract, oplost
Een verwerkersovereenkomst regelt Google. Instellingen voor automatisch aanvullen en verzendvertragingen verkleinen missers. Maar niets op beide lijsten bepaalt naar wie een medewerker mailt, hoeveel die plakt, of dat hij een thread met geschiedenis doorstuurt.
Geen contract maakt een bericht ongedaan. Geen ongedaan-venster helpt zodra de paar seconden voorbij zijn. Geen vertrouwelijke modus houdt een ontvanger tegen om te lezen wat jij hem hebt gegeven. De meest ingrijpende Gmail-lekken zijn niet Google dat je data verwerkt. Het zijn mensen die data met andere mensen delen, snel, tijdens gewoon werk.
Dat is het gat dat Google niet kan dichten. Het zit tussen het moment waarop een medewerker gevoelige informatie heeft en het moment waarop hij die aan iemand anders geeft.
Voordat je op Verzenden klikt
BeeSensible controleert persoonsgegevens in tekstvelden, waaronder het opstelvenster van Gmail, terwijl je typt. De tekst gaat naar de EU-detectiedienst van BeeSensible, waar de analyse in het werkgeheugen draait en de tekst na detectie wordt weggegooid. Er wordt niets van opgeslagen. Verschijnt er gevoelige inhoud in de tekst of het onderwerp van een concept, dan markeert BeeSensible die, zodat de afzender precies ziet wat hij op het punt staat te delen, en het nog kan verwijderen, vervangen door een placeholder of maskeren voordat het iemand bereikt.
