GmailEen zorgorganisatie stuurt haar maandelijkse nieuwsbrief naar de gezinnen die ze begeleidt. Een medewerker plakt de lijst in het aan-veld in plaats van in bcc. Nu ziet elke ontvanger alle andere ontvangers, en gezien het werk van deze organisatie verraadt het e-mailadres alleen al iets heel persoonlijks over elk gezin op de lijst.
Dit is geen verzonnen voorbeeld. In 2016 legde de Britse toezichthouder een soa-kliniek een boete op van £180.000. Een nieuwsbrief was naar 781 mensen gegaan met alle adressen zichtbaar in plaats van in bcc, waardoor namen in verband met hiv op straat kwamen te liggen. Het was de tweede keer dat dezelfde organisatie dezelfde fout maakte.
Geen firewall houdt dit tegen, geen versleuteling voorkomt het. Het systeem van Google faalt hier niet. Het is een mens die haast heeft en gegevens aan andere mensen geeft. Daar gaat privacy in Gmail echt mis, veel meer dan bij wat Google op zijn servers doet.
Welk risico je in een contract regelt, en welk niet
Het ligt voor de hand om bij Google zelf te beginnen. De bekende zorg: Google leest alles, traint zijn AI met je mail en verdient geld aan je inbox. Daar hoort een eerlijk antwoord bij, en dat antwoord stelt meer gerust dan de zorg doet vermoeden.
Het meeste kun je contractueel afdekken. Met Google Workspace krijg je een verwerkersovereenkomst onder de AVG. Je kunt de opslag van gegevens tot de EU beperken. Google stopte in 2017 met het scannen van persoonlijke Gmail-accounts voor gepersonaliseerde advertenties. En het heeft publiekelijk verklaard dat het Gmail-inhoud niet gebruikt om zijn Gemini-model te trainen. Dat hoef je niet alleen op goed vertrouwen aan te nemen: veel ervan staat in voorwaarden waar je Google aan kunt houden.
Het risico aan de kant van Google heeft dus een eigenaar, een contract en een mogelijkheid tot verhaal. Je kunt het afkopen.
Wat je niet kunt afkopen, is de ontvanger. Geen overeenkomst die Google tekent, verandert iets aan naar wie een medewerker mailt, hoeveel hij in de mail zet of dat hij een thread met drie weken aan eerdere berichten doorstuurt. Het moment waarop iemand beslist wat hij met een ander deelt, valt buiten elk contract. En juist op dat moment begint verreweg het grootste deel van de e-maillekken.
Hoe Gmail met je gegevens omgaat
| Persoonlijk Gmail (gratis) | Google Workspace (zakelijk) | |
|---|---|---|
| Accounttype | Persoonlijk @gmail.com | Beheerd werkdomein |
| Verwerkersovereenkomst | Nee | Ja |
| Inhoud gescand voor advertenties | Nee (sinds 2017) | Nee |
| Inhoud gebruikt om Gemini te trainen | Nee (volgens Google) | Nee (volgens Google) |
| Beheer door de organisatie | Geen | Volledig, via de Beheerdersconsole |
| Verandert naar wie je mailt | Nee | Nee |
De tabel laat zien waar het om gaat: de overstap van persoonlijk Gmail naar een beheerde Workspace regelt de contractkolom, maar verandert niets aan de onderste regel. Een bedrijf hoort Workspace te gebruiken: een persoonlijk Gmail-account waarin klantgegevens worden verwerkt, heeft geen verwerkersovereenkomst en is daar simpelweg niet voor bedoeld. Maar ook een perfect ingerichte Workspace, met opslag in de EU en elke AI-functie beoordeeld, verstuurt precies de mail die de gebruiker opstelt, naar precies de persoon in het aan-veld.
Waar het misgaat: zeven momenten vóór Verzenden
Steeds gaat het om gegevens die bij een mens terechtkomen, niet bij een server.
1. Automatisch aanvullen kiest de verkeerde contactpersoon
Gmail stelt gretig ontvangers voor uit je geschiedenis: oud-collega's, contacten met een vergelijkbare naam, een externe partner van een project van twee jaar geleden. De suggestie verschijnt al voordat je de naam hebt uitgetypt. Eén druk op Tab en de mail gaat naar de verkeerde persoon, met alles wat erin staat.
2. Allen beantwoorden in een uitgedijde thread
Er komt een bericht binnen via een mailinglijst of met een lange cc-lijst. Je reageert op één punt en klikt op Allen beantwoorden. Iedereen die ooit in de thread zat, krijgt je antwoord, met de oudere berichten eronder. Daar kan informatie in staan die die mensen nooit hadden mogen zien.
3. Aan of cc in plaats van bcc bij een groepsmail
Zet je een groep in aan of cc, dan ziet elke ontvanger de adressen van alle anderen. Horen die adressen bij patiënten, gedupeerden, sollicitanten of leden van een lotgenotengroep, dan zijn de adressen zelf al gevoelige persoonsgegevens. Juist deze fout hoort elk jaar bij de datalekken die het vaakst bij toezichthouders worden gemeld.
4. Een thread doorsturen met alles wat eronder staat
Wie doorstuurt, stuurt alles onder het laatste bericht mee. Een snel "ter info, zie onder" kan salariscijfers, juridisch advies of de gegevens van een andere klant bij iemand terechtbrengen die ze nooit had hoeven krijgen. De meeste mensen scrollen niet naar beneden voordat ze doorsturen.
5. Een Drive-bestand bijvoegen is het bestand delen
Voeg je in Gmail een Google-document of -spreadsheet toe, dan deel je vaak een Drive-link en verstuur je geen kopie. Staat de toegang op "Iedereen met de link", dan kan de ontvanger, en iedereen aan wie hij de link doorstuurt, veel meer openen dan dat ene document, soms inclusief de bewerkingsgeschiedenis en opmerkingen. Wat handig oogt, is in feite een besluit om te delen.
6. Meer in de tekst zetten dan de ontvanger nodig heeft
Dit risico loopt altijd stil mee. Een antwoord waarin je met een geboortedatum iemands identiteit bevestigt, hoeft niet het hele dossier eronder te hebben. In een update voor een collega hoeft het rekeningnummer van de klant niet te staan. Elk extra herleidbaar gegeven in de tekst geef je zonder reden weg, en de ontvanger heeft het nu in handen.
7. Een vertrouwelijke modus die veiliger aanvoelt dan hij is
De vertrouwelijke modus van Gmail stelt een vervaldatum in en blokkeert doorsturen, kopiëren en downloaden. Dat oogt veilig, maar het verandert niets aan wat je deelt: de ontvanger leest de volledige inhoud gewoon op het scherm en kan er een screenshot of foto van maken, en Google kan de inhoud nog steeds verwerken. Het is een lichte vorm van toegangsbeheer, geen vertrouwelijkheid. En omdat het veilig lijkt, gaan mensen er soms juist makkelijker door delen.
Wat een verkeerd verstuurde mail kost
Onder de AVG kan een e-mail die bij de verkeerde persoon belandt, of die de adressen van alle ontvangers zichtbaar maakt, een datalek zijn. Leveren de gegevens een risico op voor de rechten en vrijheden van mensen (denk aan gezondheidsgegevens, financiële informatie of een lijst die alleen al door zijn bestaan iets verraadt), dan moet de organisatie het lek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens.
Boetes lopen op tot €20 miljoen of 4% van de wereldwijde jaaromzet, als dat hoger is, en de aansprakelijkheid ligt bij de organisatie als verwerkingsverantwoordelijke. Maar de boete is zelden het ergste. Een verkeerd geadresseerde e-mail aan een klant, een patiënt of een kwetsbaar persoon richt schade aan die je niet terugdraait: de ontvanger heeft de mail al gelezen. In de zorg, de juridische en financiële wereld en de hulpverlening is die schade direct en persoonlijk.
En de aansprakelijkheid verschuift niet: een vlekkeloos contract met Google is geen verweer als het lek ontstond doordat een medewerker de verkeerde gegevens naar de verkeerde persoon stuurde.
Bekende Gmail-datalekken, en hoe ze ontstonden
2016: Soa-kliniek, bcc-fout
Een Londense kliniek stuurde een nieuwsbrief over hiv naar 781 ontvangers en zette hen in het aan-veld in plaats van in bcc. Daardoor waren 730 volledige namen te zien, naast adressen die aan een zeer gevoelige context gekoppeld waren. De toezichthouder legde de organisatie een boete op van £180.000 en wees erop dat ze jaren eerder bijna precies dezelfde fout had gemaakt. Bron: ICO / Digital Health, mei 2016.
2022: Erasmus MC-Sophia, e-mailadressen jonge patiënten
Het Erasmus MC-Sophia meldde een datalek bij de Autoriteit Persoonsgegevens. In een nieuwsbrief van de afdeling Kinderinfectieziekten/Immunologie aan ouders en patiënten onder de 18 waren de e-mailadressen van alle ontvangers zichtbaar: tientallen adressen van minderjarige patiënten, in een gevoelige zorgcontext. Bron: Medisch Contact.
De toezichthouder zelf
Zelfs de Autoriteit Persoonsgegevens ging de fout in. Een woordvoerder zette tientallen ontvangers in de cc van een mail aan journalisten en media, zodat iedereen kon zien wie de mail nog meer had gekregen. Als zelfs de privacywaakhond over het cc-veld struikelt, zegt dat genoeg over hoe menselijk en alledaags dit risico is. Bron: Computable.
Het patroon is bij alle drie hetzelfde: geen aanvaller, geen fout in de dienst, maar een gewone mens die net iets te snel gegevens naar andere mensen stuurt.
Wat je in Gmail en Workspace kunt dichtzetten
Deze maatregelen verkleinen de kans op een fout. De beslissing zelf nemen ze niet weg.
1. Zet automatisch aanvullen uit of maak het minder gretig Toezichthouders raden aan om automatisch aanvullen uit te zetten waar gevoelige gegevens worden gemaild, zodat een half getypte naam niet de verkeerde contactpersoon wordt voordat je het ziet.
2. Zet Verzenden ongedaan maken aan en kies de langste annuleringsperiode Stel in de Gmail-instellingen de annuleringsperiode in op het maximum. Dan heb je een paar seconden om een verkeerde ontvanger of een vergeten bcc nog te herstellen.
3. Gebruik bcc, of een echte bulktool, voor groepen Gebruik voor elke groepsmail bcc, of beter nog een mailmerge- of bulkmaildienst. Voor echt gevoelige lijsten is bcc alleen niet genoeg.
4. Controleer de deelrechten van een Drive-bestand voordat je het bijvoegt Kijk bij het bijvoegen van een Google-bestand met wie het gedeeld wordt. Kies standaard "Beperkt" of specifieke personen, niet "Iedereen met de link".
5. Zie de vertrouwelijke modus als toegangsbeheer, niet als geheimhouding Gebruik de modus om doorsturen te beperken, maar reken er nooit op dat hij inhoud afschermt voor een ontvanger die gewoon een screenshot kan maken.
Stappen gecontroleerd in juni 2026; de namen van instellingen in Gmail veranderen weleens.
Wat geen instelling of contract oplost
Een verwerkersovereenkomst legt Google regels op. Instellingen voor automatisch aanvullen en een verzendvertraging maken vergissingen minder waarschijnlijk. Maar niets op die twee lijsten bepaalt naar wie een medewerker mailt, hoeveel hij plakt of dat hij een thread met alle eerdere berichten doorstuurt.
Geen contract haalt een verstuurd bericht terug. Verzenden ongedaan maken helpt niet meer als die paar seconden voorbij zijn. En geen vertrouwelijke modus voorkomt dat een ontvanger leest wat jij hem hebt gestuurd. De ingrijpendste lekken in Gmail ontstaan niet doordat Google je gegevens verwerkt. Ze ontstaan doordat mensen gegevens met andere mensen delen, snel, midden in hun gewone werk.
Dat is het gat dat Google niet kan dichten. Het zit tussen het moment waarop een medewerker gevoelige informatie heeft en het moment waarop hij die aan iemand anders geeft.
Voordat je op Verzenden klikt
BeeSensible controleert tekstvelden op persoonsgegevens terwijl je typt, ook in het opstelvenster van Gmail. De tekst gaat naar de Europese detectiedienst van BeeSensible, waar de analyse in het werkgeheugen draait en de tekst na detectie wordt gewist. Er wordt niets van opgeslagen. Staan er gevoelige gegevens in de tekst of de onderwerpregel van een concept, dan krijgen die een markering. De afzender ziet precies wat hij op het punt staat te delen en kan het nog maskeren met een placeholder of verwijderen voordat het iemand bereikt.
