De meeste datalekken bij de overheid ontstaan doordat post of e-mail naar de verkeerde persoon wordt gestuurd of niet juist wordt bezorgd. Ook onbedoelde of onrechtmatige inzage van persoonsgegevens blijkt een veelvoorkomende bron van datalekken, zo meldt de Autoriteit Persoonsgegevens op basis van onderzoek onder 26 uiteenlopende overheidsorganisaties die veel persoonsgegevens verwerken (pdf).

Organisaties zijn verplicht om alle datalekken met persoonsgegevens in een datalekregister bij te houden. Deze documentatieverplichting moet ervoor zorgen dat organisaties leren van eerdere datalekken en maatregelen nemen om de kans op nieuwe datalekken te verkleinen. Veel overheidsorganisaties hebben echter geen strakke regels om datalekken te registeren, wat het lastig maakt voor de organisaties om structurele fouten aan te pakken, aldus de toezichthouder.

Overheidsinstanties gaan vooral de fout in bij post, fax of 'digitale' post die niet bij de juiste persoon aankomt. Dit kan meerdere oorzaken hebben, zoals onjuiste adressering, juiste adressering maar onjuiste bezorging, dubbele of verkeerde brieven die per ongeluk worden meegestuurd in een envelop, of kwijtgeraakte post. In het geval van 'digitale' post, zoals e-mail, berichtenboxen en klantportalen, gaat het ook vaak om onjuiste adressering, per abuis naar de verkeerde klant gestuurde gegevens, of verkeerd meegezonden bijlages.

Onbedoelde of onrechtmatige inzage van persoonsgegevens, zowel intern als extern, komt ook veel voor. Het gaat dan bijvoorbeeld om de publicatie van klantgegevens op het intranet waar alle medewerkers bij kunnen. Op de derde plek staat het verlies van documenten of apparaten zoals telefoons, laptops of tablets. Op basis van de onderzoeksresultaten heeft de Autoriteit Persoonsgegevens nu tien praktische tips opgesteld voor een betere registratie van datalekken.