Sociale verhuurder deltaWonen meldt datalek van huurdersgegevens na inbraak

Woningcorporatie deltaWonen schrijft in een brief aan huurders, medewerkers en leveranciers dat er digitaal is ingebroken bij het bedrijf, waarbij onder meer persoonsgegevens zichtbaar waren voor en mogelijk gestolen zijn door 'onbevoegden'. Er is melding gedaan bij de AP.

De inbraak werd op 15 maart ontdekt door de Zwolse woningcorporatie. Wat er precies gebeurd is, dat zegt deltaWonen niet. Wel zegt het dat de inbraak gestopt is, en dat bij het onderzoek gebleken is dat de daders toegang hadden tot persoonsgegevens van (oud-)huurders, (oud-)leveranciers en (oud-)medewerkers. Het is niet uit te sluiten dat die gegevens ook door de daders gestolen zijn, maar dit lijkt niet op grote schaal te zijn gebeurd, blijkt uit het onderzoek.

De woningcorporatie schrijft dat het gaat om contactgegevens en financiële gegevens die gebruikt worden bij contact met deltaWonen; de daders hadden mogelijk toegang tot persoonsgegevens en betaalgegevens van huurders, leveranciers en medewerkers. In de privacyverklaring waar deltaWonen naar verwijst in een faq over het datalek, is te lezen dat de corporatie naam, adres, postcode, woonplaats, geboortedatum, telefoonnummer en e-mailadres opslaat. Als er een huurovereenkomst afgesloten wordt, worden er ook inkomensgegevens opgeslagen, zoals een loonstrook en jaaropgave, betalingsgegevens en gegevens over betalingsgedrag en gedrag als huurder.

Om hoeveel en welke gegevens het bij dit datalek gaat, dat zegt deltaWonen niet. In een nieuwsbericht van donderdag schrijft de corporatie dat het ook gaat om oude gegevens, dus niet alleen om gegevens van huidige bewoners, leveranciers en medewerkers. De woningcorporatie verhuurt zo'n 15.000 sociale huurwoningen in de gemeenten Zwolle, Kampen en Oldebroek. De corporatie waarschuwt voor phishing of mogelijk misbruik van de gegevens. DeltaWonen heeft melding gedaan bij de Autoriteit Persoonsgegevens.

Reacties (36)

Als huurder heb ik de mail ontvangen:

Er is digitaal ingebroken in het systeem van deltaWonen
Vorige week hebben wij ontdekt dat er digitaal is ingebroken in het systeem van deltaWonen. We
hebben de inbraak gestopt. Ook zijn we direct een onderzoek gestart.
Dit is een datalek
In ons systeem hebben wij ook gegevens van u opgeslagen. Sommige van deze gegevens kunnen door
de daders zijn ingezien of opgeslagen. Dit is een datalek. Dit hebben wij gemeld bij de Autoriteit
Persoonsgegevens.
Onderzoek toont niet aan dat uw gegevens zijn ingezien
Toch vinden wij het belangrijk om u hierover te infomeren. We kunnen het namelijk ook niet helemaal
uitsluiten.
Het gaat om deze soort gegevens
Bij het datalek zijn deze soorten (categorieën) gegevens misschien gezien door de daders
• Contactgegevens die u met ons heeft gedeeld
• Financiële gegevens die u gebruikt bij uw contact met deltaWonen (of die op u van toepassing
zijn)
Het spijt ons erg dat dit heeft kunnen gebeuren!
Wij hebben helaas niet kunnen voorkomen dat dit is gebeurd. Wel hebben wij direct maatregelen
getroffen om het datalek te stoppen, en toekomstige datalekken te voorkomen.
Pas op voor valse mails, sms en/of valse telefoongesprekken!
Het onderzoek toont niet aan dat uw gegevens ingezien of gestolen zijn. Maar voor de zekerheid vragen
wij u om goed op te letten! Het kan zijn dat daders gaan proberen om meer persoonlijke gegevens van u
te verkrijgen, zoals wachtwoorden of pincodes. Bijvoorbeeld door valse e-mails of per sms-berichten aan
u te versturen. Of door valse telefoongesprekken met u te voeren. Let altijd goed op of het emailadres
van de afzender klopt. En of u het telefoonnummer kent.
Op de achterkant van deze brief geven wij u graag wat tips!

Ik heb een klacht ingediend icm een inzageverzoek. Als blijkt dat men IB40 formulieren of bruto jaar inkomen voor de huurverhoging per jaar langer dan noodzakelijk registreert handelen ze niet in overeenstemming met de AVG. Doe dat icm langer bewaren van legitimatiebewijzen en ze kunnen met deze buit aan gegevens aan de slag met identiteitsfraude. Notabene als woningbouwvereniging van sociale huurders vind ik dat een kwalijke zaak.

Als blijkt dat men IB40 formulieren of bruto jaar inkomen voor de huurverhoging per jaar langer dan noodzakelijk registreert handelen ze niet in overeenstemming met de AVG.

Vragen ze die gegevens niet direct op via de belastingdienst? Doen ze in Dordrecht e.o. namelijk wel en dan niet eens met allerlei extra informatie, hooguit... Dhr/Mevr ....... hebben een totaal gezamenlijk inkomen van .....

[Reactie gewijzigd door DarkForce op 28 maart 2022 23:07]

De Belastingdienst geeft in dat geval alleen aan in welke inkomenscategorie (laag/midden/hoog) een huishouden valt omdat de grenzen daarvan bepalend zijn voor de maximale huurverhoging.

Als blijkt dat men IB40 formulieren of bruto jaar inkomen voor de huurverhoging per jaar langer dan noodzakelijk registreert handelen ze niet in overeenstemming met de AVG. Doe dat icm langer bewaren van legitimatiebewijzen en ze kunnen met deze buit aan gegevens aan de slag met identiteitsfraude.

En dan? Pas als jij hierdoor schade oploopt heb je iets te klagen, tot die tijd is het melden van het datalek en de boete die daarop volgt het enige dat gaat gebeuren.
Daarnaast maakt het niet uit hoe lang ze je gegevens bewaren, als ze dit maar op papier hebben staan en jij hiermee akkoord bent gegaan. Kans is groot dat in je overeenkomst gewoon staat dat ze de gegevens nodig voor het registreren en innen van de huur tot 7 jaar na de afloop van je huurovereenkomst bewaren.
Voor BSN's zitten de regels eigenlijk hetzelfde want die zijn onder de AVG geen bijzonder persoonsgegeven, die hebben alleen de uitzondering dat er een wettelijke basis moet zijn voor het opslaan, maar die heeft een verhuurder wel als ze bijvoorbeeld namens jou gegevens op gaan vragen bij de belastingdienst.

Als er een huurovereenkomst afgesloten wordt, worden er ook inkomensgegevens opgeslagen, zoals een loonstrook en jaaropgave, betalingsgegevens en gegevens over betalingsgedrag en gedrag als huurder.

Zo hier is wel heel veel persoonlijke data gelekt. Ben wel benieuwd wat ze bedoelen met gedrag als huurder, hebben ze het hier dan over hoe jij als huurder gedraagt ?

Misschien hoe vaak je een woningaanbieding hebt geweigerd, of betalingsproblemen bijvoorbeeld?

daar hebben ze betalingsgedrag voor, ook dat wordt apart vermeld. Ik denk inderdaad weigering, maar ook klachten, en hoe jij je gedraagt als bewoner...

Als er een huurovereenkomst afgesloten wordt, worden er ook inkomensgegevens opgeslagen, zoals een loonstrook en jaaropgave, betalingsgegevens en gegevens over betalingsgedrag en gedrag als huurder.

Ja, dat houden ze bij. Als je buren klagen wordt dat genoteerd. Als jij iets hebt wordt dat genoteerd. Ik verwacht beschamende openbaringen als het publiekelijk wordt gemaakt. Bijvoorbeeld als iemand een alcholist is en dat de oorzaak wordt geacht zal dat er in staan. Of iemand een ziekte heeft en dat daar rekening mee moet worden gehouden door de verhuurder. Maar vooral in conflict-dossiers zullen sappige zaken staan.

Misschien kunnen de inbrekers hackers die deze inbraak hack gedaan hebben het niet lezen omdat ze geen Nederlands begrijpen en daardoor niet weten wat ze hebben en zijn ze al blij met emails en wachtwoorden. Of er staan alleen dingen in die geen privacy schade veroorzaken. (haha, yeah right.)

Je kan gewoon google translate gebruiken voor een brakke vertaling, waardoor je enigszins een beeld hebt van wat het is, plus ze braken in een woningcorporatie voor persoonsgegevens, ze wisten waar ze mee bezig hielden, dat met het gedrag is extra buit en kunnen ze meer geld vragen aan degene die zulke phishing praktijken op nahouden of zelfs voor chantage doeleinden... zou mij iig niks verbazen.

[Reactie gewijzigd door PCRaceMASTER op 28 maart 2022 15:31]

Ja.. 'boomering-me' denkt daar niet zo snel aan omdat hij zijn talen spreekt. Zeker Nederlands!
Maar je hebt uiteraard 100% gelijk.

Ben overigens geen boomer, ik ben de dans net ontsprongen maar soms heb ik toch een boomer actie. Die grens tussen boomer en niet boomer is een grijs gebied.

Die grens tussen boomer en niet boomer is een grijs gebied.

I see what you did there

Bij Deltawonen heb je geen wachtwoord. Bericht geving of contact gaat via mail met link of email formulier. Je hebt wel dewoningzoeker waar het inschrijven en loten e.d. plaats vindt. Maar dat is weer een aparte website van meerdere verhuurders bij elkaar als ik het goed begrijp.

Denk eerlijk gezegd dat bij de conflict dossiers e.d. vooral mensen zijn waar als de informatie naar buiten komt niemand er geinteresseerd in is. Zijn sociale huurwoningen.. niet echt waar je een bn'er tegen komt. Als er echt overlast over andere rare dingen gebeuren dat de buurt wel op de hoogte is of het de krant haalt.

Woningcorporaties houden bij welke huurders aggressief zijn om hier speciaal mee om te gaan (geen mensen alleen sturen bij reparaties). Ook worden er vaak overlastdossiers aangemaakt van conflicten die spelen tussen huurders waarbij de corporatie bemiddeld.

Zo hier is wel heel veel persoonlijke data gelekt. Ben wel benieuwd wat ze bedoelen met gedrag als huurder, hebben ze het hier dan over hoe jij als huurder gedraagt ?

Of je vaak betalingsachterstanden hebt, of er meldingen van buren zijn geweest aangaande overlast, eventuele anticedenten. Eigenlijk gewoon van alles en nog wat wat.

Veel verhuurders slaan ook BSN gegevens op, en legitimatie kopieen. Ook kunnen loonstrookjes BSN-nummers bevatten. BSN afgeven bij het huren van een woning
Tegenwoordig is de consument wel privacybewuster, en mag je weigeren: https://www.consumentenbo...n-de-fout-met-id-als-borg

Zowel BSN als Kopietje paspoort mogen door Woningcorporaties niet worden geregistreerd. Woningcoproraties zijn wel verplicht te controleren met wie zij een huurovereenkomst aangaan. Maar na identificatie worden deze documenten verwijderd. Bij de Woningcorporatie waar ik werk hebben wij veel tijd en moeite besteed om geautomatiseerd uit miljoenen documenten de BSN nummers en de eventueel aanwezige kopietjes paspoort te laten verwijderen.

Over het afschermen van een BSN nummer klopt, kopie verwijderen niet:
Klikkerdeklik naar de autoriteitpersoonsgegevens. Kopje "Identiteitsbewijs bij dienstverlening".

Ja, maar dan:

Wanneer hoeft u niets te doen?

bij een huurovereenkomst met een maandelijkse huur van minder dan € 10.000

Men hoeft deze gegevens dus niet op te slaan, men moet wel checken of het klopt, maar opslaan is niet verplicht. En zelfs dan geldt dit in principe alleen voor makelaars en bemiddelaars dus alleen bij professionele verhuur.

"(oud-)huurders, (oud-)leveranciers en (oud-)medewerkers"

Als deze organisatie nou eens al die oud-huurders, oud-leveranciers en oud-medewerkers gewoon zoals het hoort uit hun databases had verwijderd, dan was de schade al wat minder geweest. Tegenwoordig "onthoudt" iedereen ook nog eens alles op aftanse it-systemen terwijl 90% van de data gewoon weg kan.

Voor al die drie de groepen geldt dat ze verplicht zijn om die data te bewaren. De belastingdienst bijvoorbeeld eist dat je betalingsgegevens van medewerkers hebt. BTW van sociale verhuurders is ingewikkeld - ze zijn zelf niet BTW-plichtig, dus de facturen van hun leveranciers moeten niet-verrekenbare BTW vermelden.

Ai. Heel jammer dat niet gedeeld wordt hoe dit plaats vond, zodat anderen hiervan kunnen leren.

Helaas gaat dat beide kanten op. Binnen de woningcorporaties sector zal hier echt wel uitvoerig bij stil gestaan worden.

@glennoo
Naast huisvredebreuk is er ook computervredebreuk. In beide gevallen is dus ingebroken en zijn dat allebei inbraken.

[Reactie gewijzigd door CPV op 28 maart 2022 14:52]

correct, het is de juridische term. Maar we zitten hier op Tweakers.net en ik vermoedt dat de meeste tweakers onder ons een inbraak eerder scharen onder fysieke inbraak en inbraak in een computer systeem eerder scharen onder hacken.

Gekke aanname, ik dacht zelf direct aan een computerinbraak, juist omdat ik op tweakers zit

Ik zat zelf juist aan een fysieke inbraak te denken, ondanks dat ik op Tweakers zit. Google blijkbaar ook, want de zoekresultaten op de eerste pagina bij zoekterm "inbraak" gaan bij mij allemaal over fysieke inbraak.

Het is geen gekke aanname, maar zo kunnen we eeuwig door blijven gaan

[Reactie gewijzigd door AJM94 op 28 maart 2022 21:12]

Goh, dat is ook een manier om hacken te verwoorden. Ik dacht, aan de titel te lezen, dat er fysiek was ingebroken in een pand van hen of iets dergelijks.

Volgens mij mag Tweakers dit gerust een hack noemen.

[Reactie gewijzigd door glennoo op 28 maart 2022 14:42]

Gelijk maar doorgestuurd naar diverse vrienden groepen. Men is zich er niet altijd van bewust dat dit juist voor zeer gerichte phishingaanvallen kan zorgen.

Denk dat z eveel vragen gaan krijgen, er staat namelijk niets over tot hoe ver de gegevens van oud-huurders/medewerkers/leveranciers terug gaan. Nergens, ook niet in de privacy-verklaring is te lezen welke bewaartermijnen ze voor welke gegevens hanteren.

mmm.. en met de opslag van loonstrook of jaaroverzicht hebben ze ook toegang tot je BSN.
Dus ze hebben naam, adres, bsn, bankrekeningnummer, waar je werkt, telefoonnummer.
Dat is genoeg om identiteit diefstal vrij makkelijk te maken.