OM eist celstraf bij tweetal dat data 30.000 NLE- en Budget Energie-klanten stal

Het Openbaar Ministerie eist 12 maanden celstraf, waarvan 4 voorwaardelijk, voor twee 23-jarige mannen uit Zaandam die persoons- en bankgegevens stalen van ruim 30.000 klanten van NLE en Budget Energie. De gestolen data werd doorverkocht.

Het tweetal wordt ervan verdacht te hebben ingelogd bij het bedrijfsnetwerk van Nuts Groep, moederbedrijf van de energiemaatschappijen NLE en Budget Energie. Nuts Groep deed in november 2019 namelijk aangifte, nadat bleek dat er zo'n dertigduizend door klanten ondertekende energiecontracten waren gestolen.

Op deze contracten stonden persoonsgegevens en bankrekeningnummers. Foto's van deze contracten werden via Telegram verkocht. Onderzoek wees uit dat de gegevens werden gestolen via accounts van 'een aantal' Nuts Groep-medewerkers. De politie onderzocht deze accounts en kwam erachter dat er was ingelogd via IP-adressen van de twee 23-jarige verdachten. Eén van deze mannen was werkzaam bij Nuts Groep.

De politie verdenkt de twee verdachten dat ze, vaak buiten werktijd, inlogden op het netwerk van Nuts Groep en zo de data stalen. Dit deden de verdachten volgens de politie via een eigen Nuts Groep-account dat ze hadden omdat één van de verdachten bij het bedrijf werkte, maar ook met accounts van collega's. Hoe ze toegang kregen tot deze accounts, is niet duidelijk. De politie zegt dat ze 'inloggegevens die in goed vertrouwen ter beschikking waren gesteld' misbruikten.

Het is niet duidelijk hoeveel geld het tweetal met hun vermeende activiteiten verdienden. Het OM eist twaalf maanden celstraf, waarvan vier maanden voorwaardelijk. Bij die voorwaardelijke celstraf wil het OM een proeftijd van drie jaar.

Reacties (45)

[Not_Disclosed]

Zijn die 30.000 klanten eigenlijk wel op de hoogte gesteld van de diefstal van hun gegevens?

[DarkFly]

Het lijkt erop dat Nuts Groep het na ontdekking vrij snel netjes aan de klanten heeft gemeld. Zie: https://www.rtlnieuws.nl/...schappij-persoonsgegevens
Hier staat ook (ietsje) meer achtergrond informatie in.

[Reactie gewijzigd door DarkFly op 23 juli 2024 03:34]

[Olaf van der Spek]

Zijn die 30.000 klanten eigenlijk wel op de hoogte gesteld van de diefstal van hun gegevens?

Dat kon niet, want de klantgegevens waren gestolen..

[EchoWhiskey]

Dat kon niet, want de klantgegevens waren gestolen

Om die reden printen wij alle data van klanten op papier en dat wordt elke dag in een kluis gelegd....

[Mijndikketeen]

Jaha

[witstert]

"yes"

What?

Who pays for them to be kept in jail? Or do they have to feed, clean themselves and clean up all mess they make at their own expense?

That is the wisdom of putting convicted person(s) in prison. Who pays for it while they are in a hotel being educated, and educating others, in criminal activities.

The real solution is to deprive the convicted of the ability(ies) to commit similar crimes.

If, however, person(s) are wrongfully convicted, then the "convictor(s)" must be punished.

[IIIIIIIIIIII]

De politie zegt dat ze 'inloggegevens die in goed vertrouwen ter beschikking waren gesteld' misbruikten.
Is het zo moeilijk om ieder een eigen account met beperkte rechten te geven? Een beetje functiescheiding lijkt mij erg belangrijk.

[Reactie gewijzigd door IIIIIIIIIIII op 23 juli 2024 03:34]

[batjes]

Als je op de klantenservice van zo'n bedrijf werkt, is het niet zo heel raar dat je bij contracten kan komen. Want je moet ook contracten kunnen verlengen, aanmaken, inzien voor vragen of whatever.

Je kan als bedrijf wel als een gek alle rechten enorm gaan kaderen, maar dat gaat mensen ook in de weg zitten en dan zoekt men wel omwegen.

Kans is aanwezig dat dat juist gebeurde, dat er een floorwalker of teamleider (ik noem maar wat) wel met rechten bij de contracten kon komen en dat deze accounts dan op de werkvloer uit gemakzucht gedeeld worden.

Helaas moet je als bedrijf in veel gevallen gewoon kunnen vertrouwen op je personeel, zodat ze hun werk goed kunnen doen.

[kodak]

Het is geen kwestie van gewoon kunnen vertrouwen. Er hoort namelijk wettelijk voldoende gedaan te worden om verkeerd gebruik tegen te gaan.

Dat medewerkers omwegen kunnen vinden (wat al niet ongebruikelijk is) is dus eerder een reden om juist strenger te zijn als het om persoonsgegevens gaat. Er staat in het artikel dat de medewerkers vaak buiten werktijd in logde om die gegevens te kunnen stelen. Dat klinkt niet alsof er voldoende is gedaan om problemen te voorkomen of dat op tijd te doen. Het klinkt meer als weer te weinig aandacht hebben voor beschermen van klanten voor eigen gewin.

[Reactie gewijzigd door kodak op 23 juli 2024 03:34]

[J_van_Ekris]

Het is geen kwestie van gewoon kunnen vertrouwen. Er hoort namelijk wettelijk voldoende gedaan te worden om verkeerd gebruik tegen te gaan.

Zolang je niets weet zijn dit allemaal aannames waarbij je er blind vanuit gaat dat de Nuts groep zijn zaken niet op orde heeft. Maar als callcenter medewerkers gewoon toegang tot die data moeten hebben (want 90% van de calls zal wel over het contract of de daaruit volgende rekening gaan, omdat bij zo'n partij eigenlijk het enige is wat ze doen in de waardeketen), dan gaan die mensen die informatie zien. En dan is maar de vraag of je technisch kunt voorkomen dat ze screendumps, screenshots of andere trucs kunnen uithalen. Dus de aanname dat zo'n Nuts groep DUS nalatig is geweest is veel te kort door de bocht.

[sympa]

De meeste callcenters stellen controlevragen. Uw postcode en geboortedatum. Als het systeem niks kan oplepelen zonder de controlevragen voorkom je toch ook misbruik?

[kodak]

Er staat in het artikel dat het bedrijf de medewerker buiten werktijd mogelijkheid gaf om meerdere keren die persoonsgegevens te gebruiken. Hoe lijkt je dat dan wel voldoende doen om die persoonsgegevens te beschermen? Want buiten werktijd is niet zomaar wel geschikt om dit mogelijk te maken of meerdere keren te laten gebruiken.

[J_van_Ekris]

Er staat in het artikel dat het bedrijf de medewerker buiten werktijd mogelijkheid gaf om meerdere keren die persoonsgegevens te gebruiken.

Want jij wil tijdsgebaseerd mensen op systemen toelaten? Je kunt de discussie voeren dat het raar is dat callcenter medewerkers in 2019 van huis uit konden werken, maar zonder inzicht in de werkwijze van Nuts groep, kan dat eigenlijk best normaal zijn (sommige callcenters zijn eigenlijk een vezameling thuiswerkers). Je doet allerlei aannames over wat normaal is in dat bedrijf zonder te weten hoe het bedrijf van binnen werkt.

[kodak]

De discussie is dat er duidelijk een verschil tussen werktijd en buiten werktijd staat. Buiten werktijd noemt men niet zomaar. Dat is tijd dat het gewoonlijk niet de bedoeling is om nog bij die gegevens te komen. En kunnen er vast redenen zijn dat iemand dat makkelijk kan vinden, maar dat heeft niet zomaar de betekenis dat het redelijker is dat dan mogelijk te maken als dat eigenlijk geen werk is. Ik lees hier nergens dat hier buiten werktijd wel werktijd was, of dat er zelfs werk is gedaan. Ja dan mag wel meer verwacht worden dan het is makkelijk. Verwerken van persoonsgegevens gaat niet om makkelijk, daar is de wet duidelijk over.

[J_van_Ekris]

Verwerken van persoonsgegevens gaat niet om makkelijk, daar is de wet duidelijk over.

De wet is daar absoluut niet duidelijk over, want de werkbaarheid in een praktische situatie is wel degelijk een argument, zeker voor de wet. Ja je moet met "Security by Design" werken, maar je moet ook gewoon je werk kunnen doen. En als dit mensen zijn die routinematig hulp bij contracten bieden, of ze afsluiten, dan hebben ze rechtmatig gewoon toegang tot deze informatie.

Er staat "buiten werktijd", maar was dat hun werktijd of was dat de normale werktijden van de Nuts groep? Dit maakt uit omdat bij helpdesks regelmatig sprake is van meerdere shifts, zeker voor mensen met een "Webcare" positie. En zelfs al heb je maar een dienst, er zijn maar weinig bedrijven die rucksichtloos om 18:00 de VPN's uitknallen omdat dan de werkdag er op zit.

En dan is het de vraag of monitoring dit soort extracurriculaire activiteiten heeft opgepikt en de juiste mensen heeft gealarmeerd (wat heel goed volgens een IB beleid kan, en ook bij een AP erg goed te verdedigen is, blijkens de casus HagaZiekenhuis). Er staat namenlijk nergens hoe men die datadiefstal op het spoor gekomen is, en het kan dus gewoon gebeuren dat men deze criminelen wellicht gewoon intern betrapt heeft. En dat is volgens de huidige jurispidentie voldoende.

[Reactie gewijzigd door J_van_Ekris op 23 juli 2024 03:34]

[kodak]

Werkbaarheid kan een argument zijn, maar niet zomaar. Ik ben het met je eens dat er veel niet duidelijk is, maar het lijkt me te makkelijk om zomaar te doen alsof een bedrijf waar het medewerkers van waren dus maar voldoende heeft gedaan.

Dat er een detail staat is niet zomaar te negeren als irrelevant, want dan kunnen we net zo goed geen details gaan accepteren. Dan lijkt het me dus redelijker om meer vertrouwen in dat detail te hebben, in plaats van zomaar er aan te gaan twijfelen.

Ook lijkt het me niet redelijk om zomaar te gaan stellen dat misschien iest uiteindelijk eens ontdekken volgens jurispudentie hier voldoende zou zijn. Dat hangt van de omstandigheden af. Omstandigheden die, zoals je zelf stelt, niet duidelijk zijn. Dan kan je die twijfel niet gaan gebruiken om op wat je kennelijk als mening over mogelijkheden niet bevalt kritiek te hebben, maar die zelfde twijfel dan wel te gebruiken om stellig te doen alsof het voldoende is.

Het is prima dat er verschillende meningen zijn over wat voldoende zou zijn, maar het lijkt me in ieder geval niet redelijk om hier aan te nemen dat het bedrijf voldoende gedaan heeft. Dat zal dan toch ergens uit moeten blijken als het bedrijf hoort te zorgen dat die persoonsgegevens bij ze veilig zijn. En tot nu toe blijkt dat helaas niet, er blijkt dat de gegevens juist niet veilig bij ze waren.

[J_van_Ekris]

Dan kan je die twijfel niet gaan gebruiken om op wat je kennelijk als mening over mogelijkheden niet bevalt kritiek te hebben, maar die zelfde twijfel dan wel te gebruiken om stellig te doen alsof het voldoende is.

Ik ben van mening dat je bij onduidelijkheid niet maar blindelings moet gaan aannemen dat het niet geregeld is en een bedrijf beginnen op te knopen. In Nederland ben je onschuldig tot het tegendeel bewezen is, en ik heb niet de indruk dat de AP hier een acute noodzaak tot onderzoek gezien heeft (ondanks dat het OM duidelijk wel een zaak ziet tegen de individuen).

[kodak]

Dit is een datalek bij het bedrijf, daar is hoe dan ook iets mis gegaan met beveiliging. Dat we het misschien niet eens kunnen zijn met wat ze hadden kunnen doen wil niet zeggen dat er bij overtreding dus maar geen twijfel kan zijn of ze genoeg gedaan hebben. Twijfel is niet zomaar hetzelfde als beschuldigen. Als we niet willen dat die twijfel bij wetsovertreding besproken kan worden dan kunnen we net zo goed stoppen er van te leren en overtredingen te voorkomen.

Dat we de toezichthouder niet horen is helaas geen goed uitgangspunt. Die doet zelden onderzoek naar mogelijke misstanden. Excuus daar is al jaren te weinig geld en andere prioriteiten. Er is dus discussie nodig of het bedrijf wel genoeg gedaan heeft. Want dit is geen probleem waar alleen het belang van het bedrijf of medewerkers telt. Dit gaat om duizenden personen.

[vanstra]

Om die reden hebben veel bedrijven een protocol, nda en/of bedrijfsreglement die een medewerker ondertekent.

[kodak]

Ondertekenen is duidelijk alleen niet genoeg. Het gaat steeds mis door denken het te kunnen afschuiven en zo min mogelijk zelf verantwoordelijkheid te nemen om er zelf gemak van te hebben. Daarbij heb je er vooral na ontstaan van problemen misschien iets aan, terwijl de eis is om problemen met persoonsgegevens daadwerkelijk vooraf te voorkomen.

[Kevinp]

Dat staat hier toch los van?

Juist door dit soort opmerkingen. Dan moet het bedrijf het maar verbeteren wordt alles duurder en onzinning moeilijk.

Mensen moeten zich gewoon gedragen. En als ze dat niet doen dan moeten ze gestraft worden. Hoe hoog die straf dat is voor de rechter.

Maar laten we nooit de schuld bij een ander neerleggen. Straks moet elke helpdesk medewerker met z'n tweeen zijn omdat het een keer mis is gegaan. Nee dank je.

[kodak]

Het staat hier niet los van. Er is namelijk niet zomaar wetgeving die over persoonsgegevens juist bedrijven verplicht om die gegevens te beschermen.

Er staat niet in de wet dat medewerkers er dus maar zomaar bij moeten kunnen omdat het handig is of omdat medewerkers liever hebben dat ze maar vertrouwd worden omdat ze dat zelf beter uit komt. Er staat ook niet in de wet dat bedrijven die extra kosten of moeite dus maar door moeten berekenen of dat je bij dat bedrijf klant moet blijven. Gedragen is dus ook een kwestie van je eigen belangen niet doordrukken of voorop stellen om wettelijke eisen daarmee maar niet belangrijk te vinden.

Medewerkers en bedrijven bleken al keer op keer niet zomaar te vertrouwen met die persoonsgegevens, omdat ze eigen belangen voorop stellen. Dan kan je dus verwachten dat je met strengere regels te maken krijgt om die klanten wel te beschermen. Misschien maakt dat je werk minder leuk, maar waarschijnlijk heeft een bedrijf en medewerkers dan helaas weer niet de juiste instellingen om wel met persoonsgegevens om te kunnen gaan.

[J_van_Ekris]

Ik denk dat je onrealistische verwachtingen hebt. Als mensen voor hun werk informatie over de klant moeten hebben, dan moeten ze die ook krijgen. En in de opzet van een informatiebeveiligingsbeleid mag je er ook redelijkerwijs vanuit gaan dat eigen medewerkers geen criminele bedoelingen hebben. Bij je risico-inventarisatie kun je het er over hebben (scenario "ontevreden medewerker"), maar de conclusie kan heel goed zijn dat je er niets tegen kunt doen omdat mensen hun werk moeten kunnen doen en je niet kan voorkomen dat ze screenshots met hun telefoon maken.

Suggereren dat je technisch 100% waterdicht dit soort lekken kunt voorkomen is gewoon onzin. Je zult op een gegeven moment mensen moeten vertrouwen.

[Reactie gewijzigd door J_van_Ekris op 23 juli 2024 03:34]

[kodak]

Ik lees hier geen suggesties dat het 100% veilig moet zijn. Dus dat is geen argument.

Zomaar stellen dat er onrealistische verwachting is als het gaat om het verschil tussen alleen maar eigen voordelen noemen en dat de wet eisen stelt aan beschermen en niet aan eigen wensen lijkt me ook niet redelijk. Het punt is dat er hier niet zomaar voldoende door het bedrijf lijkt te zijn gedaan en de argumenten niet lijken te gaan om echt die persoonsgegevens willen beschermen.

[sympa]

Als ik een helpdesk bel stelt men mij een aantal controlevragen. Geboortedatum, postcode, vervaldatum van de bankpas.
Lijkte heel effectief tegen het leeghengelen van de lijst van accounts.
Al kan ke op deze manier nog steeds een handtekening vinden die bij een al gestolen dataset hoort. Maar een handtekening lijkt me niet relevant voor een medewerker op het callcenter.

[Tintel]

Mensen moeten zich gewoon gedragen

Mee eens. Maar het gaat verder dan enkel stellen dat ze gestraft moeten worden als ze dit niet doen. Want dat kost veel moeite en het leed is dan al geleden.

Het probleem in de huidige maatschappij is twee-ledig. We zien dat veel hooggeplaatste figuren binnen de overheid en het bedrijfsleven zich ook niet gedragen en daar mee wegkomen en ook nog eens goed wat geld mee naar binnen harken.
Dus slecht voorbeeld is reden 1.
Vervolgens zijn er veel mensen die niet veel geld hebben - die ongelijke verdeling is inmiddels wel duidelijk. Dit is de tweede reden. En het vervelende is dat deze twee redenen elkaar lijken te versterken - rijke figuren komen veel vaker weg met slecht gedrag en worden dus ook telkens rijker.

Dat maakt dat mensen zich eerder niet gedragen. Niet dat het daarme goedgepraat wordt. Maar om dat foute gedrag te voorkomen moet de maatschappij als geheel eens worden herzien denk ik.

[Muna34]

Ik weet niet of bekend was welke functie de verdachten hadden binnen het bedrijf? Daarnaast kunnen wij ook niet weten of ze dit misschien wel hebben.

[Verwijderd]

Daarbij doe je de aanname dat ze de toegang niet nodig hadden, wat eigenlijk niet duidelijk wordt uit de tekst.

Volgens mij is dit ook gewoon net iets te letterlijk overgenomen uit documenten rond een strafzaak, waarbij dit soort taalgebruik een stuk meer normaal is. IANAL maar ik kan me voorstellen dat dit vrij standaard is wanneer een medewerker zijn toegang misbruikt, puur omdat die schending van wat jij mag doen met je account moet worden bewezen.

Conclusie is volgens mij dat je op basis van dit artikel heel weinig stenen muren emoji's kunt plaatsen, omdat je geen idee hebt wat deze beste man deed bij het bedrijf. Was hij de schoonmaker ben ik heb met je eens, maar wellicht had hij prima toegang mogen hebben en is de functiescheiding prima geregeld. Met de informatie die hier staat kun je daar simpelweg niks over zeggen.

[mphilipp]

Uit het verhaal blijkt helemaal niet hoe dat gegaan is. Het kan ook een lekker dom verhaal zijn geweest 'shit, mijn account is gelockt, mag ik jouw logon even, ik moet een case afhandelen'. Zo kan dat zomaar gegaan zijn. Iedereen weet dat dat natuurlijk heel fout is, maar zo gaat het in de praktijk wel vaker.

[wica]

Ook een persoonlijk account wordt te goede vertrouwen ter beschikking gesteld aan een medewerker., om je werk te kunnen doen. Als jij vervolgens hele databases met klant gegevens gaat downloaden, dan maak je misbruik van je account.

[Floort]

Je hebt in de praktijk eigenlijk altijd een gat tussen wat je technisch kan doen met de autorisaties die je hebt en wat je wettelijke of beleidsmatig mag doen met die toegang. Zo mag je bijvoorbeeld gegevens lezen, maar niet de gegevens fotograferen en doorverkopen. Of je mag de gegevens inzien van de klant die je helpt, maar het systeem kan niet vaststellen welke klant je help omdat je bijvoorbeeld in een fysieke winkel werkt dus moet je bij de gegevens van elke klant kunnen. Daarom moet bij beveiliging ook altijd rekening gehouden worden met logging en control op misbruik zodat misbruik in ieder geval zo snel mogelijk wordt opgemerkt.

[MrFax]

Je kan op zich wel rechten geven aan belangrijke mensen, alleen moet alles gelogd worden en waarschuwingen gestuurd moeten worden wanneer iemand iets benaderd buiten zijn of jaar functie, en dat diegene moet verantwoorden waarom dit is benaderd. Zo kan er namelijk direct worden ingegrepen bij verdachte situaties. Vaak is het zo dat als er zon groot rechtenstructuur gebouwd zou worden, dat het een groot bureaucratisch probleem wordt en het wekenlang kan duren voordat iemand bij data kan waar die toegang tot nodig heeft. In bijv. de zorg is dit toch niet zo handig dat legitieme toegang zolang kan duren. Het ligt echt aan het soort bedrijf of dit wel toepasselijk is.

Achteraf verantwoorden is gewoon veel sneller. Loggen en 24/7 controle is gewoon echt een must bij grote bedrijven. AI zou hier ook op toegepast kunnen worden om de logs te controleren op verdachte situaties.

[Reactie gewijzigd door MrFax op 23 juli 2024 03:34]

[witstert]

If that is the case, then the person(s) who provided the access and those who designed such a poorly protected system are complicit and must be liable to compensate the victims.

[G_Dragon]

Dan vind ik persoonlijk 8 maanden nog best wel laag of zie ik dit verkeerd? Want ze hebben flink wat schade aangericht voor NLE en Budget Energie. Vraag mij alleen nog wel af wat er volgens met de doorverkochte gegevens van die klanten werd gedaan of waarvoor ze het hebben gebruikt

[JohanNL]

De financiële schade wordt toch doorgaans nog buiten het OM en justitie afgehandeld, dus die rekening kan nog komen
Iets als een massaclaim van de desbetreffende gedupeerden waarvan hun gegevens zijn gestolen is ook niet ondenkbaar.

[Kevinp]

Voor NLE/Bugdget energie vind ik dat jammer. Maar die hebben wel daadkracht om er iets tegen te doen. Maar wat kan er gebeuren met deze gegevens van jou/mij in de verkeerde handen? Oftewel wat is de schade van de klanten?

[witstert]

Who pays for them to be kept in prison? The rest of the population? Therefore, the number of victims is increased to all those contributing towards the maintenance of the prison(s).

There are a myriad of questions arising from this crime and it is only the answers to those questions that will ensure justice for ALL.

[Stijnvi]

Waarom is het mogelijk voor medewerkers om buiten werktijd bij klantgegevens te komen?
Er is toch geen enkele reden waarom dat mogelijk zou moeten zijn?
En het lijkt me niet al te lastig voor een groot bedrijf om een tijdsbeperkingen op de accounts te zetten.

[jongetje]

Ik weet niet of jij bij een groot bedrijf werkt maar hoe zie jij dat als eenvoudig? Dan moet je het planningssysteem van het callcenter zo strak inregelen dat alle diensten en extra diensten er in staan. En dit koppelen aan het account en deze elke keer op inactief zetten als de werktijd voorbij is? En dan zit die callcenteragent 1 minuut over de werktijd nog aan de telefoon met een klant en vliegt het systeem dicht.

Je kunt ook te hard rijden op de snelweg of op een minder legale manier aan een film komen.

Het is makkelijk roepen dat het technisch onmogelijk moet zijn dat dit kon, maar dan maak je het wel enorm complex. Ik heb als beheerder van dergelijke systeem ook bij alle gegevens gekund. Anders kom ik mijn werk simpelweg niet doen.

[Stijnvi]

Dan moet je het planningssysteem van het callcenter zo strak inregelen dat alle diensten en extra diensten er in staan.

Dat lijkt me toch sowieso de bedoeling van een planningsysteem?

En dan zit die callcenteragent 1 minuut over de werktijd nog aan de telefoon met een klant en vliegt het systeem dicht.

Daar kan natuurlijk een marge voor worden ingebouwd

En tijden kunnen ook sowieso gelimiteerd worden tot openingstijden van het callcenter

Maar het systeem moet toch ook gewoon gelimiteerd kunnen worden tot het netwerk van het callcenter
Op die manier voorkom je automatisch dat medewerkers die niet aanwezig zijn (en dus in principe ook niet aan het werk) niet in het systeem kunnen

[witstert]

To build in all the possible restrictions takes "person" hours and that requires the contractor/employee to be remunerated. Where does that money come from? Trees, NO! Profit margins, YES! Profit margins=Investors ROI. Lower ROI=fewer investors=less spent on website security.

[Accretion]

Ik heb ooit een account aangemaakt bij Budget Energie, maar zelfs zonder ooit zaken met ze te doen leek het onmogelijk om dit account te (laten) verwijderen.

De klantenservice wou niet meewerken en op mijn officiële verzoek hebben ze nooit gereageerd.

Ze kunnen beter de directie van Budget Energie een celstraf geven.

Die geven niets om jou privacy en als je kijkt naar het salderen per periode (niet per jaar), zijn het eigenlijk ook gewoon criminelen.

[witstert]

Your data. Did you approach your Data Protection Authority for its advice?

[beerten]

Wat heeft salderen te maken met diefstal van data door personeel?