Amsterdamse Waterleidingduinen meldt datalek met kopers van wandelroutetickets

Hackers hebben gegevens gestolen van bezoekers die tot 2021 een toegangskaart hebben gekocht voor de Amsterdamse Waterleidingduinen. Bij het datalek zijn naam en rekeningnummer gestolen. Waterleidingduinen valt onder Waternet.

Amsterdamse Waterleidingduinen is een natuurgebied waar mensen kunnen wandelen als ze een toegangskaart hebben gekocht. De organisatie die die kaartjes verkoopt, zegt dat in 2021 gegevens zijn gestolen van mensen die via de webshop van Waterleidingduinen zo'n ticket hebben gekocht. De organisatie ontdekte de kwetsbaarheid twee jaar geleden al en zegt deze toen te hebben opgelost.

Destijds wist de organisatie echter niet dat er ook gegevens waren gestolen. Hier kwam de politie onlangs achter, toen drie mannen werden gearresteerd die ervan verdacht worden met hacks de persoonsgegevens van honderden miljoenen mensen te hebben gestolen. Het lijkt erop dat er een verband is tussen deze drie mannen en de hack op de Amsterdamse Waterleidingduinen, maar dit zegt de organisatie niet.

Het is niet duidelijk hoeveel getroffenen er zijn. Het lijkt erop dat alleen kopers die tussen 2015 en 2021 een kaartje hebben gekocht via de webshop, getroffen zijn, omdat de organisatie zegt gegevens na vijf jaar te verwijderen. De organisatie zegt slachtoffers te mailen als het e-mailadres bekend is. Omdat dit mailadres na vijf jaar wordt verwijderd en het datalek twee jaar oud is, kan het zijn dat niet alle slachtoffers gemaild kunnen worden. Waternet, de uitvoeringsorganisatie van de gemeente Amsterdam en het Waterschap Amstel, Gooi en Vecht, zegt aangifte te hebben gedaan en de Autoriteit Persoonsgegevens te hebben ingelicht.

Reacties (44)

[thomas_n]

Het is niet duidelijk hoeveel getroffenen er zijn. Het lijkt erop dat alleen kopers die tussen 2016 en 2021 een kaartje hebben gekocht via de webshop, getroffen zijn, omdat de organisatie zegt gegevens na vijf jaar te verwijderen.

Waarom zouden ze vijf jaar lang persoonsgegevens bewaren van mensen die een toegangskaartje hebben gekocht? Waar hebben ze die gegevens voor nodig?

[phoenix2149]

Belastingdienst? Administratie? Etc etc?

Volgens mij moet je bewijzen waar je inkomsten vandaan komen. Toch?

[Reactie gewijzigd door phoenix2149 op 23 juli 2024 22:45]

[theduke1989]

5 jaar lang?

[SinergyX]

Minimaal ,tot zelfs 7 en 10 jaar voor bepaalde gegevens.

De basisgegevens uit uw administratie, zoals bijvoorbeeld de debiteuren- en crediteurenadministratie, de in- en verkoopadministratie en het grootboek, moet u altijd 7 jaar bewaren.

De belastingdienst mag tot maximaal 5 jaar terug gegevens opvragen, daar zal hun 5 jaar bewaarmoment vandaan komen.

[Reactie gewijzigd door SinergyX op 23 juli 2024 22:45]

[SpiceWorm]

Daar hoeft toch geen email adres in te zitten? Enkel transactiegegeven?

[Polderviking]

Ik kan dat nergens ondubbelzinnig terugvinden, wat er exact onder bewaartermijn valt.
Misschien is dat juist een deel van het probleem.
Als je iets niet hebt wat je wel had moeten hebben dan heb je sowieso gedonder, dus kan me er wel in inleven dat ze dan maar alles bewaren wat ze hebben.
Zeker als je niet van een formaat bent dat je hier specialisten voor in dienst hebt.

[Reactie gewijzigd door Polderviking op 23 juli 2024 22:45]

[magician2000]

Je moet tot 7 jaar terug zaken aan kunnen tonen. Daar zullen ook bepaalde persoonsgegevens onder vallen. Hoe het precies zit, is zoals @Polderviking hieronder ook al aangeeft erg lastig terug te vinden.

Je kunt het namelijk ook nog interpreteren als "tot 7 jaar na oplevering jaarcijfers en belastingaangifte", aangezien dat een logisch moment is dat de periode van bewaring ingaat.

De grote vraag is dan wel of dat allemaal online zou moeten staan en niet in een soort archief dat niet online bereikbaar is.

[ArdjanV]

in de meeste gevallen 7 tot 10 jaar:https://www.rijksoverheid...an%207%20tot%2010%20jaar.

[Gotiniens]

Een supermarkt weet toch ook mijn persoonsgegevens niet? Hoogstens als ik met pin betaal. Waarom
zou een webshop die gegevens wel moeten bewaren?

[Zoop]

Welke webshop van welke supermarkt slaat niet jouw persoonsgegevens op dan? Dat doen ze volgens mij allemaal, over het algemeen als je iets koopt van een webshop, wordt zoiets geleverd op een adres, en heb je dat soort gegevens per definitie nodig.

[Gotiniens]

Ik heb het over als ik bij de supermarkt bij de kassa betaal. En voor tickets heb je mijn fysieke adres niet nodig, na betaling is een download knop met PDF genoeg. Misschien e-mail adres om ze naar toe te sturen maar dat is het wel qua wat nodig is.

[Zoop]

E-mailadres en rekeningnummer zijn ook gewoon persoonsgegevens (welke overigens het meest schadelijk zijn om uit te lekken in een hack), waarom ineens een onderscheid maken tussen dat en een thuis adres (welke niet eens zo boeiend is in een hack)?

Dus wat was je punt nou?

Edit:

Bij het datalek zijn naam en rekeningnummer gestolen

dus niet eens een email, en de naam is vast om op de ticket te kunnen zetten. Echt de minimaalste gegevens benodigd dus. De supermarkt weet al meer van je als je een bonuskaart gebruikt. Dus wederom, wat was je punt?

[Reactie gewijzigd door Zoop op 23 juli 2024 22:45]

[twdikkert]

Dus wederom, wat was je punt?

Mijn punt is in ieder geval dat als ik gewoon een kaartje of boodschappen koop met echt geld, de winkel helemaal geen gegevens van mij nodig heeft. Als ik een kaartje via internet koop moet ik heel veel gegevens verstrekken, die dan ook nog jaren bewaard moeten worden (wet, belasting, moeilijk, moeilijk). Niemand heeft me nog kunnen uitleggen waarom dit verschil er is.

[Gotiniens]

Ik had geen punt, ik had een vraag. Jij legt het misschien beter uit.

Waarom moet een webshop allerlei gegevens van mij bewaren omdat ik iets bij hun gekocht hebt. Terwijl een supermarkt alleen -1 brood, +3 euro bewaart?

[rob12424]

Daar vergis je je in. Vooral met je bonuskaart en shit.

[amigob2]

Als je met pin betaalt krijgt de verkopende partij alleen de laatst 4 cijfers van je bankrekening nummer.

[phoenix2149]

Een supermarkt weet genoeg van ivm betaal gegevens. Enkel als je cash betaald is er geen “paper trail”.

[zarex]

Jup: https://www.rijksoverheid...ele-administratie-bewaren

[HenkEisDS]

Deels, geen rekeningnummers in elk geval. Zie HenkEisDS in 'Amsterdamse Waterleidingduinen meldt datalek met kopers van wandelroutetickets'

[Reactie gewijzigd door HenkEisDS op 23 juli 2024 22:45]

[supersnathan94]

Mag toch hopen dat naam en e-mailadres dan voldoende is toch?

Waarom heeft men in vredesnaam adresgegevens nodig voor mensen die op bezoek komen? Als ik ter plekke een kaartje zou kopen heb je ook alleen een pin transactie en in sommige gevallen zelfs alleen een cash bonnetje.

[janchtw]

Ik denk dat het om jaarkaarten gaat. Die worden je toegestuurd.

[brammetje1994]

Oprechte vraag: Is het noodzakelijk om ook daadwerkelijk voor belastingdienst die gegevens te bewaren?
Als ik iets in een winkel koop hoeven zij ook niet mij met naam en bankrekeningnummer te registeren.

[HermaHemie]

Daar heb je je rekening voor, maar de namen en rekeningen van mensen in een database opslaan voor die reden is onzin.

[Len]

Bedrijven moeten niet zoveel bewaren. Wat is het nut om naam + rekeningnummer meer dan 5 jaar te bewaren?

Als je het moet bewaren, doe het dan op een PC/Server die geen netwerk aansluiting naar buiten heeft.

[zarex]

Nut? Wat dacht je van "het is gewoon verplicht":

Ik quote van de rijksoverheid:

Hoe lang moet ik mijn financiële administratie bewaren voor de Belastingdienst?

Voor particulieren geldt geen wettelijke bewaarplicht. Maar voor naheffingen door de Belastingdienst is het slim om uw administratie 5 jaar te bewaren. Voor bedrijven en zelfstandigen geldt wel een wettelijke bewaarplicht van 7 tot 10 jaar.

https://www.rijksoverheid...ele-administratie-bewaren

[HenkEisDS]

De belastingdienst verplicht je niet om rekeningnummers te bewaren.

In dit geval gaat het om kaartverkoop. Ik ben geen boekhouder, maar als ik het me goed herinner zijn er twee systemen :
- als ze het kassysteem hanteren dan heb je geen facturen maar bonnetjes en die zijn meestal anoniem. Denk winkel met een kassa.
- Als ze met facturen werken, wat volgens mij het meest aannemelijk is, dan moeten ze de volgende gegevens bewaren (via nota bene je eigen link):

• de datum van de factuur
• het nummer van de factuur
• de naam en het adres van de afnemer
• een duidelijke omschrijving van de goederen of diensten die u hebt geleverd
• het aantal geleverde goederen of verleende diensten
• de prijs exclusief btw, uitgesplitst naar btw-tarief
• het te betalen btw-bedrag, uitgesplitst naar btw-tarief

Er is dus geen enkele verplichting om rekeningnummers te bewaren. Dat bedrijven dat wel doen is datahoarding om toekomstige anonieme transacties voor marketingdoeleinden te kunnen koppelen aan bestaande gegevens. Of te weinig incentive om wel actief data te verwijderen (lees wetgeving).

[CivLord]

De lijst die je geeft is geen wettelijk voorgeschreven limitatieve lijst.

Een factuur moet verifieerbaar zijn. De Belastingdienst moet tot vijf jaar terug kunnen controleren of een bepaald ontvangen of betaald bedrag is ontvangen of betaald vanwege de reden die in de boekhouding staat vermeldt. Om dat te kunnen doen moet een factuur aan een betaler of ontvanger te koppelen zijn.

Voor een lading bakstenen is een naam en adres voldoende om de persoon/ bedrijf te vinden die de bestelling heeft geplaatst en te vragen of er op datum X een bedrag Y is betaald voor een lading bakstenen. Dat werkt uiteraard niet altijd, een persoon is naar het buitenland vetrokken of overleden of een bedrijf is failliet, etc. Maar het zal in genoeg gevallen lukken om te controleren of het bedrijf dat gecontroleerd wordt ook inderdaad bakstenen verkocht tegen de prijs die in de boekhouding staat vermeldt.

Voor internetdiensten kan het lastiger zijn. Voor een lading bakstenen die over internet besteld is blijft hetzelfde gelden. Het zijn fysieke producten die ergens afgeleverd moeten worden. Wanneer de leverancier bonafide is zullen genoeg afnemers te traceren zijn. Voor diensten zonder fysieke producten, zoals toegangskaartjes die naar een emailadres gestuurd worden is dat lastiger. Er is geen controle of de Pietje Puk die zegt de kaartjes te bestellen ook daadwerkelijk als Pietje Puk geboren is en als er al een adres gevraagd wordt dan is er ook geen controle of dat adres klopt. Email-adressen zijn ook erg vluchtig en vaak ongrijpbaar. [e-mail] kan je misschien nog via KPN achterhalen, maar providers zijn meestal niet echt happig om die gegevens te leveren. Bij [e-mail] kan je het sowieso vergeten om via Google bij een fysieke persoon uit te komen. Om over [e-mail] maar helemaal te zwijgen. Natuurlijk kan je dan proberen om een email te sturen met het verzoek om gegevens aan te leveren waarmee een bepaalde factuur te verifiëren is, maar wanneer er niet geantwoord wordt, weet je nog niet of het emailadres niet meer actief is, of de ontvanger niet de moeite neemt om te reageren of dat het een nepadres is en dat de verkoop nooit heeft plaatsgevonden.
Wat in zo'n geval wel werkt, is het rekeningnummer waarmee betaald is. Daarmee is de besteller wél te achterhalen. Daarmee wordt het rekeningnummer het enige gegeven waarmee een transactie betrouwbaar is te verifiëren en daarmee een verplicht onderdeel van de te bewaren administratie.

[SinergyX]

Ik sla je simpele punt van 'markteingsdoeleinden' maar even over, die uitleg op de website gaat namelijk verder dan de factuur-verplichting, wat netjes op de vervolglink staat:
https://www.belastingdien...en/administratie_bewaren/

De basisgegevens uit uw administratie, zoals bijvoorbeeld de debiteuren- en crediteurenadministratie, de in- en verkoopadministratie en het grootboek, moet u altijd 7 jaar bewaren

Maar lees de folder eens van de BD zelf.
https://download.belastin...aarplicht_al0401z12fd.pdf

Punt 2.1.2 Stamgegevens is interesant, maar ook verderop genoemde:
Het is belangrijk dat de authenticiteit (herkomst), de integriteit (betrouwbaarheid) en de leesbaarheid van de gegevens gewaarborgd worden

Dan valt en staat alles op jouw inrichting van de administratie, kan je nog de discussie voeren dat voor deze groep 'debiteuren' dit niet geld, maar dat valt en staat op de 'betrouwbaarheid' van deze data.

[HuisRocker]

Onnodig allerlei gegevens bewaren is helaas de norm geworden, als het financieel gunstig is krijgt teveel bewaren altijd voorrang boven het voldoen aan wetten/regels, de pakkans en mogelijke straffen zijn relatief duidelijk te laag. Men zaait daarnaast graag twijfel door te zeggen dat het allemaal zo moeilijk en onduidelijk is. "Echt waar, we moeten voor de zekerheid alles wat we maar hebben bewaren voor de BD, uiteraard ook de rekeningnummers bij de persoonsgegevens!"

Iedereen die een beetje kan zoeken kan in bijna no time onomstotelijk vinden dat 'alles moeten bewaren' echt complete onzin is maar het blijft helaas toch hardnekkig kleven...

Wat @HenkEisDS aangeeft is volledig juist, dat proberen in twijfel trekken met vaag gezwam dat 'vanwege duidelijkheid over de herkomst, betrouwbaarheid en leesbaarheid van de gegevens men natuurlijk veel meer mag/moet bewaren' is echt

[HuisRocker]

Wat was er niet duidelijk aan wat @Len zegt; "naam + rekeningnummer"?

En dan complete BS schrijven omdat de eigen link even lezen blijkbaar teveel moeite is...

'Een bewaarplicht voor rekeningnummers' bestaat niet!

[rvt1]

Nee, dat is zeker niet de oplossing.
Wat je wel moet doen is deze gegevens versleuteld op slaan. Dan maakt het niet meer uit of deze een verbinden wel of niet naar buiten heeft staan.
Uiteraard via private/public key encryptie waarbij je alleen kan ophalen als je de juiste description key hebt, en daar zijn prima systemen voor.

[Mathijs Kok]

Als je het moet bewaren, doe het dan op een PC/Server die geen netwerk aansluiting naar buiten heeft.

En dan aan het einde van de dag met een floppy de nieuwe gegevens toevoegen?

Ik weet het niet hoe het in Nederland zit maar in Duitsland en Frankrijk moet je dit soort sales data gewoon tien jaar bewaren

[Hans C]

De Waterleidingduinen, waar het hier over gaat, hebben ook kaartjes automaten staan. Als je daar een kaartje koopt dan krijgen ze niet de beschikking over je rekeninggegevens, maar over alleen de laatste vier cijfers. Dat zijn ook verkoopgegevens. Als het daar niet voor nodig is, dan is het ook niet nodig om te bewaren voor verkoop via de site.

[HuisRocker]

Nope... De basis-(persoons)gegevens (en het rekeningnummer maakt daar geen deel van uit) die je hebt dien je te bewaren. Van de kaartautomaat is er dus simpelweg weinig te bewaren en van de online verkoop juist wel omdat die gegevens sowieso nodig zijn om toegangsbewijzen online te kunnen verkopen.

[Polderviking]

Als je het moet bewaren, doe het dan op een PC/Server die geen netwerk aansluiting naar buiten heeft.

Hoe zie je dit in de praktijk werken?
Volgens mij kan je dan beter gewoon terug naar archiefkasten met kilometers dode bomen er in. Want een PC ergens is nogsteeds een single point of failure.

[Reactie gewijzigd door Polderviking op 23 juli 2024 22:45]

[basfromasd]

@Hayte het Waterschap Amstel, Gooi & Vecht valt niet onder Waternet. Waternet is de uitvoeringsorganisatie van dit waterschap in een bepaald gebied. Juist op deze dag (verkiezingen voor de waterschappen in Nederland) is dat wel een grappige verschrijving. ;-)

[Hayte]

Bedankt voor je reactie en de mention, ik heb die zin aangepast

[jverd]

@Hayte Toch blijft de zin 'Waterleidingduinen valt onder het waterschap Amstel, Gooi en Vecht.' niet juist.

Het gebied wordt beheerd door Waternet en is door de gemeente Amsterdam 'ingebracht' toen de de stichting Waternet is opgezet. Waternet is in 2006 ontstaan uit waterschap AGV en met het gemeentelijk waterbeheer ('Dienst Waterbeheer en Riolering' en het 'Waterleidingbedrijf Amsterdam'). https://nl.wikipedia.org/wiki/Waternet_(bedrijf). De duinen zijn al ruim anderhalve eeuw oud: https://nl.wikipedia.org/...he_Duinwater-Maatschappij

Ook al heeft waterschap AGV al haar uitvoering ook bij Waternet ondergebracht, een waterschap heeft geen wettelijke drinkwatertaak, dat hoort bij de waterleidingbedrijven. Het natuurgebied hangt van oudsher dan ook aan de drinkwaterpoot van Waternet en valt zeker niet onder AGV.

Je kunt vandaag overigens stemmen over hoe AGV om moet gaan met waterveiligheid (dijken), -kwaliteit en -zuivering (awzi's).

[Hayte]

Ah zo zit het dus, helder! Op de site van Waterleidingduinen zag ik een vermelding van het waterschap, vandaar de verwarring. Bedankt voor je reacties, het artikel is weer aangepast

[rsbroer]

Kreeg ook de email van WATERNET vandaag.

Erg jammer weer, en maar hopen mijn naam + bankrekeningnummer onvoldoende blijken voor frauduleuze activiteiten...

[Schway]

wat een droogte qua waterwoordgrappen zeg!

[Verwijderd]

Ik vind dat ze hun klanten eigenlijk wel op zijn minst een gratis entree mogen aanbieden.
Excuses heb ik niet zoveel aan...

[Sando]

Verbazingwekkend dat al deze gegevens zo lang bewaard worden. Zo'n ticket kost evenveel als twee frikandellen uit de muur en daar hoef ik ook geen belastingformulier voor in te vullen, dus een belastingdienstverhaal daar heb ik zo mijn twijfels bij.

In ieder geval zie ik dit weer als één van de vele argumenten voor het belang om in ieder geval "enigszins anoniem" te kunnen betalen. Ik ben benieuwd wat ze gaan doen met die digitale Euro, want tot nu toe kan ik alleen enigszins anoniem betalen door een pseudoniem aan te maken op het Nederlandse YourSafe.

[William_H]

Tsja, Waternet. Stonden die niet al onder verscherpt toezicht vanwege de ICT zooi die het daar is die nog erger is dan bij de Belastingdienst...?