Oud-medewerker KPN krijgt celstraf voor delen klantgegevens met criminelen

Een 21-jarige oud-medewerker van KPN is veroordeeld wegens medeplichtigheid aan onder meer helpdeskfraude omdat hij klantgegevens had doorgegeven aan criminelen. De rechter heeft de man een celstraf van 28 maanden opgelegd, waarvan 8 maanden voorwaardelijk.

Tussen 28 februari 2023 en 22 april 2024 heeft de man een lijst met gegevens van 679 klanten verspreid in meerdere Telegram-groepen, vermeldt de uitspraak van de Rechtbank Amsterdam. Ook heeft de voormalige KPN-medewerker 600 foto's van persoonsgegevens geplaatst in die groepen. Voor het delen van de gegevens heeft hij drie tot vier keer 200 euro ontvangen, verklaart de man.

De politie kwam hem op het spoor na een melding dat een KPN-klant op leeftijd was bestolen van haar geld en sieraden. Daarvóór was ze door een zogenaamde KPN-medewerker gebeld. In het bedrijfssysteem kon KPN de telefoongesprekken van deze medewerker met het slachtoffer niet terugvinden. Daarop heeft KPN onderzocht welk account van de helpdeskmedewerkers de gegevens van het slachtoffer in het klantensysteem OMNI had opgezocht. Toen bleek het te gaan om de verdachte.

Uit nader onderzoek van KPN bleek dat de man grote hoeveelheden klantgegevens in OMNI had opgezocht, voornamelijk van hoogbejaarde klanten. De telecomprovider heeft de getroffen klanten geïnformeerd en kreeg daarop 26 meldingen binnen van '(bank)helpdeskfraude of pogingen daartoe'.

De oud-medewerker is al een keer eerder veroordeeld geweest voor vermogensdelicten. De man functioneert op licht verstandelijk beperkt niveau, wat hem volgens de rechtbank 'beïnvloedbaar' maakt. Daarom heeft de rechtbank bijzondere voorwaarden opgelegd die de reclassering adviseerde. Zo moet hij zich onder meer ambulant laten behandelen door een forensische zorginstelling en mag hij geen contact hebben met zijn medeverdachten.

Aanvulling: Paragraaf over eerdere veroordeling toegevoegd.

Reacties (119)

[thomasv]

20 maanden celstraf terwijl je indirect medeplichtig bent aan in ieder geval die ene beroving, het had wel wat meer mogen zijn.

[Ridicuul]

De nuance die in dit artikel nog ontbreekt is dat de dader op (licht) verstandelijk beperkt niveau handelt en om deze reden aanvullende voorwaarden heeft gekregen, waaronder een behandeling door een forensische zorginstelling.

Dit is allemaal meegewogen door de rechtbank, waardoor de gevangenisstraf wat lager uitvalt dan je wellicht zou verwachten.

[thomasv]

Dat soort informatie geeft de straf wel wat meer context inderdaad. Wat betekend dit overigens over verantwoordelijkheid in deze kwestie, is een deel gezien deze context dan ook KPN te verwijten of niet?

Juridisch nogal een lastige afweging gok ik

[wildhagen]

Wat zou KPN te verwijten zijn dan? Zij hebben deze informatie toch niet doorgespeeld, dat heeft deze crimineel gedaan?

Toen het aan het licht kwam heeft KPN dus ook een intern onderzoek ingesteld, en naar aanleiding daarvan de politie geïnformeerd zodat die het over konden nemen.

Wat had KPN nog meer kunnen/moeten doen dan?

[thomasv]

Een betere controle of restrictie op de (hoeveelheid) toegang tot informatie op voorhand wellicht? Ik zei al juridisch een lastige afweging maar misschien überhaupt een lastige afweging. Je moet als medewerker wel bij informatie kunnen om je werk uit te kunnen oefenen.

Wat KPN heeft gedaan nadat het aan het licht kwam is overigens precies zoals het hoort te gaan. Hopelijk handelen andere bedrijven in een soortgelijke situatie ook zo actief.

[Frame164]

Hoe ver wil je daar in gaan? Er wordt nu al immens geklaagd als een medewerker niet direct kan helpen. Meer restricties betekent dat klanten nog vaker moeten wachten, terugbellen etc voordat een persoon met de juiste rechten iets heeft kunnen checken. Het moet wel een werkbare situatie blijven.

Een ander aspect van meer restricties is dat de personeelstevredenheid van de rest van het personeel daar ook onder lijdt. Als werkgever geef je dan immers een signaal af dat je je medewerkers niet vertrouwd. Waarom zou je voor een bedrijf willen werken dat z'n medewerkers niet vertrouwd?

[teacup]

In een normale helpdeskworkflow benadert een helpdeskmedewerker klantengegevens pas na een verificatie met de klant van id-informatie en soms moet de medewerker daar bovenop expliciet accoord aan de klant vragen om inzage.

Een detectie dat informatie buiten de scoop van een helpdeskcontact is opgevraagd zou daarom met goede kennis van de workflows moeten zijn op te tuigen. Of het systeem dan meteen geen toegang zou moeten bieden is voor mij even een vraag. Een vier ogen principe dat om afwijkende redenen toegang nodig is zou ook al waarborg bieden. Maar registreren en detecteren zou wel moeten wat mij betreft. Dan is er ook geen gebeurtenis bij een klant nodig om zo'n zaak aan het rollen te brengen.

Edit: laten we ook bedenken dat zo'n systeemoplossing niet alle risico's afdekt. De verdachte had ook on the fly tijdens zijn werk met klantengegevens van potentiële slachtoffers kunnen noteren. Dan had hij volledig onder de radar van wat voor controleloop dan ook kunnen werken. Zo had hij minder gevallen tegelijk kunnen verzamelen, dat wel.

[Reactie gewijzigd door teacup op 17 augustus 2024 07:32]

[CivLord]

En hoe gaat die verificatie met de klant?
Je vraagt een paar gegevens, zoals NAW/ geboortedatum en leest van het scherm af of die gegevens overeenkomen met wat de klant zegt.

En hoe geeft die klant expliciet akkoord voor inzage?
Je vraagt aan de klant of je de gegevens in mag zien en de klant zegt "Ja".

Er is geen enkele belemmering voor de helpdeskmedewerker om te doen alsof dat heeft plaatsgevonden en bepaalde gegevens te raadplegen.
Automatische detectie werkt ook niet. Wanneer ik bel voor mijn vaste internetverbinding, kan ik bellen met mijn mobiele telefoon van een andere provider of met de telefoon van een ander (omdat mijn vaste lijn er ook uit ligt, en er zijn nog relatief veel ouderen voor wie hun vaste telefoonlijn nog steeds hun primaire telefoon is en bij wie een mobieltje ergens in een la met een lege batterij ligt te verstoffen).

[teacup]

Sommige gesprekken worden opgenomen, maar dat is steeksproefsgewijs verwacht ik. We moeten er vanuit gaan dat er geen record is van de daadwerkelijke gesprekken.

Waar ik wel een record van verwacht is welke helpdeskmedewerker interactie heeft gehad met welke klant. Mijn indruk tenminste is dat dit gelogd wordt omdat medewerkers hebben kunnen refereren aan eerdere interactie die ik met andere medewerkers heb gehad. In principe heeft KPN dus gegevens van medewerker-klanten interacties en gegevens van accesses van klantengegevens. Voor analyse kunnen die twee met elkaar worden vergeleken.

Dit vergelijken is altijd achteraf gepraat. Of zo'n vergelijking zin heeft staat of valt met de acties die een bedrijf als KPN koppelt aan de informatie die eruit komt, en hoe vlot actie wordt genomen.

[CivLord]

Dat zijn hele goede methodes om achteraf iets te controleren, wanneer je al het idee hebt dat er iets niet pluis is. Maar als signaal dát er iets niet pluis is zit er té veel ruis in en zullen er te veel false-positives tussen zitten.

[CPM]

Het systeem is ook zo te maken dan de gegevens die aan de klant worden gevraagd ingevoerd moeten worden en dan dienen als verificatie voor verdere (vooraf bepaalde) toegang tot extra gegevens.

[jochemd]

Hoe ver wil je daar in gaan?

Als mensen bij wie dat niet in het functieprofiel past buiten werktijd data inzien moet er een lampje gaan branden en moet de desbetreffende medewerker de eerstvolgende werkdag uitleg geven bij de leidinggevende. Blijkens het vonnis heeft deze crimineel de data deels om 5 uur 's ochtends verzameld waarbij specifiek gezocht werd naar geboortejaren in de jaren 30 en 40. Past dat bij het functieprofiel van een helpdesk medewerker?

[ninjazx9r98]

Want 5 uur in de ochtend is buiten werktijd? Het wordt niet direct duidelijk hier waar deze persoon precies gewerkt heeft maar de klantenservice van KPN is 24x7 beschikbaar.

[ANdrode]

Die zoekfunctie op geboortejaar lijkt mij überhaupt overbodig.

De audit logging is dan weer wel goed geïmplementeerd

[MxMayne1]

Hij had ook makkelijk kunnen zoeken op postcode+huisnummer. Als je dat van een verzorgingshuis doet heb je ongetwijfeld 90% hoogbejaarde. Wie zegt dat hij zegt op geboortedatum.

[CivLord]

In een verzorgingstehuis zullen minder mensen zitten die nog zelfstandig hun financiële zaken regelen.
Maar wanneer je bv. op postcode zoekt van de aanleunwoningen rond een verzorgingstehuis zal je meer 'goede' potentiële slachtoffers vinden.

[thomasv]

Aangszien ik het niet met je oneens ben maar van mening ben dat er best wel wat manieren zijn die het wel werkbaar zouden kunnen houden en op voorhand dat extra stukje controle kunnen zijn:

1. Als ik bel of mail krijgt medewerker die mijn ticket oppakt toegang tot mijn gegevens. Dit is uiteraard een zeer restrictieve vorm en dus wellicht ongewenst omdat er vast een hoop randzaken en uitzonderingen te bedenken zijn waarom iemand wel ergens bij moet (maar voor 1e lijns callcenter medewerkers misschien prima werkbaar).

2. Als een medewerker gegevens probeert op te vragen voor een klant die niet belt of mailt etc. en hij/zij doet dit vaker dan x drempelwaarde per y tijdseenheid, stuur dan een bericht naar diens leidinggevende om navraag te doen hoe en wat, zonder directe restrictie op de informatie maar wel het overkoepelende stukje verantwoordelijkheid als bedrijf zodat een iemand niet zomaar copy all doet.

[CivLord]

Wat als ik problemen heb met telefoonlijn en dus met de telefoon van een ander bel (of ik bel voor mijn vaste aansluiting met mijn mobiele telefoon van een andere aanbieder). Dan kan er al geen automatische koppeling worden gemaakt met inkomende beller en klantgegevens.
Wanneer ik ook mijn klantnummer niet bij de hand heb, zal er toch op basis van andere gegevens (NAW, etc) in de systemen gezocht moeten worden. Dan is er geen enkele controle mogelijk of de gegevens die opgezocht worden wel bij een beller horen.

Wanneer in dat soort gevallen boven een X-aantal een seintje naar manager gaat, maak je alleen die manager maar gek (en de hepldeskmedewerkers die onder hem werken). Dan komt die manager met een lijstje opvragingen naar een helpdeskmedewerker toe en die moet van een dag met tientallen telefoontjes nog weten waarom hij Pietje P. of Jan J. heeft opgezocht? Die lijstjes worden dus heel snel genegeerd.
En veel makkelijker is het om te proberen onder dat X-aantal te blijven. Elke dag één slachtoffer opzoeken en je hebt er na een maand al een stuk of twintig.

En wanneer je weet dat je opvragingen in de gaten gehouden worden, doe je gewoon geen extra opvragingen. Dan wacht je gewoon af tot je bij je normale helpdeskwerkzaamheden met iemand te maken krijgt die een makkelijk slachtoffer is. Ik denk dat ouderen al oververtegenwoordigd zijn onder de bellers van de helpdesk, dus dat zal niet lang duren voordat je een 'voorraad' slachtoffers hebt gevonden.

[J_van_Ekris]

Meer restricties betekent dat klanten nog vaker moeten wachten, terugbellen etc voordat een persoon met de juiste rechten iets heeft kunnen checken. Het moet wel een werkbare situatie blijven.

Dat is inderdaad het fundamentele probleem met helpdesks. Die mensen moeten wel je probleem enigzins kunnen oplossen, en dus moeten ze bij data kunnen.

Een ander aspect van meer restricties is dat de personeelstevredenheid van de rest van het personeel daar ook onder lijdt. Als werkgever geef je dan immers een signaal af dat je je medewerkers niet vertrouwd.

Dat is een stuk perceptie waar ik heel veel moeite mee heb. Als bedrijf kun je ook stellen dat mensen met gevoelige informatie werken, en dat je door dataminimalisarie mensen juist beschermd tegen onterechte beschuldigingen en stress als er een rotte appel tussen blijkt te zitten. In heel veel beroepen waar routinematig met gevoelige informatie wordt omgegaan, is afschermen van informatie geen blijk van wantrouwen naar de werknemer, maar neem je hem in bescherming (hoe minder je kan weten, hoe minder je verweten kan worden).

[MadMarky]

Ik citeer:

De oud-medewerker is al een keer eerder veroordeeld geweest voor vermogensdelicten.

Een verklaring omtrent gedrag lijkt me geen overbodige luxe voor werknemers die in hun functie bij grote hoeveelheden gevoelige klantinformatie kunnen. En dat geldt dan bijv óók voor medewerkers van energiemaatschappijen.

[cariolive23]

Helaas is een VOG niet hetzelfde als een VOG. De werkgever/opdrachtgever moet specificeren waar de VOG voor wordt aangevraagd. Wanneer dat niet goed/compleet wordt gedaan, kun je een VOG krijgen voor iets wat eigenlijk niet zo moeten.

Overigens weet ik niet of je na een veroordelen voor een vermogensdelict, whatever that may be, nog met persoonsgegevens zou mogen werken. Ik weet evenmin welke controles worden gedaan bij het afgeven van een VOG. Ben wel benieuwd of de KPN heeft gecontroleerd of er bij hen nog iets fout is gegaan bij het aanvragen van de VOG voor deze medewerker, aangenomen dat er een VOG is aangevraagd.

[Ulysses]

Vermogensdelicten zijn - zoals de naam al doet vermoeden - zaken waarbij het doel of object van de misdaad het vergroten van het financiële vermogen van de crimineel is (ezelsbruggetje). Bankfraude is echter een vermogensdelict, maar flessentrekkerij ook. Dat is nogal een spectrum dus.

Iemand die een delict heeft begaan waarbij gelegenheid ontstaat in een bepaalde functie, daarvan is het idee, dat de VOG verhinderd dat de persoon opnieuw in die positie aan het werk kan. Zo kan een veroordeelde zedendelinquent in de regel niet meer op een kinderdagverblijf werken. Maar dat is een voorbeeld in extrema. Tegelijkertijd hoeft een veroordeelde brandstichter niet direct bang te zijn nooit meer bij de KPN te mogen werken. Tenslotte is de kans of gelegenheid op het maken van illegale vuren niet specifiek aanwezig bij helpdeskwerk. Bij de brandweer is het wel een ding natuurlijk.

Zoals je zelf al aangeeft kan het vermogensdelict inderdaad van alles zijn geweest. Ook het oplichten van een enkel individu in een minimale setting waarbij de relatie met helpdeskwerk niet direct voor de hand ligt. Soms wordt een VOG ondanks eerdere veroordeling toch afgegeven, omdat mensen nu eenmaal in de regel niet levenslang kwaadaardig zijn na een enkele fout te hebben begaan. En soms is het delict buiten de onderzoeksperiode van de VOG gevallen. Hoeveel jaar men terugkijkt, verschilt ook per functie e.d.

Er is in dit kader onlangs nog een interessant artikel verschenen over de Ervaringsdeskundige TBS'er die niet meer mocht werken in een TBS-kliniek. Voordat je nu van je stoel valt: het is in de geestelijke gezondheidszorg vrij gebruikelijk om ervaringskennis in te zetten. Maar van veroordeelde TBS'ers in specifiek hoog risico omgevingen, heeft de rechter nu gezegd, dat de VOG terecht niet wordt afgegeven. En ik verwacht niet dat die wetten worden aangepast.

[CivLord]

Een VOG vragen voor een baan als helpdeskmedewerker, waar je het minimumloon voor betaalt en waarvoor je nu al moeilijk aan genoeg mensen kan komen? Dan jaag je de sollicitanten pas echt goed weg.
Dan kan je beter meteen de helpdesk helemaal opdoeken, dan is het probleem ook opgelost.

[PhilipsFan]

Bijvoorbeeld: KPN hoeft jouw geboortedatum helemaal niet op te slaan. Dit is voor het leveren van telefoon of internet volstrekt niet relevant. Ze moeten natuurlijk wel weten dat je 18+ bent om te controleren of je bevoegd bent om een abonnement af te sluiten, maar dat kunnen ze ook eenmalig controleren en op die manier opslaan.

Dan heeft een query als SELECT * FROM klanten WHERE geboortedatum < "1950-01-01" AND postcode LIKE "1100%" plots niet zoveel nut meer.

Om maar eens een makkelijk voorbeeld te noemen. Think out of the box...

[Asthaparhim]

Voor het leveren van een telefoon is het niet relevant ook een inkomens en lastencheck te doen naast bkr registratie? Nee een geboortedatum is wel relevant als validatie. Als ik je buurman ben en je wil sarren dan moet je controlevragen hebben. En als je je rekeningen voor internet nooit betaald? Moet je dan als je dezelfde voor en achternaam hebt als je broer ook worden meegenomen in het incassoplaatje?

[PhilipsFan]

O ja natuurlijk, er is ook geen enkele manier voor mijn buurman om mijn geboortedatum te achterhalen. Echt, zo vaak als dat nog gebeurt, je staat er versteld van. Een geboortedatum is niet uniek en niet geschikt voor identificatie. Maar wel geschikt om misbruik van te maken. Zoals blijkt uit dit artikel.

[Asthaparhim]

Ja? Jouw geboortedatum achterhalen heeft dan te maken met of je gegevens die op straat liggen of buurman moet je geboortedatum weten. Je staat er versteld van en zegt dat het niet uniek is maar dat je gegevens bij anderen zijn is te verwijten aan je provider? Het is een gegeven ter controle die op je legitimatie te zien is. Die wordt aan de deur gecontroleerd bij leveren van een toestel bij 1e bestelling.
Of wil je liever bij een telefonische bestelling als je in de trein zit je BSN doorgeven? Want dat is wel uniek en zou geschikt zijn?

De telecomproviders hebben een samenwerkingsverband om meldingen te maken als er bestellingen worden gedaan met oa naam/geb datum om fraude tegen te gaan - zou mooi zijn als je bij elke aanbieder een fold5 besteld en bwv er dus 20 verzonden zonder dat je 1ct ervoor betaald.

[LFranxWind]

Terecht opgemerkt. Heb de informatie nog toegevoegd aan het artikel.

[bouwfraude]

Dat is geen excuus, ze zijn allemaal niet zo slim.

[MrFax]

Ik vind het juist best een hele zware straf voor een LVB-er. De celstraf is nog niet eens het ergste:

Hij heeft zoveel verschillende vorderingen gekregen die hij echt nooit zal (volledig) kunnen betalen. Dit is hoe je iemand verder de criminaliteit inwerkt. Omdat je bij een veroordeling geen recht hebt op schuldhulpverlening. Alles wat hij dus boven de bijstandsnorm verdiend verliest hij. Hij moet meer dan 20000 euro aan schadevergoedingen betalen. En leg jij maar uit wat er dan gaat gebeuren met deze persoon... Die gaat onderduiken, verdwijnen, de bijstand in, en wat dan wel niet.

Ik vind het goed dat mensen bestraft worden, maar als ik de stukken lees, dan was al lang duidelijk dat deze persoon al sinds zijn jeugd verminderd toerekeningsvatbaar is en de signalen er al waren.

Als iemand zo makkelijk te beinvloeden is, wat doet zo iemand dan bij een bedrijf waarbij het verwerken van klantgegevens een cruciaal onderdeel is? Die dacht lekker makkelijk geld, hoef alleen maar even een paar adressen in te vullen in dit systeem, zonder ook maar over enige consequentie na te (kunnen) denken.

[Reactie gewijzigd door MrFax op 17 augustus 2024 04:52]

[Bouddieehh]

Licht verstandelijk beperkt of niet, vanaf een IQ van 65-70 weet je wat goed of slecht is. Hij was ook al eerder veroordeeld voor een zelfde delict, dus helemaal onbekend met de materie was hij niet.

Gewoon volle mep brommen.

[eettjjuuhh]

Zonder gekheid. Je mag toch verwachten dat men daar op de helpdesk inderdaad minstens niveau 3 of 4 mbo heeft? Of mis ik nu iets?

[OruBLMsFrl]

https://www.kenniscentrumlvb.nl/over-lvb/
Licht verstandelijk beperkt gaat in sommige definities qua hulpverlening tot een IQ van 85, als er ook andere problemen spelen. Omdat deze persoon door de rechter als beïnvloedbaar gezien wordt, zou dat best eens kunnen dat er meer speelt. En ja, ook licht verstandelijk beperkten kunnen een MBO opleiding halen.
https://dagblad010.nl/rot...e-studenten-met-beperking

Nu denk ik dat er bij de KPN soms of zelfs vaak tekort is aan personeel, zoals haast overal in Nederland en al helemaal waar het gaat om technologie en callcenters. En dan gaan zeer waarschijnlijk ook bij KPN de functie eisen wel eens wat omlaag om toch de bezetting op orde te krijgen. Als je dan vraagt om een bepaald denkniveau, geen diploma, je doet voor een basisfunctie geen uitbreid assessment en zo meer, dan kan haast iedereen die in een gesprek redelijk overkomt wel aan de slag. Of is die eerst via een uitzendbureau gekomen, soms gelden dan voor 'tijdelijk werk' ook minder eisen, maar evenwel toegang tot gegevens. Misschien is die ook eerst op een simpeler station begonnen zonder toegang tot zulke gegevens, maar als ie dan daar goed werk doet, snel kunnen doorstromen naar iets met wat meer verantwoordelijkheid en risico.

Puur speculatie van mijn kant of dat hier ook zo is in dit geval, maar in het algemeen hoor je zulke dingen vaak genoeg dat mensen in een bepaalde baan rollen. En deze persoon heeft die gegevens meer dan een jaar verspreid, vermoedelijk heeft die dan ook wel enige tijd bij KPN gezeten, maar ook dat lijkt niet duidelijk te worden uit het artikel?

[joker1977]

Dat heb je mis. In de helpdesk-wereld is het gebruikelijk om de programmatuur, scripts en alles zo dicht-te-timmeren dat elke normaal functionerende persoon al heel snel weg is omdat hij/zij totaal niet (intellectueel) uitgedaagd wordt.

Van de technische kant bekeken terecht, want de meeste mensen overschatten hun kunnen en zijn helemaal niet in staat om zonder aan het handje gehouden te worden te functioneren.

Het nadeel is wel dat je elke persoon die wél in staat is om op enigszins normaal niveau kan functioneren wegjaagt. Je blijft dus zitten met mensen die elke (intellectuele) uitdaging schuwen. Dat soort callcenters zijn vaak niks meer dan een stel zombies die simpelweg voorlezen wat er op hun monitor staat.

[GertMenkel]

In mijn ervaring is eerstelijnssupport van KPN alleen sales met een belscript. En eerlijk gezegd is dat ook genoeg voor het overgrote deel van de telefoontjes; WiFi uit/aan, apparaten herstarten, misschien een afspraak plannen, dan heb je de meeste telefoontjes toch wel gehad, zelfs bij technische problemen. Het zou me niks verbazen als die mensen over twee jaar allemaal vervangen zouden worden door AI. Er zitten vast ook mensen die wel willen maar niets kunnen betekenen, maar dat is niet hun schuld natuurlijk; daar is de organisatie zo voor ingericht.

[Asthaparhim]

Denk je? Want ik moest lachen na je eerste zin. Succes met alle ouderen die hun tv niet op hdmi1 kunnen zetten en direct een monteur willen, kost ook geld he maar dan wel klagen over hogere prijzen. Laat je AI maar classificeren hoe je in je eigen modem inlogt zonder directe kabel naar je modem om je wifiversterker die misschien niet van KPN is naar 5.0 ghz te zetten via je macbook, en ja daar moet je de klant voor instrueren en dat wil je niet in een mailtje hebben.

[Asthaparhim]

Ja? Want ook mensen met een master opleiding kunnen geen idiots zijn? Geef mij hier 1000 van en ik kan er zo wat aanwijzen.

[CivLord]

Wie zegt dat hij dat niet heeft.
Licht verstandelijk beperkt is een zeer breed begrip. Dat slaat ook op die licht autistische programmeur die zijn Masters in drie jaar heeft gehaald, maar niet het vermogen heeft een grap te begrijpen en iedereen bij voorbaat voor 100% vertrouwt.

[luc929]

Niet eens indirect, gewoon direct schuld aan die beroving. Zonder die gegevens was die beroving misschien helemaal niet gebeurd.

[tw_gotcha]

hoeveel meer dan als ik vragen mag? Dit is een standaard reactie bij welke straf dan ook.

[Zoijar]

Ik vind het best wel een forse straf eigenlijk.

[TrafalgarLaw]

Ik vind het niet fors genoeg. Van mij mocht deze persoon wel 20 jaar brommen, je weet namelijk niet wat er met die gegevens zijn gedaan; identiteitsfraude, financiele fraude, liquidaties of anderzijds?

[sympa]

Een verkoper van een pistool of een mes of een auto geven we ook geen 20 jaar "want wie weet wat er mee gebeurt".
Datzelfde principe speelt hier ook mee denk ik. Wat de dader kon begrijpen wat er zou gaan gebeuren met die gegevens zal wel meespelen denk ik.
En 20 maanden, denk er maar over na hoe kort of hoe lang dat is. Voor een opbrengst van 600 of 800 euro.

[GertMenkel]

Uit de uitspraak blijkt toch dat de dader wel degelijk wist wat hiermee gebeurde. De rechter vindt dat in elk geval wel. Hij zou ook meer dan alleen informatie hebben verschaft maar ook mee hebben gepland, alleen niet genoeg om strafrechtelijk medeplichtig te zijn daarin.

Het is ook niet de eerste keer dat hij zoiets gedaan heeft. Dat hij lichtelijk verstandelijk gehandicapt is, maakt een kortere straf wel logisch, maar als hij bij zijn volle verstand was, had ik dit toch wel een hele korte straf gevonden.

Dat het maar 600 of 800 euro heeft opgeleverd doet er wat mij betreft niet toe. Of je iemand nou berooft van een euro of van een miljoen, je blijft iemand beroven.

[McBacon]

Die ene medewerker heeft wellicht nog geen 1000 euro gekregen, maar dat is van degenen die de data van hem gekocht hebben. Je hebt geen idee wat díe er dan weer mee gedaan hebben, als er hele bankrekeningen zijn leeggehaald dan zal het wel een iets hoger bedrag zijn waar hij voor verantwoordelijk is. Je vergeet ook even de psychologische effecten: in dit specifieke geval zijn er blijkbaar sieraden gestolen, oftewel er is letterlijk ingebroken. Zou jij dan nog goed kunnen slapen denk je?

[Zoijar]

Oh ja, dus je vindt dit wel gelijk aan moord met voorbedachte rade... vreemde jongens, die romeinen

[Morress]

Ik vind 20maanden behoorlijk stevig.

[Triblade_8472]

Knap staaltje rechercheurwerk.

Ben wel benieuwd trouwens of KPN hierna geautomatiseerd gaat controleren of er (te) grote hoeveelheden data wordt bekeken, of dit alleen blijft doen voor politieonderzoek.

Zeg maar wat in de zorg ook gebeurt.

[Houtenklaas]

Vrouwlief werkt in de zorg en werkt per dag in tientallen dossiers. Bij haar werk zit er geen limiet aan haar acties. Maar als je achteraf bij de zeer regelmatige steekproef niet kunt verklaren waarom je bij persoon X zat te kijken, dan heb je een heel groot probleem. Maar ook dat is dus achteraf, net als hier blijkbaar. Als je 8 uur per dag werkt (geen idee of dat gebruikelijk is in een callcenter) en je hebt gemiddeld iemand 10 minuten aan de lijn, dan zijn dat al 48 klanten op een dag waar je data van ziet, dat blijft gewoon best veel.

Wellicht kan je wat koppelen aan fysieke aanwezigheid en een gemiddelde t.o.v. gelijksoortige functies, maar het lijkt me uiterst lastig te voorkomen ...

[joenevd]

In het ziekenhuis weet het systeem welke patiënten op je afdeling zit. Zoek je iemand anders op, moet je dat extra bevestigen. Dan gaat er overigens ook een extra signaal naar iemand die jouw actie controleert. Als je onterecht een dossier opende heb je wat uit te leggen met mogelijk ontslag.

[Houtenklaas]

Dat zal op een reguliere afdeling wel zo zijn, maar op een spoedeisende hulp wist de patiënt vaak ook niet dat hij/zij langs mocht komen tot het moment dat het zover was Overigens geen idee of dat systeem wat je beschrijft ook in dit ziekenhuis geïmplementeerd is. Zelfs tegen mij zwijgt ze als het graf over wat er weer allemaal langsgekomen is. In haar vak kan je wellicht nog dienstjaren - en daarmee bewezen betrouwbaarheid - laten meetellen in het geven van meer of minder toegang, maar dat zal op een helpdesk niet werken met een gemiddelde doorlooptijd van nog geen jaar heb ik me laten vertellen.

[ToTheBone]

Als je 8 uur per dag werkt (geen idee of dat gebruikelijk is in een callcenter) en je hebt gemiddeld iemand 10 minuten aan de lijn, dan zijn dat al 48 klanten op een dag waar je data van ziet, dat blijft gewoon best veel.

Maar als 48 klanten gemiddeld is dan kan je dus best bijvoorbeeld een trigger op 100 of meer zetten.... zonder er dan direct een conclusie aan te verbinden maar om dan te gaan controleren of het klopt wat er gebeurt. Dan zit je ruim boven het gemiddelde maar excessen vallen wel op.

[Frame164]

Ja leuk, algoritmes om je personeel te controleren. What can possibly go wrong....

[sympa]

Niet om het personeel te controleren, maar om het zoekgedrag te controleren.
Als je een administratie door moet op zoek naar mensen boven de 80 moet je heel wat records opvragen.
Prima als zo'n systeem alarm slaat.
Overigens zouden ze het ook met de "controlevragen" kunnen oplossen. Klantdata alleen in te zien met naam en postcode.

[DonJunior]

Je kan zo reageren, maar blijkbaar is het toch nodig niet? Je kan je kop in het zand blijven steken, tot jouw moeder of oma een keer de pineut is door zo'n figuur.
Men kan gewoon alerts zetten wanneer een hoog aantal request vanuit een bepaalde gebruiker afgaat. Om vervolgens te kunnen onderzoeken of deze aanvragen legitiem zijn. Lijkt me niets mis mee.
Overigens werkt dat ook zo in bepaalde zorg- en overheidsinstellingen. Data waar je niets in te zoeken hebt hoor je vanaf te blijven.

[Jarno]

Mooi rendement, 800 euro voor 20 maanden cel. Hopelijk pakt KPN nu door en voeren ze een vergelijkbaar systeem zoals in de zorg gebruikelijk is, inclusief dito consequenties bij misbruik.

[MarcoC]

Wat is het systeem dat in de zorg gebruikt wordt?

[daveytje]

In de zorg wordt alles bijgehouden, welk dossier wordt geopend en welke pagina's zijn er bekeken. Zitten daar patiënten tussen die niet op de afdeling liggen waar de verpleegkundige werkt dan wordt er een melding gegeven. Je mag namelijk alleen een dossier openen als je een directe zorgrelatie hebt. Is die er niet mag je het patiëntendossier dus niet openen. En dat wordt gecontroleerd en geregistreerd.

Hoe dit bij KPN ingezet kan worden weet ik niet goed. De computerstem zou dan het dossier moeten openen bij de medewerker en de medewerker geen toegang geven tot het volledige dossier. Enkel het dossier dat bij de beller hoort.

[MarcoC]

Ik begrijp niet hoe dit bij KPN kan werken. Een klantenservicemedewerker moet iedereen kunnen helpen. Ik kan geen analogie voor "verpleegafdeling" bedenken binnen de context van een ISP. Je moet het eerder zien als spoedeisende hulp waar iedereen binnen kan komen.

Ik snap wat "principle of least privilege" is, maar in dit geval denk ik niet dat dit het probleem zou kunnen voorkomen. Wel denk ik dat er strengere monitoring op ongebruikelijk gedrag kan plaatsvinden zodat misbruik proactief tegengegaan kan worden.

[B_FORCE]

Waarom de melding?

Je kunt toch vrij simpel en automagisch enkel rechten geven (lees: data beschikbaar maken) aan de personen die dat nodig hebben?

Op die manier KUNNEN mensen patiëntendossiers niet eens openen.
Zodra de patiënt niet meer op de afdeling zit, gaat het dossier in het archief en op slot en kunnen medewerkers er niet zomaar meer bij.

Het klinkt nu alsof alle dossiers gewoon toegankelijk zijn en men dus maar vertrouwd dat werknemers niet zomaar rondneuzen?
Of lees/begrijp ik dat nu verkeerd?

[daveytje]

Ik kan inderdaad niet op andere afdelingen kijken.

Maar mocht een patiënt zijn ontslagen en die belt een dag later op met een vraag dan wordt het moeilijk om die te beantwoorden als ik zijn dossier niet meer kan openen. Je moet dan wel aangeven waarom je hem opent en je kunt zeker niet alle dossiers zomaar openen. (Gelukkig maar, we kennen de situatie van Barbie van een x aantal jaar geleden).

[Reactie gewijzigd door daveytje op 16 augustus 2024 18:02]

[Andros]

Een gedeelte van de werkzaamheden bij zo'n groot telecombedrijf wordt ook vaak uitbesteedt aan derde partijen, vooral callcenters waar elke week nieuw personeel binnen rolt en na twee dagen training aan de telefoon zit. Enig idee hoe daar dit soort problemen te voorkomen zijn?

[Jarno]

Met een zelfde systeem. Dat er elke week nieuwe mensen aan de slag gaan wil niet zeggen dat je dit soort praktijken dan maar als collateral damage moet zien toch?

[J_van_Ekris]

Hopelijk pakt KPN nu door en voeren ze een vergelijkbaar systeem zoals in de zorg gebruikelijk is, inclusief dito consequenties bij misbruik.

Punt is dat in de zorg er in allerlei wetten en regelingen het medisch beroepsgeheim geregeld is, en het serieus schenden ervan voldoende is om de BIG-registratie in te trekken via het medisch tuchtrecht. In andere beroepsgroepen is dat niet het geval.

Effectief kun je als werkgevers in een sector natuurlijk een VOG vereisen voor indiensttreding, met als onderdeel 'werken met vertrouwelijke gegevens', en dan bereik je in praktijk hetzelfde.

[Slavy]

En wat krijgen de gedupeerden waarvan hun gegevens zijn gelekt?

[R3VR0K]

Volgens het arrest moet hij zo'n 45K terugbetalen aan de gedupeerden. (excl wettelijke rente en proceskosten)

[SpoekGTi]

Iets met kale kip en plukken.

Als je voor 800 euro voor 600ish mensen de gegevens al over de bühne gooit dan zit je zelf al redelijk aan de grond

[Rukapul]

Sinds enige jaren schiet de staat deze bedragen voor in strafzaken en verhaalt dat op de veroordeelde.

[SpoekGTi]

Dus 3 jaar schuldsanering in voor 800 euro’s? En weer door?

[Somoghi]

En geen verklaring omtrent gedrag meer kunnen krijgen, dus nee, niet weer door, hij moet het ergens anders zoeken.

[Noitisnt]

Nee, dat soort schulden kunnen niet gesaneerd worden via WSNP.

[Orangelights23]

Wat stel je voor?

Er zijn overigens steeds vaker verzekeringen voor particulieren waarbij identiteitsfraude een bepaalde vergoeding krijgt. Dit is vaak tientjeswerk.

[Bor]

Dat is een terechte vraag. In de praktijk vrijwel altijd niets. Het is lastig om hard te maken dat je schade hebt en hoe hoog deze schade is. Als er al een vergoeding wordt uitgekeerd is dit veelal zeer laag. Wellicht is het tijd om hier bij de strafbepaling eens wat anders naar te kijken en een bepaalde schadeloosstelling toe te kennen aan alle slachtoffers, ook waarvan de gegevens gelekt zijn maar waarbij de schade niet direct aangetoond kan worden. Dat er nu geen schade is wil niet zeggen dat dit niet alsnog komt natuurlijk.

[The-Source]

Maar had KPN bij het in-dienst nemen niet om een VOG moeten vragen.
Een vermogensdelict zou ik daarop verwachten, wellicht is dat niet het geval.
Maar dan nog zou er binnen de functie van deze persoon het niet mogelijk moeten zijn om in korte tijd veel gegevens op te vragen.

[Lawine93]

Voor een helpdesk functie is een VOG volgens mij niet verplicht. Kpn heeft daarom denk ik ook niks verkeerd gedaan. Zoals anderen hier ook al geplaatst hebben zou er wel een melding moeten afgaan als iemand zoveel klantgegevens opvraagd.

[GertMenkel]

Ik vind een VOG voor zoiets eigenlijk wel heel logisch. Ik heb ook een VOG moeten aanvragen voor het inzien van klantdata, ik zie niet waarom dat beter beschermd zou moeten worden dan dit soort gegevens. Het is niet alsof mensen met een strafblad niet meer voor KPN kunnen werken als ze een VOG vragen, het is alleen een probleem als ze misdaden zijn begaan die invloed hebben op het werk dat ze willen gaan doen.

Een VOG vragen had in dit geval het probleem voorkomen omdat hij dit al eerder gedaan heeft, en de reclassering al eerder niet gewerkt heeft. Het zou wat zijn als hij over anderhalf jaar zo door zou kunnen lopen naar de volgende provider om het trucje nog een keer uit te halen.

Dat staat los van het gebrek aan monitoring dat KPN hier deed, natuurlijk, want met een VOG pak je alleen de mensen die al een keer eerder gepakt zijn.

[ninjazx9r98]

Je pakt mensen die in het verleden gepakt zijn voor strafbare feiten die een risico vormen voor de functie of het doel waar de VOG voor wordt aangevraagd. Het is dan ook nog maar de vraag of vermogensdelicten in de weg zitten voor een VOG die nodig is voor een helpdesk functie. Dat er helemaal niks gedaan is/wordt met een VOG lijkt me erg sterk.

[CivLord]

Hoeveel mensen denk je dat er nog gaan solliciteren voor een baan bij een helpdesk, intensief, geestdodend werk waar het minimum voor betaald wordt, wanneer je ook nog een VOG gaat vragen?
Er is al heel veel verloop in personeel omdat veel mensen het vooral zien als een tijdelijk vul-baantje terwijl ze iets beters zoeken. Die gaan echt niet de moeite nemen om een VOG aan te vragen, die gaan wel tijdelijk naar een distributiecentrum of een supermarkt.

[Don Fredo]

Dat ligt denk ik ook aan het klantenbestand. Voor een helpdeskfunctie bij een telecommer was een VOG wel nodig. En KPN, die heeft echt dezelfde (grote) klanten als veel andere telecommers.

[don spike]

Mijn ervaring van ongeveer 12 jaar terug is dat zelf voor tijdelijk contract bij een externe party callcenter voor KPN een VOG ook verplicht was.

[gjtm]

10 jaar geleden bij een externe partij 2 jaar voor KPN gewerkt, toen al was een VOG gewoon verplicht om aan de slag te mogen, kan me niet voorstellen dat die eis losgelaten is.

Het hangt er natuurlijk vanaf wat het 'vermogensdelict' van degene is geweest, bij een VOG verklaring wordt op bepaalde functieaspecten gekeken. Mocht de inspecteur van Justis een delict vinden maar van mening zijn dat deze niks met de functieaspecten van de nieuwe werkgever te maken heeft dan wordt de VOG verklaring positief afgegeven.

[n4m3l355]

20 jaar geleden voor Liberty Global, als je Nederlands sprak werd je aangenomen en zelfs dat was niet altijd het geval. Maar zelfs heden ten dagen vraag ik me af hoe goed de beveiliging is bij somige partijen. Zo heb ik diverse studenten panden en heb ik meermaals meegemaakt dat studenten zich voordoen als mezelf bij Ziggo om het pakket aan te passen. Ondanks opmerkingen van mijn zijde, gebeurd het nog steeds soms.

[mphilipp]

VOG voor helpdesk?

[lameeuw]

Euhm.... ja ? of eigenlijk Ja ! Natuurlijk heb je daar een VOG voor nodig, je krijgt te maken met inzage in o.a. financiële gegevens van een klant om maar iets te noemen: hoe betaald de klant, wat heeft de klant aan pakket, wat kost dat, betaald de klant altijd op tijd of heeft de klant moeite om zijn facturen te voldoen. Je hebt uiteraard ook inzage in diverse gevoelige privé gegevens zoals volledige naam, geboortedatum, rekeningnummer, telefoonnummer, e-mailadres et cetera, JA daar heb je een VOG voor nodig. Toen ik bijna 15 jaar geleden bij KPN ging werken bij de klantenservice werd er ook gewoon een VOG aangevraagd, niks geks aan ¿ ?

[Ulysses]

Ja, natuurlijk. Specifiek op zijn minst punt 11, 12 en soms ook 13. Betreffende het mogen verwerken van Gegevens, Informatie, en Systemen, al dan niet met vertrouwelijkheid en/of met kennis van veiligheidssystemen. Kortom Screeningsprofiel Informatie - de eerste - en ik denk in Nederland ook het meest gevraagde.

Zelfs voor vrijwilligerswerk (!) dat ik naast mijn bedrijf draai, ben ik hier op gescreend. En daarnaast nog voor het werken met Kwetsbare doelgroepen. (Onderdeel 85)

Een VOG is kortom meer gewoontjes dan je wellicht dacht. Het is de standaard voor zichzelf respecterende organisaties om redelijk veilig te kunnen werken. Al heb ik persoonlijk het idee dat het hierbij meer om het uitbannen van juridische verantwoordelijkheid gaat, dan om het werkelijk inherent verbeteren van de veiligheid. Een goede werkgever doet natuurlijk veel meer om een veilige werkcultuur te bereiken. Dingen waarvan ik mij in grote organisaties als KPN kan voorstellen dat ze wellicht moeilijker zijn om altijd intact te houden omdat je gewoon met veel meer mensen te maken hebt. Dus dan wordt 0,01% (bijvoorbeeld) mensen die uiteindelijk crimineel raken, ineens wel een significant getal.

[mphilipp]

Tuurlijk gaat het om het uitbannen van juridische verantwoordelijkheid. Een positief VOG betekend hooguit dat je nog niet gepakt bent...

Maar ik wist niet dat je het ook voor dergelijke functies nodig had. Blijkbaar is het toch niet verplicht, anders had KPN dat wel gedaan. Meestal zijn juist dergelijke bedrijven daar heel scherp op, juist vanwege de 'plausible deniability'

[Verwijderd]

Kan best dat dat ook gebeurd is, maar dat die betreffenden vermogensdelicten geen raakvlakken hadden met de functie waarvoor hij gesolliciteerd had en dus niet naar boven kwamen.

Het is niet zo dat bij een VOG alles naar boven komt wat je op je kerfstok hebt. Enkel die dingen die risocovol kunnen zijn voor het uitoefenen van je functie.

[The-Source]

Klopt en ik vermoed dat dit hier het geval is geweest. Bij mij huidige werkgever is voor elke functie een VOG gevraagd maar zal vast niet bij elke VOG hetzelfde gecontroleerd worden.
Een paar collegas die ook bij het Koninklijk huis voor onderhoud komen hebben een variant ( weet de precieze naam niet) die maar 1 jaar geldig is en daarbij wordt je niet alleen zelf gescreend maar tot 2e graads familie. Dus een "foute" oom kan er dan voor zorgen dat je niet door de screening komt.
Bij rechtbanken is een standaard VOG ook niet voldoende, daar is weer een verklaring van betrouwbaarheid nodig. Welke weer relatief standaard is voor de beveiligingswereld

[ReloadAMS]

Probleem wat KPN zelf veroorzaakt. Alles outsourcen naar die maffe callcenters die je nooit met rust laten. Die vragen om een lachertje van een VOG.

Ze vullen meestal een paar niet relevante punten in waar ze dan op worden gecontroleerd, en dan ook zo door die check heen komen.

[Aalard99]

Mooi werk en goed dat dit ook in het nieuws komt. Dit lijkt voor jongeren makkelijk geld verdienen maar is crimineel gedrag dat grote gevolgen kan hebben voor de getroffen mensen. Helemaal eens dat er ook zware straffen worden gegeven.

[qbig1970]

de man is 21, bij wet dus volwassen... geen jongere

[Ridicuul]

Een 21-jarige is gewoon een jongere. Volgens de Van Dale val je tot je dertigste zelfs nog tot de categorie jongeren. Het CBS houdt 25 jaar aan voor jongeren. Deze leeftijdsgroep wordt ook wel omschreven als jongvolwassen en adolescent.

De reclassering adviseerde in deze zaak om de verdachte volgens het volwassenerecht te bestraffen, omdat hij niet pedagogisch beïnvloedbaar zou zijn en ondanks zijn lichte verstandelijke beperking goed behandeld kan worden binnen het volwassenenrecht met bijzondere voorwaarden.

[MSalters]

Onjuist. Adolescentenstrafrecht loopt tot 23, en 21 is minder dan 23.

[Bor]

Goed dat hier tegen opgestreden wordt. Ik vind de straf aan de lage kant mede omdat er blijkbaar specifiek naar kwetsbare groepen is gekeken waaronder hoogbejaarde klanten. Dit soort "medewerkers" is echt uitschot en zeer laf. En dat voor "drie tot vier keer 200 euro ontvangen" aldus de man welke al niet betrouwbaar is gebleken dus de waarde van dit soort "zelf proclaimed" beperkte winsten is 0.

[himlims_]

Ik vind de straf in straatje vallen; criminaliteit loont. Immers niet eerste vergrijp.
Schijnbaar is de screening bij kpn niet hoog genoeg om dit soort kansparels eruit te pikken

[TV_NERD]

20 maanden in de bak, en een verplichting om naar een forensisch zorginstelling te gaan... Dit allemaal zonder inkomsten, loont voor 800 Euro? Hoe dan.

[Reactie gewijzigd door TV_NERD op 16 augustus 2024 18:29]

[wildhagen]

Uit nader onderzoek van KPN bleek dat de man grote hoeveelheden klantgegevens in OMNI had opgezocht, voornamelijk van hoogbejaarde klanten.

Lekker laf weer. Wat een held dat je juist gegevens van dit soort kwetsbare (want doorgaans minder digitaal vaardig) oudere mensen doorspeelt, wetende dat mensen met dit soort fraude soms voor tienduizenden euro's opgelicht worden.

Ik vind die 28 maanden, waarvan ook nog eens 8 voorwaardelijk, dan ook wel heel erg weinig, gezien de potentiële impact van de misdrijven die met hulp van deze crimineel gepleegd zijn.

[TV_NERD]

Gelukkig veroordelen we mensen vrijwel niet op de potentiële maar daadwerkelijke uitkomsten van hun daden. Minority report hoeft geen realiteit te worden.

[MrDummy]

Iemand die licht verstandelijk is staat meestal niet sterk in voeten.
Ik denk dat hij is verleid door aanbiedingen van de criminelen, en heeft ongetwijfeld mooie worden gekregen waardoor hij meestemt en gegevens deelt.
Hij is ook niet geheel bewust van zijn misdaden omdat hij ook maar 21 jaar oud is. Niet heel veel levenskennis opgebouwd. De schade dat hij kan aanrichten op deze manier kan gigantisch zijn.

Elke goedwetend persoon weet prima dat dit verboden en strafbaar is, al helemaal niet als helpdesk medewerker want dat is juist de plek waarbij klanten je vertrouwt en dus gegevens deelt. Privacy is erg belangrijk en dat doet hij dus niet.

En ik vind wel raar dat KPN een licht verstandelijk persoon in dienst neemt. Misschien op verzoek van gemeente omdat werk vinden moeilijk is? Hoe dan ook, dit mag niet weer gebeuren.

[brambo123]

Een beperking is nou eenmaal niet altijd van buitenaf te zien en een werkgever heeft (gelukkig) geen inzicht in iemands medisch dossier.
Dus het kan heel goed zijn dat KPN helemaal geen weet had van de beperking.

[Freakie1NL]

Mooi, goed gewerkt door de politie en KPN. Blij / goed om te zien dat die dit erg serieus hebben genomen.