Albert Heijn is getroffen door datalek, persoonsgegevens werknemers gestolen

Albert Heijn is slachtoffer van een cyberaanval. Bij de aanval op een franchisenemer Bun werden mogelijk de gegevens van bijna 3500 werknemers gestolen. Het gaat onder meer om adressen, e-mailadressen, paspoorten, handtekeningen, bankrekeningnummers en medische informatie.

Volgens RTL is het datalek het gevolg van een ransomwareaanval op de franchisenemer. Cybercriminelen hebben een deel van de gestolen gegevens gepubliceerd en proberen Albert Heijn af te persen door te dreigen met de publicatie van meer persoonsgegevens. De persoonsgegevens van alle grofweg 3500 medewerkers van de franchisenemer zijn mogelijk bij het datalek betrokken. Volgens RTL zijn er ook voormalige medewerkers slachtoffer van het datalek.

Het is de tweede keer in een jaar dat medewerkers van Albert Heijn slachtoffer zijn van een grootschalig datalek. In april waarschuwde moederbedrijf Ahold Delhaize voor de diefstal van de persoonsgegevens van huidige en voormalige medewerkers. Een half jaar daarvoor meldde de Amerikaanse tak van Ahold een 'cybersecurityprobleem'. Daar werden naar schatting ruim 2 miljoen mensen slachtoffer van.

Reacties (132)

[greg-a]

Is een bedrijf verplicht paspoorten te bewaren? Ik snap dat ze wellicht wat nodig hebben, maar wat is de reden om een volledig paspoort te bewaren ?

[slaay]

Iedereen moet zich kunnen identificeren met een geldig identiteitsbewijs, ook op de werkplek. Als werkgever bent u verplicht de identiteit van uw werknemers te controleren. Voordat de werknemer in dienst komt, controleert u het originele identiteitsbewijs. U bewaart een kopie ervan in uw administratie. Wanneer het identiteitsbewijs van een werknemer verloopt, hoeft u geen nieuwe kopie te maken.

Bron: https://www.rijksoverheid...an-de-identificatieplicht

[HoppyF]

Dat klopt maar die betekent NIET dat een ID bewijs voor iedereen makkelijk inzichtelijk moet zijn.

Zeker niet door hackers ook al is een inbraak op het bedrijf gelukt. Dan nog moeten gevoelige gegevens extra beveiligd worden opgeslagen.

[R_Zwart]

Ook als het beveiligd is opgeslagen kunnen er vulnerabilities zijn waardoor je er op een gegeven moment toch bij kunt. Er worden dagelijks nieuwe vulnerabilities gevonden. Dat is overigens niet anders als je het op papier opslaat. Het beste slot kan ook open.

[FrankHe]

Een degelijk kluis met goede procedures waarin staat beschreven wie welke sleutel mag vasthouden is een uiterst veilige manier om paspoortkopieën op papier te bewaren.

[Seth_Chaos]

Niet alleen op papier. Digitaal is ook prima met een airgap en een kluis. Dit is gewoon regelrechte onkunde.

[FrankHe]

In dat geval kent papier een stuk minder onderhoud dan een elektronisch systeem met airgap.

[HoppyF]

Gaat erom hoeveel moeite het kost om bv een ID te ontcijferen. Door dit digitaal goed te beveiligen en op te slaan voorkom je veel ellende. Klinkt logisch en dat is het ook. Bedrijven die hier onachtzaam mee omgaan mogen wat mij betreft zwaar gestraft worden. Een hack is niet 100% te vermijden maar de gevolgen zijn wel te beperken. Ik ben dus wel benieuwd welke persoonsgegevens gelekt zijn in dit geval.

[Houtenklaas]

Op papier in een hangmap is niks mis mee, maar wel opgeslagen dat "gewoon" personeel er niet bij kan. Dat er voldoende drempels tussen de voordeur en die kast zijn.

In de digitale wereld is - als je je netwerk aan het internet hangt - de hele wereld een mogelijk probleem, in het geval van een slot alleen de lokale junk. Dit soort data hoort opgeslagen te worden op een datadrager die 100% losstaat van een netwerk die op wat voor manier dan ook aan het internet hangt. Precies om de reden die je aangeeft, wat vandaag veilig is kan morgen ineens in de CVE database staan.

[dss58]

een papieren kopie zou voldoende moeten zijn, waarom moeten dit soort zaken digitaal zonodig altijd beschikbaar zijn ?

[Buitenaerts]

Mensen die je als bedrijf in dienst hebt moet je die gegevens van bewaren, dit hoort bij je loonadministratie.

[Azenomei]

Een digitale kopie van een idkaart/paspoort? Papier in een map kan ik nog begrijpen.

[bytemaster460]

Totdat iemand een keer een archiefkast afvoert en niet oplet en al die mappen op straat liggen. Dan wordt er weer geroepen: "wie bewaart dat in vredesnaam nog op papier in een kast?"

[FrankHe]

Dat is een kwestie van interne procedures. De persoon die daar gaat opruimen mag sowieso geen toegang hebben tot die beveiligde kast. Gevoelige dingen bewaar je het beste nog steeds op papier, zeker wanneer je die informatie feitelijk nooit meer nodig hebt. Wil de Belastingdienst inzage, prima, dan zetten we een tafel naast die beveiligde kast neer en dan mogen ze er in grasduinen. Graag naderhand alles weer netjes terugzetten, waarvoor dank!

[bytemaster460]

Digitaal is het ook een kwestie van procedures en 9 van de 10 keer is de oorzaak van een lek ook dat iemand ergens een procedure niet heeft gevolgd.

[FrankHe]

Het is altijd een combinatie van techniek en mensen. Beide zijn feilbaar. Het gebeurt helaas ook vaak genoeg dat mensen belangrijke procedures niet volgen of nog erger dat er helemaal geen goede procedures zijn.

[Buitenaerts]

Inderdaad ook dit nog buiten dat je tent afbrand haha

[theduke1989]

Wij zijn dus sinds vorig jaar bezig om alle mappen die we hebben te digitaliseren.

Een externe persoon ingehuurd die elk dag zoveel mappen scanner Kodak s2028f machine (4000€) zijn bijna klaar Archivierungssoftware (Nscale) gebruiken we. En slaan het op twee datacenters.

[Buitenaerts]

En als je bedrijf afbrand ben je alles kwijt, gewoon zorgen dat het goed en veilig bewaard wordt.

[FrankHe]

Papier moet aan een behoorlijk hoge temperatuur worden blootgesteld voordat het gaat branden. In de praktijk heb je die kopieën verder nergens meer voor nodig. Alleen wanneer de Belastingdienst er om vraagt dan moet je ze kunnen tonen. Prima, daar is de kluis, binnen enkele minuten hebben we de gevraagde kopie gevonden.

[theduke1989]

Tja daarom de 3-2-1 backup methode toepassen. En eventueel nog een extra datacenter rack huren. Tegenwoordig is data Goudswaard dus het is niet zo een belachelijke idee om het op meerdere plekken te bewaren. Uiteraard moet dit goed opgeslagen worden! Waar alleen bijvoorbeeld HR erbij kan, en niet iedereen zoals de CEO etc.

[R_Zwart]

En waar sla je die map op als 26 filialen hebt? Is bij jou op het werk alles op papier opgeslagen?

[jpsch]

Wat dacht je van de salarisadministratie?

[Buitenaerts]

Is verplicht van de belastingdienst.

[Azenomei]

Een kopie? Belastingdienst heeft genoeg aan een paspoort/is kaart nummer, naam en bankrekening combinatie.

[Reactie gewijzigd door Azenomei op 23 oktober 2025 22:07]

[daellat]

Ja, een kopie tweede punt bij wat je moet doen als bedrijf

https://www.rijksoverheid.nl/onderwerpen/identificatieplicht/vraag-en-antwoord/wat-moet-ik-als-werkgever-doen-om-te-voldoen-aan-de-identificatieplicht

edit:
verkeerde link oops

[Reactie gewijzigd door daellat op 23 oktober 2025 22:34]

[Azenomei]

Dus, papieren kopie in een kluis. Geen digitale kopie op een aan het internet gekoppeld apparaat.

[Quintiemero]

Ik word gek van mag niet van de AVG. Daar zegt de AVG helemaal niks over.

[FrankHe]

Daar zegt de AVG toevallig wel iets over.

https://www.rijksoverheid.nl/onderwerpen/identiteitsfraude/vraag-en-antwoord/ben-ik-verplicht-om-een-kopie-van-mijn-identiteitsbewijs-te-geven-aan-een-bedrijf

[Quintiemero]

Nee hoor. Dat staat allemaal in andere wetgeving. Lidstaten hebben juist de mogelijkheid om in eigen wetten regels te noteren. Maar niet de AVG. De UAVG zegt iets over gebruik BSN. Niets over identiteitskaarten.

[FrankHe]

Heeft u de link gezien?

[klystr]

Dat klopt, maar waarom is dat zo voor paspoorten? Ik zou toch hopen dat er voor dat doel (wat het ook moge zijn) inmiddels betere routes zijn?

Rekeningnummer, soms medische gegevens, een handtekening op een arbeidscontract...vind ik te verklaren. Waarom een kopie van een paspoort?

[dasiro]

Rekeningnummer, soms medische gegevens, een handtekening op een arbeidscontract...vind ik te verklaren. Waarom een kopie van een paspoort?

medische gegevens zouden ze enkel maar mogen hebben als die relevant zijn voor de functie, een kopie van een paspoort is om illegale tewerkstelling onder bvb een valse naam tegen te gaan, maar ik weet niet of dat bij jullie in Nederland een verplichting is/kan zijn (mogelijks voor bvb veiligheidsfuncties).

[FrankHe]

Die kopie van het paspoort past prima in een map in een kast, die hoeft helemaal niet digitaal op een server te staan. En die medische gegevens, dat zijn bijzondere persoonsgegevens waar zeer strenge regels voor gelden. Die mag niet iedereen zomaar verwerken. Je hoort daar procedures voor te hebben en daar horen ook periodieke security audits bij.

[logix147]

En hoe beveilig je die kast? Slot erop en hopen dat Suzy van HR elke keer die op en van het slot haalt?

Fysieke diefstal is ook nog een ding hè.

[FrankHe]

De brandveilige kast plaats je in een inbraakwerende ruimte die zich in het gebouw bevindt. In beginsel gaan er alleen kopieën in de kast en hoef je er verder nooit naar te kijken. De Belastingdienst kan er om vragen, zet ze in de ruimte neer, geef ze een bak koffie en ze kunnen de mappen doorneuzen.

[logix147]

je ontwijkt hier ook weer de vraag hoe je die kast dan weer beveiligd, want die zal echt niet altijd dicht zijn.

En als de boel dicht gaat of verhuisd of faillissement in; wat gebeurd er dan met die kast?

Precies ligt de inhoud ook op straat want dat is Suzy alweer vergeten of Suzy is inmiddels al 4x vervangen en niemand weet wat in die kast zit. Niet echt een systeem. Dat is hetzelfde als je sleutel onder de mat leggen en dan gek vinden dat je huis een keer leeg is.

[Houtenklaas]

En als de boel dicht gaat of verhuisd of faillissement in; wat gebeurt er dan met die kast?

https://www.autoriteitpersoonsgegevens.nl/themas/financien/faillissement

Dan is de curator verantwoordelijk. En de heel flauwe: Als er een server staat te snorren waar de digitale paspoorten op staan, geldt daar exact hetzelfde voor uiteraard.

En een beveiligde ruimte kan je in ieder geval afsluiten met een deur die automagisch in het slot valt bij het open/dicht doen. Alarm geeft als deze langer dan 30 seconden openstaat, etcetera. Die gegevens hoe je ook niet 6X per dag te raadplegen, wat mij betreft leg je het in een kluis.

[logix147]

Jij weet net zo goed als ik dat de verhalen dat dit soort gegevens op straat komen te liggen in verleden al gebeurd zijn door dit fysiek ergens op te slaan.

Ja dat kan op een server ook, maar als die server in de Azure/AWS cloud staat en de rekening wordt niet meer betaald “verdwijnt” die sneller dan zo’n fysieke kopie.

Feit is dat data bewaren nu allemaal prima gevonden wordt en er geen gevolgen zijn als je er niet goed om mee gegaan bent. Dat vind ik niet echt kunnen aangezien je er weinig tegen kunt doen als je gegevens op straat komen te liggen omdat je werkgever zijn zaken niet op orde blijkt te hebben.

Als we dit zelf zouden doen zou je nalatig gevonden worden hier op Tweakers maar omdat dit bedrijfsleven is dan zijn fysieke exemplaren ineens een oplossing voor een hoogstwaarschijnlijk slecht functionerende digitale oplossing.

[Houtenklaas]

Ik zoek even wat je nu precies zegt ... Het punt is denk ik dat veel van dit soort bedrijven niet echt een state-of-the-art IT omgeving hebben. En dat vind ik ook niet kunnen, laat dat duidelijk zijn. Maar dan zie ik toch liever een kopie op papier dan digitaal, het risico is simpelweg door het lokale aspect een heel stuk kleiner dan het aanwezig zijn op de digitale snelweg zonder veiligheidsgordels.

En deze data bewaren is een verplichting vanuit de overheid, er is geen optie om dat niet te willen. Dan is de keuze m.i. ineens simpel. Op papier lokaal bewaren of digitaal op een netwerk dat de beveiliging van een Top500 bedrijf simpelweg niet haalt omdat IT niet hun core business is?

[Tjidde]

Zo'n kluis moet je altijd een twee sleutel beleid hebben en daar ook goed op controleren.

Twee sleutels, is dat die deur alleen open kan met twee sleutels. Waarbij je intern er voor moet zorgen er nog twee dezelfde personen die sleutel kan hebben.

Dit soort beveiliging ook digitaal is 99% procedure. De procedure moet zijn dat het veilig is. Ook digitaal, kan je dat soort bestanden gaan versleutelen. Het uploaden van een ID moet makkelijk zijn, het opvragen niet. Zodat de medewerker die het ID moet controleren en opslaan, niet door allerlei hoepels moet wringen om hem op te slaan. Want dan zal een ID als een gewone bijlage in een dossier gestoken gaan worden.

[FrankHe]

Het is inderdaad een kwestie van procedures opstellen en die procedures netjes volgen.

Er zijn ook gevallen waar je met minimaal drie mensen moet zijn voor de kluis die encryptiesleutels bevat.

[FrankHe]

Al deze vraagstukken zijn met digitaal opgeslagen informatie niet anders. Omdat je als organisatie persoonsgegevens verwerkt moet je daar procedures en werkinstructies voor hebben. Een duidelijk sleutelbeleid, welke personen waar bij mogen en hoe er correct en veilig wordt gewerkt.

[logix147]

En dat beleid en uitvoering komt alleen als er een financiële prikkel achter zit.

Dus die kluis digitaal of analoog zal er niet komen als enkel het melden van het probleem voldoende is.

Dat lijkt geziene de enorme hoeveelheid lekken laatste maanden dus een bevestiging van te zijn want waarom zou een bedrijf in de beveiliging investeren als niemand er iets om geeft? (Zakelijk gezien: het kost me niets als het mis gaat)

[FrankHe]

Beveiliging is geen kostenpost, het is een noodzakelijke investering. Daar mag geen discussie over bestaan. Als daar maatschappij breed wel discussie over bestaat dan moet het niet in orde hebben van je beveiliging een kostbare aangelegenheid worden.

[JustSomeWords]

Ja dat ben je wettelijk verplicht.

Je moet van al je werknemers bij indiensttreding een geldig identiteitsbewijs checken waar ook het bsn en de nationaliteit op staat (rijbewijs is daardoor niet geldig bijv.). En of dit overeenkomt met de werknemer die het aan je overdraagt. Dan hier een kopie van maken en die tot 5 jaar na uitdiensttreding bewaren.

[FrankHe]

Die kopie kan prima op papier in een kluis. Heel veilig en niet te hacken.

[911GT2]

Heel veilig en niet te hacken.

Maar wel te stelen. Een kluis heeft een sleutel of een code... en daar is meteen het zwakste punt van dat systeem.

[FrankHe]

Zet de brandveilige kluis in een beveiligde ruimte die zich binnen het gebouw bevindt dat is voorzien van inbraakalarm buiten kantoortijden. Zorg dat je minimaal twee verschillende mensen met ieder een eigen sleutel nodig hebt om er bij te komen. Die kopie paspoorten in die kluis heb je verder nooit meer nodig tenzij de Belastingdienst graag inzage wil. Prima, dan zetten we een tafeltje neer in de beveiligde ruimte en een thermoskan koffie voor de mensen van de Belastingdienst. Dan kunnen ze lekker hun gang gaan. Met het vriendelijk verzoek om naderhand alles weer netjes terug te plaatsen.

[911GT2]

Utopie. Alles waar mensen aan te pas komen is in te breken. Corruptie, nieuwsgierigheid, laksigheid, ongelukkigen het is allemaal mogelijk.

[logix147]

3500 paspoorten in een kluis in wiens huis? Hoe moet je dat doen bij een multinational met 10k+ werknemers?

Antwoord de @&)/ wet aanpassen, waarom moet een werkgever buiten mijn BSN nummer en geboortedatum alles van mij als werknemer hebben?

Dat is strikt onnodig, maar dit is Nederland en wij leggen graag veel vast alleen merken we ook steeds meer en meer dat dezelfde verantwoordelijkheid die simpelweg op je pand geld, zorg dat het veilig is, goed op slot zit en je verzekering goed voor elkaar hebt dat systemen prima door het neefje dat “ICT” gedaan heeft kan worden gefixt.

Nope IT kost geld, net zoals je infra. Een horecazaak zonder 4G backup anno 2025 is hopeloos verloren als je buurman wel pin biedt en jij moet alleen cash hebben. Dat accepteren gasten niet meer.

Dit is gewoon bewijs dat gebrek aan gevolgen; er niets gaat veranderen. Bij zo’n datalek zou er gecontroleerd moeten worden of de werkgever nalatig was geweest en zo ja zou er nog best een boete mogen volgen of op z’n minst schade vergoeding voor personeel.

Het vernieuwen van je “bsn” nummer zou ook voor de gewone burger te doen moeten zijn. Dit kan namelijk wel voor “speciale” gevallen, alleen diefstal van je identiteit valt er niet onder. Moet dat gratis nee, reken daar €100 voor en laat bij zo’n nalatige werkgever of data hoarder zoals hotels ze per geval €100 betalen.

In dit geval zou het 3500x100 kosten, wellicht dat ze dan de volgende keer beter nadenken over de beveiliging. En wellicht dat we politici eens moeten vragen wat het nut is dat zoveel data bij de werkgevers en bedrijven van de burger moet rondzwerven.

[FrankHe]

3500 kopieën, dat zijn pakweg twaalf grote ordners. Die passen prima in een brandkast van gemiddelde grote. Bij een onderneming met 10k+ mensen hebben ze meer en grotere brandkasten staan.

[logix147]

Op de zaak kan ik dus binnenlopen en die brandkast openen, enig idee wat die kost overigens en denk je dat ze plek in die kast hebben voor 12 mappen? Ik kan je vertellen dat sommige al moeite hebben met CASH fatsoenlijk opbergen. Laat staan HR documenten, plus als je dan toch zo’n document nodig hebt, dan ga je van je 10 kantoren even bellen met de administratie voor een digitale kopie ofzo of hoe zie je dat voor je.

Dit zou beter beveiligd moeten zijn en niet eens zo nodig. Bij de belastingdienst moet je toch zelf je aangifte checken dus waarom moet een werkgever zo’n officieel document hebben als ze toch alleen doorgeefluik zijn en je het zelf moet controleren.

Technisch gezien stopt het mij ook niet om bij meerdere werkgevers aan de slag te gaan.

Als ik ZZP-er ben en een opdracht uitvoer voor 100 bedrijven willen die 100 mijn paspoort niet hebben hoor. Maar als ik daar zelf fysiek in dienst ben wel, dat is toch wel raar. Dus als je iemand inhuurt hoeft het niet, maar als je vast er bent wel… zoals @slaay hieronder aanhaalt… immers verlopen heeft men geen nieuwe nodig, dus waarom niet gewoon vernietigen als je toch in dienst bent?

[Fairy]

Vaak gemakzucht, niet inzien van de risico's of handig om te hebben...

[DVX73]

Het is een verplichting welke voortvloeit uit de wet op de loonbelasting.

Deze gegevens moeten minimaal tot 5 jaar na beëindiging dienstverband bewaard blijven.

[Valandin]

Vooral paspoorten van oud medewerkers vind ik écht zorgwekkend

[kimborntobewild]

De straffen voor data-lekken moeten hoger. En belangrijker: reageren op afpersers moet verboden worden.

[Buitenaerts]

Alsof bedrijven expres datalekken maken, dit slaat natuurlijk compleet nergens op wat je nu roept.

[Scriptkid]

Dat klopt,

Maar als je naar beveiliging kijkt wordt daar hard op bezuinigd want dat leverd niks op.

Projecten worden naar achter geschoven, en enduser mag geen last ondervinden van meer security.

En dat terwel er vaak wel goede producten ingekocht of op de plank liggen maar gebruik daarvan is duur want geen geld voor project.

Kijk maar eens hoeveel bedrijven nogsteeds geen conditional access hebben aan staan op strong MFA ook als je op het corporate LAN netwerk aanmeld.

[Reactie gewijzigd door Scriptkid op 23 oktober 2025 21:03]

[Buitenaerts]

Ik kan daar niet over oordelen voor andere bedrijven, wij zijn een SaaS leverancier en wij doen heel veel aan beveiliging dit is voor ons een hele hoge prioriteit.

[Scriptkid]

Werken jullie via PAW / SAW

[FrankHe]

Beveiliging is geen kostenpost, het is een noodzakelijke investering. Dat moeten de C-levels goed in hun oren knopen.

[drdelta]

Waarom? Er staat geen straf op, en het kost in principe niets.

Slachtoffers hebben vervolgens geen enkele vorm van bescherming of compensatie voor hun (mogelijke) schade, zonder dat ze een rechtszaak beginnen en een of ander lullige compensatie krijgen (150,- oid).

Het probleem is dat de politiek dit niet serieus neemt, en daarmee ondernemers en C-tjes dus ook niet echt. Ja, op papier wellicht, maar de praktijk verteld helaas een ander verhaal.

[Reactie gewijzigd door drdelta op 24 oktober 2025 01:11]

[Thalaron]

Het opslaan van data zoals paspoorten, handtekeningen, medische informatie... En dat blijkbaar op een dergelijke wijze dat het misbruikt zou kunnen worden? Dat mag voor mij wel strafbaar(der) gesteld worden.

Naam en adres is vervelend, maar niets meer dan wat je vroeger in een telefoongids in het openbaar gewoon overal kon vinden.

Maar tja... tijd voor een veilige(re) manier om je te kunnen identificeren voor belangrijke zaken te regelen. Ik verbaas mij af en toe dat ik niet allang een keer slachtoffer ben geworden van fraude zoals een bankpas/ creditcard op mijn naam door al die datalekken.

[Buitenaerts]

Zoals ik al eerder op iemand anders geantwoord heb moet je voor de de loonadministratie van de belastingdienst. Ik ben ook ondernemer en wij hebben dit ook, zie de volgende link voor meer informatie:

https://www.rijksoverheid.nl/onderwerpen/identificatieplicht/vraag-en-antwoord/wat-moet-ik-als-werkgever-doen-om-te-voldoen-aan-de-identificatieplicht

Al moet ik zeggen dat wij geen medische informatie opslaan, dit mag ook helemaal niet van de AVG. Tenzij het relevant is voor het werk, bijvoorbeeld dat bhv'ers weten dat iemand iets mankeert. Dus alles is niet zo zwart/wit als de meeste mensen hier denken.

[Reactie gewijzigd door Buitenaerts op 23 oktober 2025 20:50]

[miser]

Dit kan toch ook prima in een offline database opgeslagen worden of zelfs op papier in een kast met slot. Er is geen noodzaak dit in een online database te zetten.

[phoenix2149]

Of versleuteld, waarbij de werknemer inzage toestemming geeft aan derden. Hierdoor kan de data misschien wel gestolen worden maar niet uitgelezen.

In deze tijd van digitale aanvallen en phishing moten we over op alles versleutelen wat privacy gevoelig is met verplicht 2FA en toestemming van de persoon waarvan de data is om inzage te krijgen. Dit geld voor persoons en medische data.

Laatst een bootje gehuurd en wilde ze digitaal een of bewijs hebben…. Why…. Dat heb ik geweigerd en enkel ter inzage ter plekke aangeboden ivm privacy.

[Reactie gewijzigd door phoenix2149 op 23 oktober 2025 21:03]

[Buitenaerts]

Papier is sowieso niet heel slim, als je tent afbrand ben je alles kwijt. En een offline database werkt in de huidige tijd niet met thuiswerken etc. Zo werkt het op dit moment gewoon, ook voor MNO's.

Je moet er natuurlijk alleen wel voor zorgen dat alles goed beveiligd is, bijvoorbeeld zippen met encryptie.

[Reactie gewijzigd door Buitenaerts op 23 oktober 2025 20:59]

[FrankHe]

Moet je als werkgever echt een volledige digitale kopie van paspoorten van alle werknemers in je systemen hebben? Waarom zou het niet met een fotokopie in een kluis kunnen? Serieuze vraag, hoe vaak heb je die kopie van dat paspoort nodig? Op verzoek van de Belastingdienst moet je het kunnen tonen. Prima, dan lopen we nu samen met de inspecteur van de Belastingdienst naar de kluis toe en binnen drie minuten hebben we het gevraagde stuk papier in onze hand. Dit is een prima oplossing voor het vraagstuk van de paspoorten.

[Shinji]

Opzich goed om hier over na te denken hoe dit "offline" zou kunnen. En voor kleinere bedrijven zal het prima op papier in een kluis kunnen. Maar AholdDelhaize heeft volgens wiki zo'n 400000 medewerkers. En waarschijnlijk tig medewerkers van HR die wel eens wat met die gegevens moeten (niet de paspoorten an sich maar de gevoelige gegevens).

Dat is op papier echt geen doen.

[Reactie gewijzigd door Shinji op 23 oktober 2025 22:23]

[FrankHe]

Het vraagstuk van de paspoortkopie is heel eenvoudig te ondervangen doordat je er zelf nooit meer bij hoeft. Je moet het alleen kunnen laten zien zodra de Belastingdienst er om vraagt. Een groot bedrijf met een half miljoen medewerkers kan zonder problemen op vijftig verschillende plekken een brandkast in een beveiligde ruimte plaatsen.

Van de andere bijzondere persoonsgegevens moet je je afvragen of je die eigenlijk wel nodig hebt. Medische gegevens van werknemers vind ik bijvoorbeeld zeer discutabel.

[Shinji]

Je beseft je dat een bankrekening nummer ook een bijzondere persoonsgegeven is? Hoe wil jij salaris krijgen, ook in cash?

Medische gegevens zullen uitzonderingen zijn voor bijvoorbeeld een doorverwijzing naar een Arbo dienst. Ze zullen echt niet van iedereen van alles standaard vastleggen.

[FrankHe]

Die bijzondere persoonsgegevens moeten netjes en correct worden verwerkt en beveiligd.

Het voorbeeld van de paspoorten heb ik even uitgelicht omdat daarvoor geen noodzaak bestaat om ze digitaal op te slaan.

[CriticalHit_NL]

Al denk ik dat straks dergelijke encryptie wel gebroken zal worden door quantum computing en laten ze die lekken gewoon voor later op de plank liggen.

[Buitenaerts]

Tja je kan ook de overheid de schuld geven dat we dit allemaal moeten bewaren, voorlopig zijn er nog lang geen quantum computers en al helemaal niet voor criminelen.

[Houtenklaas]

Er staat nergens dat dat digitaal moet, op een netwerkdrive, in de cloud of zo. "Een kopie in uw administratie". Kan dan ook prima in een hangmap op papier. Is een stuk minder sexy dan "in de cloud" inderdaad, maar je voldoet prima aan de eisen.

En we moeten maar eens beseffen dat thuiswerken fijn is, maar het doen van concessies aan privacy van anderen daar niet ondergeschikt aan mag zijn. Dan is het maar zo dat sommige dingen alleen "op de zaak" kunnen en iets minder handig gebeuren. So be it.

[CriticalHit_NL]

Klopt al denk ik dat het ook niet zoo heel ver weg in de toekomst is, nadeel van gegevens zoals BSNs en dergelijke is dat het ook niet wijzigt je leven lang. Het is dweilen met de kraan open helaas.

[Teun!]

Ik dacht dat quantum computers goed waren in bepaalde assymetrische crypto problemen, maar dat AES hier minimaal door beinvloed wordt

[Scriptkid]

AES256 duurt bij 100.000 Qbits (max is nu ongeveer 1000) langer dan het universum al bestaat,

Dus dat zit voorlopig wel snor.

[Scriptkid]

Al die maatregelen hebben geen nut,

Enige wat je 100% moet doen is het scherm en het keyboard uit de bedrijfs pc weg halen van de omgeving waar je sensitive data opslaat.

Of te wel ga nu eens werken met een PAW of SAW principe op sensitive data die dan in een afgeschermde omgeving zit die alleen accesable is vanaf je PAW/SAW.

Dat is de enige manier om sensitive data veilig te verwerken, en dan natuurlijk met de security maatregelen die bij zoon omgeving komen kijken.

[bytemaster460]

Wie zegt dat het een online database was? Hackers dringen netwerken binnen. Dat ze van buiten naar binnen zijn gekomen betekent niet dat de informatie online stond.

[Houtenklaas]

Dit soort informatie hoort domweg niet op een netwerk die op wat voor manier dan ook aan het internet hangt. Uitganspunt één is dat alles gehackt kan worden, dus ook jouw netwerk. Is het lastig als het op een gescheiden segment staat in jouw bedrijf? Tuurlijk, dat is onhandig. Maar ook niet meer dan dat. Als bedrijf heb je simpelweg een verplichting naar de werknemers om letterlijk alles gedaan te hebben om hun data veilig te houden. Jouw eigen gemak is daarbij het slechtst denkbare excuus.

[gaskabouter]

En als dan de server gestolen wordt of in de brand vliegt weer gaan roepen dat er geen deugdelijke back up is?

Hou nou toch eens op iedere keer de slachtoffers van deze criminelen de schuld te geven. Zal ik eens bij jou doen als je mishandeld en beroofd wordt

[Houtenklaas]

Hou nou toch eens op iedere keer de slachtoffers van deze criminelen de schuld te geven. Zal ik eens bij jou doen als je mishandeld en beroofd wordt

Volgens mij zeg ik dat nergens. Wel dat er deuren hier en daar (half)open staan. En ja, in de nette wereld is dat nog steeds geen reden om naar binnen te lopen, de realiteit is echter dat het gebeurt en je je daartegen moet beveiligen. En dat is precies wat er vaak misgaat. Kortgeleden een middenstander waar ik op bezoek was die een NAS had staan als opslag, aan het internet, oude firmware en makkelijker op binnen te komen dan mijn eigen auto. Dat is gewoon nalatig. We leven helaas niet in een ideale wereld. Als er thuis wordt ingebroken zonder braaksporen, geeft jouw verzekering ook niet thuis. Zelfde verhaal.

[bytemaster460]

Dat is gewoon niet meer werkbaar. Als het wel hard gescheiden is wordt er weer geklaagd dat het allemaal bureaucratisch is en dat medewerkers allerlei capriolen moeten uithalen om gegevens te kunnen inzien en dat er zaken overschreven of overgetypt moeten worden omdat je op je werkplek niet én mag mailen en het archief mag inzien.

[Houtenklaas]

Dat is gewoon niet meer werkbaar. Als het wel hard gescheiden is wordt er weer geklaagd dat het allemaal bureaucratisch is en dat medewerkers allerlei capriolen moeten uithalen om gegevens te kunnen inzien en dat er zaken overschreven of overgetypt moeten worden omdat je op je werkplek niet én mag mailen en het archief mag inzien.

Ja dus? Vanwege gemak moet privacy maar wijken? Is dat wat je bedoelt?

[Quintiemero]

De AVG eist ook niet dat er geen datalekken mogen plaatsvinden.

[FrankHe]

Laten we beginnen met meer bewustzijn. Er zijn legio bedrijven die simpelweg te weinig maatregelen nemen om hun data te beveiligen. In dit geval zou je je ook nog kunnen afvragen waarom ze medische informatie van een werknemer zouden moeten opslaan? Dat zijn namelijk bijzondere persoonsgegevens waarvoor zelfs nog vele malen strengere regels gelden dan bij de 'reguliere' persoonsgegevens.

Wanneer na onderzoek wordt vastgesteld dat een organisatie nalatig is geweest in de beveiliging van de aan hun toevertrouwde informatie en ze dat kan worden aangerekend dan vind ik het niet meer dan logisch dat mensen daarvoor hoofdelijk aansprakelijk worden gesteld en daarvoor strafrechtelijk vervolgd kunnen worden.

Zoals gezegd gaat het om voorlichting en ook om auditing waarbij je een gecertificeerde derde partij de opdracht geeft om de boel te testen en daar rapport over uit te brengen. Zodra je dat allemaal nalaat dan mag je daar op worden aangesproken en bij grove misstanden mag daar wat mij betreft ook een strafrechtelijk traject uit volgen.

[B_FORCE]

Alsof mensen expres verkeersovertredingen of fouten in hun belastingaangifte maken?

Het idee van straffen is om ervoor te zorgen dat mensen iets meer nadenken dan gewoon domweg iets doen, of er eventueel van leren, of omdat men vindt dat het niet zo langer meer kan.

Momenteel zijn er zo goed als geen consequenties voor data-lekken.
Tel daarbij op dat het merendeel IT nogsteeds niet heel erg goed begrijpt en/of een houding heeft van; het zal wel loslopen of simpelweg geen zin heeft er moeite (lees: geld) in te willen stoppen.

[DieMitchell]

ik vind het een beetje dubbel want het is wel zo dat sommige bedrijven niet genoeg doen om het te voorkomen. of dit bij de AH ook zo is zou ik niet weten.

[logix147]

Al gedegen onderzoek door een derde partij bewijst dat data onveilig is opgeslagen geweest dan vind ik dat een boete op z’n plaats is.

Andersom klaagt een werkgever een werknemer ook aan als die nalatig handelt of ontslaat iemand, maar als werkgever mag je met een datalek na het melden ervan gewoon weer die publieke benaderbare ftp server optuigen en gebruiken… slecht voorbeeld maar als er geen financiële consequenties zijn zal budget voor ICT en de onzichtbare zaken zoals beveiliging nimmer belangrijk gevonden worden door de partijen die er te laks naar kijken.

[R4gnax]

Alsof bedrijven expres datalekken maken

Ja- dat doen ze. Dat is nou wat "laakbaar handelen" inhoudt, zeker wanneer het met voorbedachte rade is.
Hoofdstuk: "Nee- het is veel te duur om deze gegevens adqequaat te beschermen. Kan ook wel met wat minder, toch?"

Dat gebeurt echt nog te vaak binnen de IT, ben ik bang.

[Reactie gewijzigd door R4gnax op 23 oktober 2025 23:24]

[martijnvanegdom]

Ja maar hoe dan? Gaan we dan de directeuren van organisaties persoonlijk straffen? Of gaan we hoger boetes opleggen?

[Reactie gewijzigd door martijnvanegdom op 23 oktober 2025 20:40]

[DiedX]

Met de nis2 wordt de directie aansprakelijk gesteld.

[AiR60]

Dan hou je geen directeur meer over…

De vraag is ook hoe een dergelijk lek tot stand komt… is het te laat iets gepatcht of een medewerker die per ongeluk een verkeerde mail opent?

Ik vrees dat dit niet meer te voorkomen is… de vraag is niet of het bij bedrijf x gebeurt, maar meer de vraag wanneer…

Dan rijst de vraag, hoe makkelijk is het schijnbaar om aan alle naw gegevens te kunnen komen, dat is ook wel bizar. Erover nadenkend, als ik al toegang heb tot bedrijf x en ik zou administrator rechten moeten hebben, ik zou werkelijk geen idee hebben waar je dit uit vandaan moet halen….en zoveel gegevens, halen ze dat dan in 5 minuten op in een export?

ik denk dat meer de vraag ligt hoe persoonsgegevens beter beschermd kunnen worden voor dit soort acties….

[B_FORCE]

Hoezo niet?
Een bedrijf is ook aansprakelijk voor veiligheidsregels, daar hebben we (oa) de ARBO voor.
Bij zware misstanden, kan daarbij zeer zeker wel de directie worden aansprakelijkheid gesteld.
Waar zelfs grove boetes voor worden uitgedeeld.

Dit is in feite toch gewoon een soort van digitale ARBO wet over privacy?
Het is gewoon een kwestie van willen en het belang ervan willen snappen.
Helaas leert de geschiedenis, dat er eerst iets gruwelijks fout moet gaan en moeten mensen eerst in opstand moeten komen.
Dit ging ook vooraf aan veiligheidsregels en verplichtingen.

[sapphire]

Stel je toch eens voor dat je als directeur verantwoordelijk bent voor het reilen en zeilen van je bedrijf. Dat is hun werk verantwoordelijk zijn

En anno 2025 is het inderdaad een goed uitgangspunt dat het eens mis gaat ondanks je beveiliging maar ook daar kun je maatregelen in nemen. Kwestie van voorbereiding dus. Je kan niet alles voor zijn maar goed voorbereid zijn scheelt wel enorm veel. Segmenteren en actief monitoren bv.

Als het dan gebeurd en je kunt gewoon aantonen dat je je beveiliging goed op orde had en geen grove steken hebt laten vallen….

[kimborntobewild]

"actief monitoren*

Dat is inderdaad belangrijk. Regelmatig een pentest laten doen. Liefst elke keer bij een ander pentest-bedrijf.

[slaay]

En wat zou dat in dit geval oplossen? Het is te gemakkelijk roepen over 'straffen hoger'.

[Fairy]

Straffen voor degene die de diefstal pleegt zeker, liefst wereldwijd.

Bedrijven horen echter ook de beveiliging redelijk op orde te hebben maar voorkomen is nooit 100% mogelijk.

[R_Zwart]

En wie wil je dan straffen? Het team van sysadmins die de systemen niet tijdig gepatcht hebben? De enterprise architecten die fout in het ontwerp hebben gemaakt? De software leverancier? De directeur? IT systemen zijn het resultaat van teamwork en niemand maakt bewust iets dat lek is.

[FrankHe]

Zodra er sprake is van grove nalatigheid dan mag dat van mij wel degelijk gevolgen gaan hebben. Een organisatie met rond de 3500 medewerkers mag geacht worden minimaal jaarlijks een externe auditor opdracht te geven om de systemen technisch door te lichten en daar een rapport over op te stellen. Daar komen doorgaans verbeterpunten of adviezen uit voort.

Natuurlijk kun je er over discussiëren hoe nuttig sommige bevindingen of aanbevelingen van een auditor zijn, maar alles zomaar afserveren als onzin zou te simpel zijn. Wanneer de organisatie aantoonbaar belangrijke maatregelen niet heeft genomen dan mag dat van mij gevolgen hebben. Op het moment dat er duidelijk een hoofdschuldige kan worden aangewezen dan mag iemand van mij ook hoofdelijk aansprakelijk worden gesteld eventueel met strafrechtelijk traject.

[Mark de Vaal]

Ik zou neerzetten "Weer getroffen door datalek". Dit was een paar maand geleden ook al het geval.

[Torrentus]

Dit keer is het een franchisenemer. Dat is wel anders. Gewoon een ander bedrijf. De kop is in die zin juist wat te generiek, vind ik.

[Houtenklaas]

Technisch gezien was de eerste bij Ahold zelf, deze bij een Franchise-partij die 26 winkels onder zich heeft. De gelekte gegevens van deze keer zijn alleen van de franchise-club. 3500 man bij 26 winkels klinkt wat veel, maar ik neem aan dat het merendeel vakkenvullende jeugd zal zijn.

[911GT2]

3500 man bij 26 winkels klinkt wat veel,

135 werknemers per winkel. In mijn Ah lopen op ieder moment van de dag minsten 20 werknemers rond. Met 7 dagen per week is 135 niet een heel raar aantal zeker niet als het over meerdere jaren gaat.

[Mark de Vaal]

Bedankt voor de aanvulling.

[Thalaron]

Nee, maar het verklaart wel de hoeveelheid medewerkers per winkel. Iets met een beetje bijverdieners ipv FTE’ers.

[TNG128MB]

Is dit nu gewoon dagelijkse kost?

[kimborntobewild]

Dat is al tientallen jaren zo.

[Jeroen hofman]

opzich wel erg voor de werknemers, maar AH is een grote oplichters bende met een hoop fake food en zooi

volgens mij liggen ze al langer onder vuur, meen dat de koeling een eigen netwerk heeft en benadert kan worden van buiten.

Enige tijd terug waren ook alle koelingen leeg (stroom storing? , kan een storing zijn maar is nu de 2e keer 2e keer was ?ruim een maand geleden

[Soulmaster]

Albert Heijn is niet door een datahack getroffen, dat is die franchisenemer. Iets heel anders

[dasiro]

Inderdaad, zeker als je weet dat die keten ook hier in België actief is, is de impact verschillende grootteordes kleiner dan dat het héél hun personeelsbestand zou zijn geweest.

[Cyb]

Vroeg of laat wordt elke organisatie gehackt. De oplossing zou daarom niet alleen in het verbeteren van de beveiliging moeten liggen, wat slechts de frequentie van het lekken reduceert maar niet voorkomt, maar men (de overheid/Nederland) zou ook de vraag moeten stellen of het uberhaupt nodig is dat een werkgever privacy gevoelige data (paspoorten) van zijn werknemers langdurig opslaat. Wat mij betreft wordt dat gewoon verboden en moet de overheid komen met een beter systeem/wetgeving. Bijv. een systeem met asymmetrische cryptografie, waarbij de burger aan elke organisatie een andere sleutel kan verstrekken en zijn controle heeft over zijn gegevens.

[FrankHe]

Of in dit geval twaalf dikke ordners met kopieën van paspoorten in een kluis bewaren. Zo voldoe je volledig aan de wet die voorschrijft dat je de Belastingdienst op eerste verzoek inzage moet kunnen verschaffen. Plus je hebt het niet digitaal opgeslagen en bent op dat punt AVG-proof.

[Mizgala28]

Het gaat onder meer om adressen, e-mailadressen, paspoorten, handtekeningen, bankrekeningnummers en medische informatie.

Ik zou mij enorm zorgen maken hierover als medewerker daar (ik werk daar niet in ieder geval)

Genoeg gegevens om van de betreffende mensen hun leven zuur te maken, bankrekeningnummer is als erg genoeg, maar handtekeningen en paspoorten erbij maakt het nog erger.

[vinkjb]

ik werk bij AH, en ik kan me niet herinneren dat er iets vermeld was onze werknemers site.

Lekker stil houden, kan er naast zitten herinner me het niet zo snel

Dit is weliswaar bij een eigen ondernemer maar die maakt toch ook gebruik van de AH techniek.

[Reactie gewijzigd door vinkjb op 23 oktober 2025 21:18]

[Johnny E]

Ik kan je verzekeren dat deze franchisenemer voor het opslaan van de HR data en persoonlijke gegevens van medewerkers GEEN gebruik maakt van de systemen van Ahold Delhaize. Elke franchisenemer is een eigen ondernemer en heeft zijn eigen HR systemen.

[Bierkameel]

Balen voor de werknemers.

Dit is wel een van de redenen dat ik om de paar maand een nieuwe anonieme bonuskaart pak en die niet registreer, tegenwoordig willen ze alles van je weten en je aankopen koppelen aan een persoon.

[Elorad]

Volgens RTL is het datalek het gevolg van een ransomwareaanval op de franchisenemer

Ik dacht dat ransomware altijd als kenmerk had dat de data versleuteld werd (het daadwerkelijke gijzelen zeg maar) en het losgeld wordt betaald voor het opheffen van de versleuteling. Maar daar lees ik verder niks over, alleen over publicatie van gestolen gegevens. Of vergis ik me?