Wanneer is een datalek geld waard?

Arnoud Engelfriet over datalekken en schadeclaims

Wanneer is een datalek geld waard?

Datalekken zijn aan de orde van de dag. Tegenwoordig zit daar steeds vaker een vervolgvraag bij: hoeveel kan ik vangen? Menige claimstichting is er groot mee geworden, of is dat van plan. Maar hoeveel schade lijd je nu echt bij een AVG-schending, zoals een datalek? Is het wel de bedoeling dat mensen daar claims over indienen? En wat is de rol van massaclaimstichtingen hierbij?

Terug naar de basis: de schadeclaim

Juridisch gezien is ‘schade’ een breed begrip. Als we het hebben over schadeclaims of schadevergoeding, dan bedoelen we meestal geleden schade door een onrechtmatige daad of een wanprestatie onder een overeenkomst. Als iemand inbreuk pleegt op andermans recht, de wet schendt of zich 'maatschappelijk onzorgvuldig' gedraagt, dan noemen we dat een onrechtmatige daad (art. 6:162 BW) en moet hij de schade vergoeden die daaruit voortvloeit. Althans: die schade die hem toe te rekenen is en als de norm beoogt dit soort schade te reguleren. Bij de overeenkomst geldt iets vergelijkbaars, maar daar kijken we primair naar toerekenbaarheid versus overmacht (art. 6:74 BW), of je in verzuim bent en nog een paar van die randzaken.

Een datalek past in dit systeem; het is een wetsschending, namelijk het niet adequaat geregeld hebben van je beveiliging (artikel 32 AVG). Maar pas op, er zijn ook datalekken waar niet voor geclaimd kan worden; dat zijn lekken die ontstaan ondanks een goede beveiliging. De AVG eist niet dat datalekken altijd tegengehouden moeten worden of dat daarvan de schade altijd vergoed moet worden. Heel formeel claim je dus niet voor het datalek, maar voor de beveiligingsfouten die het lek tot gevolg hadden. Maar ik geef toe: dat bekt een stuk minder lekker.

Ander nadeel

Goed, dan hebben we dus een onrechtmatige daad. En bij andere situaties wellicht een contractuele claim. En dan is het mooie van ons Burgerlijk Wetboek dat er één regeling is (Boek 6, Titel 1, Afdeling 10 BW) die vervolgens bepaalt wat schade is, hoe je de verdeling daarvan afweegt en hoe je als rechter tot een bedrag, of andere vordering, zoals rectificatie, komt. Hier kunnen we een hele beslisboom van tekenen, maar ik houd het even simpel. Schade kan bestaan uit vermogensschade en 'ander nadeel', waarbij vermogensschade in principe alleen omzetverlies, gederfde winst en beredderingskosten omvat. Die moeten dus worden vergoed, waarbij de rechter goed moet kijken of deze écht door het handelen van die ander komt. Eventuele eigen schuld, je had het kunnen voorkomen, kan ertoe leiden dat je vergoeding omlaaggaat, maar ook profiteren van de aanleiding, is niet de bedoeling.

In een alweer wat oudere zaak (2008) liet de rechter zien hoe dat gaat bij ict-kwesties. Overheidsautomatiseerder ICTU had een enorme schadeclaim ingediend bij de (strafrechtelijk veroordeelde) daders van een serie grote ddos-aanvallen op overheidsdiensten. ICTU moest noodmaatregelen nemen, zoals extra bandbreedte inkopen en een extra router inzetten om te kunnen filteren, en had ook de nodige structurele maatregelen genomen om te zorgen dat dit niet nog een keer kon gebeuren. Dit laatste blijft buiten beschouwing: als jouw oude infrastructuur stukging, dan heb je recht op opruimkosten daarvan, maar niet op een gloednieuwe extra sterke vervanger.

Bij 'ander nadeel' komen we bij wat juristen de immateriële schadevergoeding noemen. Zaken waar niet direct een bedrag op te prikken is, en die vaak een stuk minder hard zijn. Ook daar kun je een schadeclaim voor indienen, maar dat ligt iets ingewikkelder. De reden daarvoor is vooral een stuk conservatisme.

Hondjes in de magnetron en andere toestanden

'Wij willen geen Amerikaanse toestanden', is de standaardfrase waarmee menig juridische analyse van schadeclaims begint. Heel vaak komt dan dat hondje in de magnetron langs, of die mevrouw die McDonald’s aanklaagde omdat haar koffie te heet was. Zo iemand krijgt dan miljoenen mee naar huis, en jezelf verrijken omdat je toevallig een paar euro schade had, dat vinden wij niet de bedoeling, helemaal niet met de huidige praktijk in de Joenaited Steets. Daar starten professionele claimclubs voor ieder wissewasje een classactionlawsuit op, halen ze honderden miljoenen binnen waarvan het grootste deel naar de advocaten gaat en krijgen de in theorie benadeelde personen een iTunes-cadeaubon als het even zo uitkomt.

Ik chargeer, maar dit is wel de kern van ons schadevergoedingsrecht. Overigens is van die Amerikaanse verhalen veel niet waar of gebaseerd op een heel ander punt, onder meer dat mensen vaak niet verzekerd (kunnen) zijn voor zulke schade of omdat er veel meer gebeurde dan enkel 'de koffie was heet'. In die McDonald's-koffiezaak bijvoorbeeld was de koffie véél heter (90 graden) dan gebruikelijk, er waren voordien honderden klachten geweest en de eiseres was uitgelachen door de manager toen ze verhaal kwam halen. Dat weegt mee in de VS: een jury mag dan punitive damages, oftewel een civielrechtelijke boete opleggen om het ongewenste gedrag te corrigeren.

In Nederland is vooral dat idee van arbitraire bedragen, en dan vooral als boete, iets waar veel weerstand tegen bestaat. Schade moet worden vergoed, maar die schade moet aantoonbaar hard te maken zijn. Kom maar met bonnetjes van een herstelbedrijf of een inschatting van een expert over de kosten van de renovatie. Laat maar een boekhouder opdraven die berekent hoeveel gemiste omzet deze baksteenmakende update het bedrijf heeft gekost. Reken maar uit wat het koersverschil was tussen de dag dat die bitcoin geleverd zou worden en de dag dat je hem werkelijk kreeg, enzovoorts.

Materiële schade

Dit zijn allemaal ook nog eens voorbeelden van schade die een soort van objectief aan te tonen is, de materiële schade. Bij meer immateriële schade ligt dit nog moeilijker: welk bedrag hoort er bij verdriet, pijn en verlies aan levensvreugde? Nu is die regel van schade onderbouwen niet keihard; de rechter mag schatten als er geen andere optie is. In andere rechtsgebieden doen rechters dat ook, zoals bij letselschade bij verkeersongevallen. Hier is een hele compilatie van, het Smartengeldboek van de ANWB. Een paar voorbeelden: 7500 euro voor beenletsel waardoor je niet meer zelfstandig kunt wonen met je dochtertje, of 8868 euro voor jarenlang zwaar trillend geluid van een langsrijdende trein.

Dat laatste voorbeeld is overigens indirect een privacykwestie: dat gedreun en getril in je huis raakt je in je persoonlijke levenssfeer. Dus dan zou je zeggen dat dit ook toepasbaar moet zijn bij een AVG-schending, zoals een datalek. En dat klopt helemaal, en er is zelfs een precedent: in april 2020 kreeg een man 500 euro aan smartengeld voor de gevolgen van een datalek waarin medische gegevens, psychiatrische rapporten van het Pieter Baan Centrum, met derden waren gedeeld. Het bedrag werd 'naar billijkheid vastgesteld', oftewel kon niet nader worden onderbouwd, maar leek verder niet heel bezwaarlijk. Een latere zaak met langdurig lekken van medische gegevens leverde maar liefst 2500 euro schadevergoeding op.

In een andere zaak in die periode leidde echter een vergelijkbaar datalek, maar dan van niet-medische gegevens, tot géén vergoeding. Niet omdat deze rechter een stuk strenger was op die billijkheid, maar omdat er een fundamenteler probleem was in deze zaak. Er moet wel schade aangetoond zijn. Het enkele feit dat de AVG geschonden is, of zelfs dat een van je grondrechten geschonden is (bescherming persoonsgegevens, art. 10 lid 2 Grondwet), maakt nog niet dat je dus automatisch voor een vergoeding in aanmerking komt. Je moet apart onderbouwen dat er nadelige gevolgen zijn ontstaan. De enige uitzondering is als 'de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde voor de hand liggen', wat dus het geval was in die zaak met medische gegevens.

Dus samenvattend: ja, het is mogelijk om schade door een datalek te claimen (als de beveiliging niet op orde was). Dat kan zowel materiële als immateriële schade zijn. Een voorbeeld van materiële schade bij een datalek is een nieuw paspoort aanvragen, iets dat in september 2021 gebeurde na een datalek bij de provincie Gelderland. Immateriële schade kan ook, en je hoeft daarvoor geen bonnetje of schade-expert te hebben. Maar het moet wel duidelijk zijn dat er schadelijke gevolgen zijn. Bij medische zaken is daar een verhaal van te maken, maar in andere gevallen lijkt dit lastig.

De opkomst van de massaclaim

Massaclaims zijn sinds 2020 in Nederland toegestaan.Weet je wat ook Amerikaanse toestanden zijn? Massaclaims. Neem een heleboel mensen die ongeveer dezelfde klacht hebben, start één rechtszaak en dien namens allemaal tegelijk een claim in. Inderdaad, dan kan het hard gaan met de totale schadeclaim, en als je dan in een jurisdictie gevestigd bent waar je als advocaat een percentage van de toegewezen vergoeding mag pakken als jouw tarief, dan kan dit zeer lucratief zijn. Mede vanwege de zorg over deze praktijk mogen in Nederland advocaten niet werken met no cure no pay of een percentage van de claim als vergoeding. In de VS wel, omdat ze daar vinden dat het een prikkel geeft voor advocaten om overal achteraan te gaan als er geld zit.

Een andere regel tegen massaclaims is vrij recent afgeschaft. Deze verbood verenigingen en stichtingen die namens een achterban optraden, een vergoeding van schade te incasseren bij derden. Ze mochten alleen zaken als een verbod, rectificatie en dwangsommen eisen wanneer de rechten van hun achterban werden geschonden. Ik hoef denk ik niet uit te leggen wie stichting Brein is, maar die opereerde dus precies binnen dit stramien en mocht dus geen schadevergoeding vorderen bij de platforms die ze heeft gesloten. Maar ook de Consumentenbond, een vereniging, mocht alleen zulke claims indienen en geen geld vragen.

Op 1 januari 2020 trad de Wet afwikkeling massaschade in collectieve actie (WAMCA) in werking. Deze brak scherp met de oude regels: collectieve organisaties zoals de Consumentenbond of stichting Brein mogen nu ook een schadevergoeding eisen. Wel gelden er een aantal eisen, zoals eerst geprobeerd te hebben in overleg eruit te komen. De belangrijkste is die van representativiteit: de organisatie moet voldoende representatief zijn voor de achterban. Dit laatste is waar de eerste ict-massaclaim op strandde: de rechtbank vond 75.000 likes op de pagina van de club niet voldoende bewijs van representativiteit.

GGD-datalek

Let op dat het hier dus niet gaat om een collectieve actie van een groep gedupeerden. Of zelfs maar om een actie voor iedereen die zich heeft aangemeld als slachtoffer. De constructie is echt abstract: 'personen waarvan onzeker is of hun persoonsgegevens als gevolg van het GGD-datalek zijn ontvreemd' en 'personen waarvan [dit] vaststaat', zoals stichting ICAM het formuleert in hun dagvaarding tegen de staat. Het onderscheid is relevant omdat die eerste groep de onzekerheid wil opheffen. De stichting eist voor beide categorieën een schadevergoeding, en omdat het gaat om mogelijk 6,5 miljoen mensen, kan dat om enorme bedragen gaan.

Niemand uit deze groep heeft een contract met ICAM getekend om vertegenwoordigd te zijn. Dat hoeft dus ook niet: als ICAM kan laten zien voldoende representatief te zijn en aan zekere kwaliteitseisen te voldoen, zoals een band met Nederland hebben, dan kan zij gewoon die eis indienen. De rechter zal dan over de gehele achterban oordelen, en dus, als alles voor ICAM gunstig uitpakt, een claim toewijzen die dan tot 6,5 miljoen keer 500 euro zou zijn. Wie niet mee wil doen, kan zich via een opt-out afmelden, en het dan zelf proberen als daar behoefte aan is.

In Nederland mogen advocaten dus geen deel van dat geld opstrijken. Zij factureren gewoon voor hun werk, meestal op uurtarief. Dit doen ze ook bij massaclaims, ongeacht of de uitkomst nou positief of negatief is. Tegelijkertijd is het een en ander gratis voor de gedupeerden. De constructie is die van procesfinanciering: een externe partij, in dit geval Liesker Procesfinanciering, betaalt de advocaat, maar mag vervolgens wel weer geld uit de eventuele schadevergoeding halen wanneer de zaak gewonnen wordt (20 procent tot maximaal vijf keer de kosten). Als iemand verliest of als er geen bedrag wordt toegekend, dan draagt Liesker dat verlies.

Er is vanaf de invoering van de WAMCA veel gediscussieerd over procesfinanciering, en de GGD-zaak maakte extra veel bezwaren los: massaclaims moesten gaan over 'beperkte groepen' en niet 6,5 miljoen mensen, als ik het even kort door de bocht samen mag vatten. En toegegeven, het is een enorme groep en daarmee een enorme claim. Maar daar staat tegenover dat bij datalekken er ook dergelijke enorme aantallen gegevens gelekt mogen worden. Het lijkt me raar dat je wel een massaclaim mag indienen over miljoenen auto’s met sjoemelsoftware, maar niet over tientallen miljoenen persoonsgegevens.

Gaat een bedrag haalbaar zijn?

Hoe je het ook wendt of keert, ook bij massaclaims moet er op een zeker moment een bedrag gezet worden op de schade. Die 500 euro duikt vaak op, maar dat is volgens mij meer conservatisme dan iets anders: als velen roepen dat 500 redelijk is, dan zal ik het ook maar roepen (haha, ja, llm's lijken wel llm's, inderdaad, grappig). En zoals gezegd, rechters willen er niet echt aan. Ik denk dat je voor ‘gewone’ lekken er rustig een nul af mag halen, waardoor het nauwelijks interessant wordt om je schade individueel te gaan verhalen, met het oog op de kosten, want die komen voor je eigen rekening. Die 'gewone' lekken zijn voor een massaclaim nog steeds interessant: 6,5 miljoen keer 50 euro is ook nog een leuk bedrag.

Wanneer is een bedrag hoog genoeg?Ook andere nieuwe wetgeving zal dit soort claims mogelijk maken. Er wordt nu bijvoorbeeld gewerkt aan de Cyber Resilience Act, die gaat eisen dat internet-of-thingsapparaatjes veilig moeten zijn. Naast bestuursrechtelijke handhaving zit daar ook een massaclaimconstructie bij: een apparaat dat niet veilig is, wordt geacht ‘defect’ te zijn, net zoals een tv die ontploft als hij te lang in stand-by staat. Hier is de schade wellicht iets makkelijker vast te stellen dan de prijs van het apparaat. Maar als de onveiligheid hem zit in datalekken, dan komen we weer bij dezelfde discussie terug.

Het is voor mij meer de vraag of een financiële claim het middel is om het probleem, prutsbeveiliging en slordig werken, op te lossen. Organisaties zullen vast schrikken van zo’n bedrag, maar gaan ze daardoor de ict helemaal opnieuw doen: autorisaties herzien, e-mail in de ban, supplychain auditen, zulke dingen? Ik heb er een hard hoofd in: organisaties zijn naar hun aard hardleers. Een financiële aanslag is pijnlijk, maar leidt vooral tot financiële maatregelen om het op te vangen. De prijs wat omhoog, intern wat bezuinigen en het moet maar verder. De link tussen die bedragen en de bedrijfsprocessen waar het schadebrengende feit uit komt, is net iets te los.

De AVG kent meerdere instrumenten die je als betrokkene, als slachtoffer dus, kunt inzetten. Je kunt bijvoorbeeld ook verwijdering van je data eisen, of juist een bepaalde verwerking laten verbieden omdat die je schade oplevert. Moet je je voorstellen: een massaclaim waarin álle gebruikers van Salesforce komen eisen dat hun data bij álle afnemers in Nederland wordt gewist. Volgens mij is dat veel meer een dreun dan ‘slechts’ een paar miljoen euro betalen. Net zoals je onder de CRA dan zou kunnen eisen dat die onveilige apparaten van de markt gehaald worden. Dat zou een nuttige eis voor claimorganisaties kunnen zijn, wat een goed compromis geeft tussen 'alleen maar geld willen verdienen' en 'iedereen moet individueel 50 euro schade claimen'.

Reacties (59)

[MikeyMan]

Het is voor mij meer de vraag of een financiële claim het middel is om het probleem, prutsbeveiliging en slordig werken, op te lossen

Dat is voor mij wel de essentie. Hoe vaak ik geen mailtjes krijg met de melding 'oeps, we zijn je spullen kwijt geraakt' is inmiddels niet meer op twee handen te tellen. Enige gevolgen zijn er niet, behalve voor mij. En als het nou louche partijen zouden zijn... Maar ook de grote, gerenommeerde jongens doen hier net zo hard aan mee.

[wildhagen]

Enige gevolgen zijn er niet, behalve voor mij.

Niet mee eens. Natuurlijk zijn er wel gevolgen. Organisatie die verwijtbaar zijn bij datalekken krijgen immers boetes opgelegd. Om het over reputatieschade nog niet te hebben.

Zie bijvoorbeeld de volgende artikelen:

- nieuws: UWV krijgt 450.000 euro AVG- en Wbp-boete voor slechte beveiliging en...
- nieuws: Booking.com krijgt boete van 475.000 euro voor te laat melden datalek...
- nieuws: Toezichthouder wil 204 miljoen euro boete voor British Airways na gro...

En dit zijn nog maar enkele van de vele, vele voorbeelden.

De AP doet ook genoeg onderzoek naar bedrijven: nieuws: Autoriteit Persoonsgegevens ondernam vorig jaar 1180 keer actie tegen...

Ze komen er dus zeker niet 'zomaar mee weg'.

[Reactie gewijzigd door wildhagen op 23 juli 2024 23:15]

[eheijnen]

Maar de AP is wel structureel onderbezet met als gevolg dat ze de stroom niet aankunnen.
nieuws: Achterstand klachten bij privacytoezichthouder is opgelopen tot meer ...

[wildhagen]

Klopt, maar dat is iets anders dan 'er zijn geen gevolgen', 'ze doen niks' en 'ze komen overal mee weg'.

Personeelstekort speelt nu eenmaal overal, en de AP moet het doen met het relatief beperkte budget wat ze van de overheid krijgen. Dus moeten ze prioriteren en kunnen ze idd niet alles oppakken, of pas (veel) later.

Maar ze treden dus wel degelijk op tegen AVG-schendingen.

[eheijnen]

Ze treden zeker op.
De kans dat je ermee wegkomt c.q. een klacht niet de volledige/juiste aandacht krijgt, door de werkdruk, maakt wel de kans groter dat je er tussendoor glipt.

Budget zal zeker omhoog moeten en aan de andere kant betere regeleving om producten en diensten veiliger te maken zodat de klachten afnemen dan wel de stroom gestabiliseert raakt.

[Frame164]

Budget is geen toverwoord. Je kunt hoogstens mensen elders weglokken maar dan ontstaat daar weer een probleem. Als iedere sector met personeelstekorten meer budget krijgt verandert er niets.

[R4gnax]

Klopt, maar dat is iets anders dan 'er zijn geen gevolgen', 'ze doen niks' en 'ze komen overal mee weg'.

Ik denk dat de intentie hier meer is dat de gevolgen gering genoeg zijn dat er geen lange-termijn corrigering en verbetering van gedrag uit voortvloeit. Een beetje het 'boete aftikken en weer door' gevoel.

[sjettepetJR.]

Het maakt niet uit wat de oorzaak is, het gevolg is dat er bij het overgrote deel van de datalekken geen gevolgen zijn. Waardoor er niet genoeg stimulans is voor bedrijven om het goed op orde te hebben.

[MikeyMan]

Definieer 'ze'. Zou het na moeten zoeken, maar geen van de partijen die in het nieuws zijn gekomen, behoorden tot de lekken waar ik onderdeel van geweest ben. Maar daar zal misschien wel een lijst van terug te vinden zijn.

Punt is ook; mijn data ligt op straat. Dat draai je niet meer terug met een boete. Al helemaal niet als ik nieteens weet of er een boete geweest is.

Ik zit even te zoeken of er bijvoorbeeld voor het datalek bij allekabels iets is ondernomen, maar vind zo snel niks terug. Zelfde geldt voor Louwman en Vattenfall die ik me zo snel nog weet te herinneren.

Dus ja er gebeurt wellicht wel iets, maar ik heb er niks aan en krijg er niks van mee.

[Reactie gewijzigd door MikeyMan op 23 juli 2024 23:15]

[Kees]

Dus ja er gebeurt wellicht wel iets, maar ik heb er niks aan en krijg er niks van mee.

Maar heb je er ook last van gehad en/of schade erdoor geleden?

[MikeyMan]

Natuurlijk heb ik er last van. Mn data ligt op straat. Schade is nogal lastig vast te stellen totdat het echt mis gaat.

[CivLord]

Wat zou de schade zijn wanneer het mis gaat?
Welke gegevens liggen exact op straat en wat zouden kwaadwillenden daar mee kunnen doen?
Identiteitsdiefstal is in de praktijk nog redelijk lastig. Voor alles waar je bv. een BSN nodig hebt, moet je je ook persoonlijk identificeren, net als voor bv. het aangaan van grote financiële verplichtingen. Sommige bedrijven doen daar wat makkelijk over en slaan uit praktische overwegingen de persoonlijke identificatie of het zetten van een handtekening over, om alles op afstand te kunnen regelen. Maar daarbij nemen ze wel het risico dat zij niet kunnen aantonen dat ze daadwerkelijk een overeenkomst met jóu hebben afgesloten en dat jij kan weigeren aan de overeenkomst mee te werken (bv. betalen). Toegegeven, het is niet makkelijk, omdat dat soort bedrijven het bewust gekozen risico meestal af laten dekken door een advocatenbureau dat goed is in het schrijven van blafbrieven, maar door vanaf het begin duidelijk te maken dat je nergens aan mee wilt werken en dat ze de keuze hebben tussen óf vernietiging van de overeenkomst óf zo snel mogelijk naar de rechter gaan binden ze meestal redelijk snel in.

[Groningerkoek]

Die vraag is eigenlijk alleen te beantwoorden met weet ik niet of met ja, want ook al is er nu geen last/schade dan kan die jaren later alsnog ontstaan. Daarnaast is het vaak lastig om vast te stellen of iets door specifiek dat datalek komt.

[eheijnen]

"ze" Is in deze context de AP.

[WouterL]

Je gaat er vanuit dat een datalek altijd iets is waar een gevolg aan vast zou moeten zitten. Zo werkt het natuurlijk niet; alleen als het lek is veroorzaakt door verwijtbaar handelen, bijvoorbeeld omdat de beveiliging volgens de huidige stand der techniek in verhouding tot de te beveiligen gegeven niet op orde was; het moge duidelijk zijn dat geld hierbij zeker ook een rol speelt. Hoe professioneler het bedrijf en hoe gevoeliger de gegevens, hoe meer men mag verwachten van de beveiliging. Dat jouw gegevens gelekt zijn, wil nog niet zeggen dat er daarna een boete of handhaving zou moeten volgen. Dat is “case by case” werk. Elk bedrijf heeft kwetsbaarheden. Als iemand maar graag genoeg binnen wilt komen. Overigens kun je je bij veel datalekken afvragen wat nu daadwerkelijk de schade is. Veel van je data is al wel te vinden op het Darkweb.. zeker wanneer het gaat om je naam en e-mailadres.

[Reactie gewijzigd door WouterL op 23 juli 2024 23:15]

[vgroenewold]

Die boetes stellen weinig voor, dat is echt alleen maar bedoelt om de bedrijven een beetje te bewegen, hopelijk, maar de bedrijven hebben dit meestal gewoon ingecalculeerd. Net als mensen die veel verdienen, boetes incalculeren. Het staat niet in verhouding met wat een lek van mijn gegevens voor mij kan betekenen, financieel.

[Reactie gewijzigd door vgroenewold op 23 juli 2024 23:15]

[Frame164]

Hebben juliie op het werk tonnen in de begroting staan voor dit soort boetes?

[vgroenewold]

Ieder, enigzins groot bedrijf, heeft dat met gemak ja. Op mijn werk (dat was nog toen ik in een ziekenhuis werkte in de wetenschap) had gewoon een budget voor een nieuwe machine van een miljoen. Voor 1 groep.. en dat is wetenschap waar nooit geld voor is. Tonnen stellen niks voor.

[Aldy]

Ik denk dat als je boetes voor beveiligingslekken incalculeert, de AP weleens kan zeggen dat er een behoorlijke nalatigheid in het spel is. Een beetje bedrijf doet er juist alles aan om niet te lekken en zal bij voorbaat geen bedragen voor boetes op de begroting hebben staan voordat er gelekt is.

[vgroenewold]

Nee dat snap ik, maar dan zet je het gewoon onder het kopje "onvoorziene uitgaven". Neem aan dat dat vrij normaal is. Het zal ook niet direct iets zeggen over nalatigheid, maar omdat het juist zoveel voorkomt de laatste tijd kan ik me dat prima voorstellen.

[CivLord]

Het is inderdaad bedoelt om bedrijven te bewegen de boel op orde te krijgen. De éérste boete.
Wanneer er daarna door eenzelfde, of vergelijkbare fout of gebrekkige beveiliging opnieuw een lek ontstaat is de boete een stuk minder mals. Die gaat echt pijn doen.
Bij een derde keer is het alle zeilen bijzetten om het bedrijf overeind te houden, wanneer er dan al geen aanvullende bestuurlijke maatregelen getroffen kunnen worden.

[vgroenewold]

Ah interessant, zijn daar al voorbeelden van eigenlijk?

[CivLord]

Niet dat ik weet.

[Superstoned]

Maar dat was ook precies het punt van mr Engelfriet - dat die financiële gevolgen eigenlijk in veel gevallen gewoon als de kosten van bedrijfsvoering worden gezien, en niet leiden tot verbeteringen in de bedrijfsprocessen, aka, beveiliging. Daarom zetten ze er in de vs punitive damages op die inderdaad in de vele miljoenen lopen - ik heb eigenlijk helemaal niet zo’n probleem met “Amerikaanse toestanden” wat dat betreft. Er zijn soms schijnbaar domme voorbeelden maar als je er induikt is het vaak zo gek nog niet. En deze bedragen zorgen WEL voor verandering van gedrag. Als je als bedrijf failliet kan gaan als je X niet doet dan is de kans toch vrij groot dat je X gaat invoeren…

[centr1no]

ik heb eigenlijk helemaal niet zo’n probleem met “Amerikaanse toestanden” wat dat betreft

Als motivatie heeft het uiteraard meer impact als de consequenties groter zijn. Maar de 'Amerikaanse toestanden' zijn niet alleen dat. Veel dingen halen de rechtszaal niet omdat ze vooraf geschikt worden. Je moet als individu een advocaat kunnen betalen of 100% zeker zijn dat je de zaak wint als je als individu niet alsnog failliet wilt gaan. Zowel normale mensen als advocaten maken misbruik van het systeem. En de geclaimde bedragen zijn meestal totaal niet realistisch of in verhouding met het daadwerkelijk geleden leed, als daar al sprake van is.
In de VS hebben meerdere staten ondertussen ook een plafond gezet op de bedragen die via zo'n zaak toegekend kunnen worden.

En deze bedragen zorgen WEL voor verandering van gedrag.

Is dat wel zo?
Je kunt je gewoon verzekeren voor die dingen. Bedrijven zullen er in ieder geval niet vlug failliet aan gaan.
Het is ook niet bepaald zo dat we nooit of maar zelden lezen over misstanden bij Amerikaanse bedrijven. Of overheidsinstanties.
Het is zelfs gebleken dat bedrijven een lawsuit gewoon verwachten en afschrijven als onkosten als de winst van de verkoop van een product vele malen hoger is.

[Reactie gewijzigd door centr1no op 23 juli 2024 23:15]

[CivLord]

Je kan je er voor verzekeren, maar verzekeringsbedrijven houden er niet van om uit te keren.
Na een uitkering, zullen de verzekeringspremies omhoog gaan. En een tweede uitkering voor dezelfde oorzaak (wanneer je dus hebt laten zien dat je niet hebt geleerd van de eerste keer en je gedrag dus niet hebt veranderd) is niet meer gedekt door de verzekering.

[Noxious]

Die reputatieschade zal ze een worst wezen.

In veel gevallen is er geen alternatief (neem het UWV) of was er toch al een slechte reputatie (ook het UWV).

In veel andere gevallen bereikt dit nieuws het overgrote deel van de consument niet eens. Ook niet bij een meldplicht, want voor de gemiddelde consument is het 'yet another issue' met een bedrijf, maar gaan ze het volgende jaar vrolijk weer met die partij op vakantie. Het beeld van 'kan gebeuren toch' en 'het overkomt iedereen' is sterk aanwezig. Als een bedrijf gepakt wordt met een lekke database, ransomware of iets anders; dan is er medeleven met het slachtoffer.

Ook in mijn werk binnen de IT zie ik defaultism in de zin van "het is niet of je het overkomt, maar wanneer - je kan het hooguit zo lang mogelijk uitstellen met goede beveiliging". En dat blijkt in de praktijk helaas voor een deel waar, want vrijwel niemand heeft het volledige landschap in beeld. Zeker niet met de complexiteit van supply chain attacks, SaaS-leveranciers, enz enz..

[eheijnen]

Die weten ook dat "Jan Modaal" en zijn paar zuur verdiende euros die hij overhoud per maand niet zal uitgeven aan een advocaat en om genoegdoening te krijgen.

Het moest eigenlijk wel makkelijker zijn om dit soort dingen bij de AP te melden. Die deze dan verzamelt en daarmee de belangen behartigt van de burgers. Want dat horen ze eigenlijk te doen.

Dat hoeven nog niets een dezelfde klachten te zijn maar wel gegroepeerd per bedrijf/instantie. Waarmee deze dan geconfronteert kunnen worden.

[Reactie gewijzigd door eheijnen op 23 juli 2024 23:15]

[wildhagen]

Het moest eigenlijk wel makkelijker zijn om dit soort dingen bij de AP te melden.

Makkelijker zijn? Het is gewoon een kwestie van het webformulier invullen: https://autoriteitpersoon...eldingsformulier-klachten

Dat kost je letterlijk een paar minuten, en er staat toelichting op wát je moet invullen. Hoe zou dat nóg makkelijker kunnen dan? Wel zodanig dat de AP álle benodigde informatie heeft voor een onderzoek

Dan kom je al snel in de trant van een mail als "He, ik ben Jan en mijn gegevens zijn gelekt. Doe er wat aan! Groeten". Daar kan de AP dus niet zo gek veel mee. En ze hebben al onvoldoende capaciteit as-is, als ze ook nog eens achter al die info aan moeten gaan, dan houden ze helemaal geen tijd en capaciteit meer over. Vandaar dus dat ze dat meldingsformulier gemaakt hebben, waarin alle vereiste informatie al wordt gevraagd.

[eheijnen]

Je hébt gelijk, dát wás misschien wát kort dóór de bocht (). Maar feit blijft natuurlijk dat het in de praktijk niet het beoogde effect heeft.

Het is waarschijnlijk wat te makkelijk om hier conclusies te trekken terwijl weinig tot geen info beschikbaar is over hoe bij de AP de zaken intern geregeld zijn.

[Reactie gewijzigd door eheijnen op 23 juli 2024 23:15]

[LurkZ]

Makkelijker zijn? Het is gewoon een kwestie van het webformulier invullen: https://autoriteitpersoon...eldingsformulier-klachten

Heel makkelijk.

Vandaar dus dat ze dat meldingsformulier gemaakt hebben, waarin alle vereiste informatie al wordt gevraagd.

Niet zo makkelijk.
Er zijn bedrijven die zeer veel info kunnen delen. Dat kost tijd, dus niet makkelijk.
Aan de andere kant v/h spectrum heb je bedrijven die eigenlijk geen idee hebben wat er is gebeurt. Dan is een formulier invullen niet makkelijk.

[Floort]

Een datalek past in dit systeem; het is een wetsschending, namelijk het niet adequaat geregeld hebben van je beveiliging (artikel 32 AVG). Maar pas op, er zijn ook datalekken waar niet voor geclaimd kan worden; dat zijn lekken die ontstaan ondanks een goede beveiliging. De AVG eist niet dat datalekken altijd tegengehouden moeten worden of dat daarvan de schade altijd vergoed moet worden. Heel formeel claim je dus niet voor het datalek, maar voor de beveiligingsfouten die het lek tot gevolg hadden. Maar ik geef toe: dat bekt een stuk minder lekker.

Het onderscheid tussen een inbreuk op de beveiliging (een "datalek") en een onvoldoende beveiliging is wat mij betreft te belangrijk om te doen alsof het meestal hetzelfde is. Aleid Wolfsen heeft recent opmerkingen gemaakt die volgens mij onjuist en schadelijk zijn waar ik een stukje over geschreven heb. Het is heel belangrijk dat mensen weten dat transparantie over datalekken niet hetzelfde is als transparantie over overtredingen van de AVG. Een artikel 32 overtreding (gebrekkige beveiliging) kan de oorzaak zijn van een datalek maar als je naar de meldstatistieken kijkt zie je dat een behoorlijk aandeel van de gemelde datalekken niet het gevolg zijn van overduidelijke art. 32 overtredingen. Mensen opjutten zoals Wolfsen deed om organisaties die slachtoffer zijn geworden van hackers te behandelen als wetsovertreders zonder die nuancering ontmoedigd vooral de transparantie die nodig is na een datalek om schade te beperken en goed toezicht mogelijk te maken. Beter is het als men de detectie van een inbreuk op de beveiliging primair als een signaal ziet om de schade voor dat incident zoveel mogelijk te beperken (inclusief melden aan betrokkenen zodat die maatregelen kunnen nemen) en om te evalueren of er bepaalde beveiligingsmaatregelen verbeterd kunnen worden om de kans op herhaling te verlagen of het voortaan sneller op te merken.

Edit: Dit is wat de AP zelf zegt over 2021 (nog geen statistieken over 2022).

Daarbij valt op dat veruit de meeste datalekken ontstaan bij per post bezorgde persoonsgegevens. De voornaamste reden waarom dit incident optreedt, is dat de geadresseerde niet langer op het
geregistreerde adres woont.

Een verhuizing is geen art. 32 overtreding. En een overtreding van de AVG als oorzaak van een datalek is niet vanzelfsprekend.

[Reactie gewijzigd door Floort op 23 juli 2024 23:15]

[CivLord]

De opmerking over verkeerd bezorgde post is een gigantische open deur.
Je zou in eerste instantie misschien denken aan post met vertrouwelijke gegevens, zoals een belastringaanslag. Maar in princiepe gaat het over álle post, inclusief geadresseerd reclamedrukwerk, zolag er maar een naam op staat. Want die naam is ook een persoonsgegeven en zodra een poststuk met die naam op de mat valt van een huis waar deze persoon niet langer woont is er sprake van een datalek.

Een klein deel van de post is uiteraard post met (in de gesloten envelop) meer persoonsgegevens, wat het datalek ernstiger maakt. Maar zo'n datalek is enkel verwijtbaar wanneer het juiste adres al aan de organisatie/ bedrijf is doorgegeven voordat het poststuk verstuurd werd. In sommige zeldzame gevallen waarbij zeer gevoelige persoonsgegevens verstuurd worden zou er misschien iets voor te zeggen zijn om deze alleen per koerier te versturen die deze alleen aan de geadresseerde mag afgeven. (Aangetekend versturen is in zo'n geval niet voldoende, omdat iedereen die toevallig op het ontvangstadres aanwezig is kan tekenen voor ontvangst.)

[Floort]

Verkeerd bezorgde post is slechts een enkele categorie dat als voorbeeld dient om uit te leggen dat een meldplichtige inbreuk niet altijd veroorzaakt hoeft te zijn door een artikel 32 overtreding. Het is bovendien ook nog de meestvoorkomende categorie artikel 33 melding bij de AP. Maar het is slechts een voorbeeld.

Ook spectaculaire hacks kunnen op allerlei manieren verlopen. Achteraf is het vaak relatief makkelijk om te wijzen naar die ene maatregel die alles had kunnen voorkomen. Maar zo werkt artikel 32 AVG gelukkig niet. Er is geen verplichting om alle mogelijke maatregelen te nemen die dan ook 100% moeten werken. De AP of een betrokkene die een schadevergoeding wil zal dus met terugwerkende kracht moeten bewijzen dat vooraf de verantwoordelijke de maatregelen had moeten nemen, geven alle omstandigheden zoals de kosten van de maategel, wat gebruikelijk en mogelijk is, de risico-inschattingen in die specifieke context, de gevoeligheid van de gegevens, etc.. Als iemand die beroepsmatig dergelijk bewijs heeft moeten verzamelen kan ik uit ervaring vertellen dat het niet vanzelfsprekend is dat er een art. 32 overtreding te vinden is en dat die vervolgens ook te bewijzen is. Dat wil niet zeggen dat er geen art. 32 overtredingen voor het oprapen liggen. Maar gegeven een specifieke inbreuk op de beveiliging daar een art. 32 overtreding bij vinden is een ander verhaal.

[kodak]

Stel je een melding over één slachtoffer via één bedrijf (poststuk onjuist geadresseerd) nu gelijk aan een melding over meerdere slachtoffers via één bedrijf (malware/gestolen gegevens)?

Juridisch zullen beide situaties vast één lek zijn, maar de wet lijkt me gericht op de rechten van de slachtoffers, niet de overtreders. Jaarlijks lijkt me met de vele malware, diefstallen en slechte beveiliging er vele miljoenen personen individueel getroffen te worden dan via verkeerde adresseringen ooit aan meldingen zal zorgen.

Wat je verwijtend opjutten noemt om bij een hack mogelijk schade te kunnen verhalen lijkt dan meer neer te komen op de overtreders in bescherming willen nemen. De tijd van vooral bewust maken van plichten lijkt me na decenia aan proberen en bijna 10 jaar aan kunnen voorbereiden en aanpassen op de laatste strengere wetgeving wel voorbij. En dan kunnen de overtreders zichzelf nog zo in een slachtofferrol plaatsen of zelfs liever niet meer willen luisteren, maar het draait in de eerste plaats om al die personen die ze duperen. Die gedupeerden hebben meestal niet gevraagd dat een bedrijf onkundige werknemers in dienst heeft, dat hun gegevens nauwelijks gecontroleerd worden nog te kloppen, dat hun gegevens slecht afgeschermd zijn voor onbevoegden, dat gegevend naar tal van servicebedrijven verspreid worden, enz. Dan is er wel te verwachten dat al die slachtoffers na jaren van zoet proberen te houden dat iedereen nog moet wennen, dat de overtreders toch al mogelijk boetes krijgen, dat er toezicht is enz het nu ook gaat om wijzen op schade kunnen proberen te verhalen. Als het niet goed uit komt dan is er te weinig rekening gehouden met de wet: als het een mogelijlheid is dan kun je er op rekenen dat het in aantallen gebruikt gaat worden die niet goed uit komen. De toezichthouder is in een systeem waar slachtoffers en veroorzakers hun eigen verantwoordelijkheid nemen nauwelijks nodig voor meer dan toezicht. Dus zeer begrijpelijk dat toezichthouders die miljoenen slachtoffers wijzen op de mogelijkheid van aansprakelijk stellen. Als die overtreders dat verhalen niet prettig vinden en de uitkomst ze mogelijk te nadelig is, dan hadden ze assertiever moeten zijn.

[Floort]

Stel je een melding over één slachtoffer via één bedrijf (poststuk onjuist geadresseerd) nu gelijk aan een melding over meerdere slachtoffers via één bedrijf (malware/gestolen gegevens)?

Nee.
Ik stel dat een meldplichtige inbreuk op de beveiliging (onder art. 33 AVG) niet hetzelfde is als een overtreding van artikel 32 AVG en dat uit de rapportages van de AP blijkt dat het niet vanzelfsprekend is dat artikel 32 overtredingen de oorzaak zijn van meldplichtige inbreuken. Soms is dat wel zo en soms niet en vaak is het een combinatie van factoren die tot een inbreuk leiden.
Je kan nu eenmaal geen schade verhalen voor een inbreuk op de beveiliging, wel voor schade die wordt veroorzaakt door een overtreding van de AVG. Mensen wijzen op de mogenlijkheid om schade te verhalen bij schade door AVG overtredingen, waaronder art. 32 overtredingen, vind ik helemaal prima.

[kodak]

Soms is dat wel zo en soms niet en vaak is het een combinatie van factoren die tot een inbreuk leiden.

Ik maak dat 'soms' niet uit je argument over het aantal en soort meldingen op, en ook niet uit je stelling om een inbreuk op de beveiliging vooral als signaal te zien om de schade zoveel mogelijk te beperken. Het lijkt me dat de wetgever niet de bedoeling heeft om dat maar als primair te blijven zien, maar juist ook te richten op verantwoordelijk stellen en rekening houden met compenseren.

[Floort]

De meest omvangrijke categorie van meldingen die de AP zelf noemt is een tegenvoorbeeld van de aanname dat een inbreuk op de beveiliging altijd of meestal ook een overtreding is van de verwerkingsverantwoordelijke. In het stukje waar ik naar link verwijs ik naar uitleg van AG Giovanni Pitruzzella over hoe artikel 82 AVG uitgelegd moet worden in combinatie met artikel 32 en 33. Het is prima dat je het anders ziet dan het Europees Hof van Justitie, maar zonder argumentatie houdt het een beetje op.
Ik vermoed dat er een vertekend beeld bestaat over wat datalekken zoal inhouden. In de media komen vaak de meer spectaculaire gevallen ter sprake, terwijl de meldingen vaak veel saaier zijn.

[Reactie gewijzigd door Floort op 23 juli 2024 23:15]

[eheijnen]

Aan de andere kan zie je ook dat de "grote jongens" elke jaar meermaals grote bedragen aan allerlei klachten kwijt zijn terwijl ze tig miljarden winst maken per kwartaal/jaar. En dat vaak, voor zulke partijen, een "druppel op de gloeiende plaat" is.

Ik zou wel eens willen weten hoeveel mensen op straat nog wat weten van het "Cambridge Analytica" schandaal en dat dat aan Facebook gekoppeld is...

[sympa]

Op het moment dat een directeur voor de rechter moet verschijnen om ergens toelichting op te geven worden die heel erg zenuwachtig. Dat soort situaties mijden ze liever.

[CivLord]

Maar waarom is een directeur zenuwachtig wanneer hij voor de rechter moet verschijnen?
Is het omdat hij weet dat hij persoonlijk de sjaak is omdat door zijn toedoen dingen zijn gedaan of nagelaten die het probleem hebben veroorzaakt?
Of is het omdat hij bedrijfskunde gestudeerd heeft en persoonlijk niet op de hoogte is van alle details van alle maatregelen die getroffen zijn om het probleem te voorkomen omdat hij daar een complete afdeling heeft waar allerlei mensen rondlopen die ICT gestudeerd hebben, waardoor hij geen goede antwoorden kan geven wanneer hij tot op detailniveau wordt ondervraagden hij daardoor schuldig lijkt?

Ik denk vooral het laatste. Zo'n directeur is wel eindverantwoordelijke, maar dat betekent niet dat hij de beste persoon is om op alle technische zaken persoonlijk toelichting te geven. Hij gaat wel over het beleid en daar kan je hem wel over doorzagen.

[sympa]

Punt is vooral dat een directeur dat wil voorkomen. Ook al krijgt ie geen straf, het is wel een smet op haar of zijn blazoen.

[Frame164]

Toch hebben boetes, ook al zijn ze laag in verhouding tot de omzet, behoorlijk wat effect in organisaties. Iedereen weet dat je er mee weg blijft komen door iedere keer maar weer de boete te betalen. Als je als organisatie niet verandert krijg je vanzelf echt grote problemen. Al was het maar omdat niemand meer voor je wil werken als je keer op keer negatief in het nieuws komt.

[oef!]

Belangrijk detail is natuurlijk wel dat Cambridge Analytica niet meer bestaat vanwege dit schandaal en het domme gedrag van de topman daarna.

[Verwijderd]

Heel formeel claim je dus niet voor het datalek, maar voor de beveiligingsfouten die het lek tot gevolg hadden.

Je kunt ook claimen omdat, onder meer:

• Persoonsgegevens of andere vertrouwelijke informatie onnodig lang werd(en) bewaard;
• Meer persoonsgegevens e.d. dan strikt noodzakelijk voor een gegeven doel werden bewaard;
• Persoonsgegevens e.d. onnodig online of op andere wijze eenvoudig toegankelijk werden opgeslagen (zoals kopietjes paspoort door werkgevers);
• Gegevens van relatief véél personen via één hack snel toegankelijk werden voor cybercriminelen, wat het een aantrekkelijker doelwit maakt en beveiligingsmaatregelen navenant strenger hadden moeten zijn;
• Het slachtoffers veel te moeilijk wordt gemaakt door de bewijslast voor schade bij hen te leggen, wetende dat dit extreem lastig is (en de datalekke organisaties er, veel te vaak, mee wegkomen en er te weinig of geen verbeteringen worden gerealiseerd).

Sowieso geldt dat als persoonsgegevens in verkeerde handen vallen, onbedoeld worden gewist/ontoegankelijk worden gemaakt, of ongeautoriseerd worden gewijzigd, dat de beveiliging van die gegevens per definitie ontoereikend was.

Het is geheel geen uitzondering meer dat overheidsorganisaties en NGO's worden gehacked, terwijl het ook niet zo is dat verschillende soorten organisatie even vaak wordt gehacked (denk aan banken). Het is dus niet onmogelijk om zodanig te beveiligen dat je niet wordt gehacked. Het is uiteindelijk puur een geldkwestie: welk risico neem je als organisatie met de gegevens van jouw klanten, burgers etc. Te vaak wordt ons voorgespiegeld "dat het iedereen kan overkomen", met als "gunstige bijwerking" dat reputatieschade voor zakkenvullers beperkt blijft en fatsoenlijke organisaties uit de markt worden gedrukt.

Ook de overheid speelt hierin een rol, bijvoorbeeld door werkgevers te verplichten om kopietjes paspoort te bewaren (zonder te eisen dat dit offline moet, mede om fraude te voorkomen), het opsturen van paspoortscans als authenticatiemiddel te promoten en de belastingdienst die eist (of zou eisen) dat voor online transacties veel meer klantgegevens moeten worden bewaard dan de bakker of fietsenverkoper op de hoek moet voor klanten in de winkel.

[CivLord]

Het is geheel geen uitzondering meer dat overheidsorganisaties en NGO's worden gehacked, terwijl het ook niet zo is dat verschillende soorten organisatie even vaak wordt gehacked (denk aan banken). Het is dus niet onmogelijk om zodanig te beveiligen dat je niet wordt gehacked. Het is uiteindelijk puur een geldkwestie: welk risico neem je als organisatie met de gegevens van jouw klanten, burgers etc.

Het is inderdaad een geldkwestie. Maar het is daardoor niet een kwestie of het bedrijf of de organisatie onwillig is om er voldoende geld in te steken. Het is vooral een kwestie of het mogelijk is.
Om twee uitersten te nemen: Voor een bank is het onderdeel van de core-business om jouw geld te bewaren. Daarmee is het ook core-business om dat geld, samen met je gegevens digitaal met alle mogelijke middelen tegen hacks en lekken te beschermen. Daar hebben ze een complete infrastructuur en ICT-afdeling voor die ze miljoenen per jaar kost. Diezelfde mate van beveiliging is voor een eenvoudige webshop abslotuut niet op te brengen, tenzij je € 1.000 voor een simpel laadkabeltje wilt betalen.
En ook overheidsorganisaties hebben vaak maar een operationeel budget waarmee ze alle taken van de organisatie uit moeten voeren, dat kleiner is dat het ICT-beveileigingsbudget van een middelgrote bank.

[Verwijderd]

Door CivLord:

Diezelfde mate van beveiliging is voor een eenvoudige webshop abslotuut niet op te brengen, tenzij je € 1.000 voor een simpel laadkabeltje wilt betalen.
En ook overheidsorganisaties hebben vaak maar een operationeel budget waarmee ze alle taken van de organisatie uit moeten voeren, dat kleiner is dat het ICT-beveileigingsbudget van een middelgrote bank.

Naast dat € 1.000 absurd is, is het dus wat jou betreft OK dat er, aan de lopende band, persoonsgegevens (maar ook medische gegevens en andere vertrouwelijke informatie) in verkeerde handen vallen, met een groot risico op misbruik van die gegevens?

Wat jij doet is datalekken acceptabel vinden omdat je denkt dat voorzieningen anders "te duur" zouden worden. Maar wie betaalt de prijs van die datalekken?

En hoezo zou het geen ordinaire concurrentievervalsing zijn als webshop A wel goed beveiligt, maar door webshop B uit de markt wordt gedrukt omdat diens producten ietsje goedkoper zijn - betaald door klanten van wie de gegevens op straat belanden?

[CivLord]

Ik antwoord op jouw suggestie dat beveiliging slechts een kwestie van geld is en dat banken het wel goed voor elkaar hebben.
Ik geef slechts een voorbeeld dat niet elk bedrijf evenveel aan beveiliging kan spenderen als een bank.
Ik zeg niet dat we maar moeten accepteren dat alles aan alle kanten lekt, maar dat er wel beperkingen zijn aan welke beschermingsmaatregelen economisch haalbaar zijn.

Wanneer bij jou ingebroken wordt, heeft de verzekering een punt wanneer ze weigeren de schade te vergoeden wanneer blijkt dat je geen slot op je voordeur had. Wanneer je wel een slot had en dat opengebroken is, hebben ze geen punt om te weigeren de schade te vergoeden omdat je je gestolen TV niet in een klus had opgeborgen. Want ook al was die TV in een kluis 100% veilig geweest voor een inbreker, zijn er voor een normale burger praktische en economische bezwaren om een TV in een woonhuis in een kluis op te bergen.
Dus ja, je mag bij een webshop een goede beveiliging van gegevens verwachten (geen deur zonder slot), maar het is onzinnig om dezelfde beveiliging als bij een bank te verwachten.

[Verwijderd]

Door CivLord:

Ik zeg niet dat we maar moeten accepteren dat alles aan alle kanten lekt, maar dat er wel beperkingen zijn aan welke beschermingsmaatregelen economisch haalbaar zijn.

Als voldoende beschermingsmaatregelen om te voorkomen dat vertrouwelijke gegevens op straat belanden "economisch niet haalbaar zijn", zou jouw business case niet moeten deugen.

Beveiligingsmaatregelen hoeven niet "zo goed te zijn als bij een bank". Wel moeten ze in verhouding staan tot de waarde van de gegevens voor criminelen. Als je van meer personen meer waardevolle gegevens langer wilt bewaren, vooal als die "lekker snel toegankelijk" zijn, is beveiligen duurder. De praktijk is echter dat er dat er zoveel mogelijk wordt verzameld en er nooit iets wordt weggegooid - waarbij er niet navenant beter beveiligd wordt. Het risico voor dit soort hufters zelf is gewoon veel te laag.

Lang geleden vatte mijn ISO 27001 docent de consequenties van onvoldoende beveiliging zo samen: "hoe erg is het?" Daarmee bedoelde hij niet: "voor alle stakeholders", maar "voor de betreffende organisatie".

Kennelijk accepteren te veel mensen dat "datalekken er nou eenmaal bijhoren" en dus dat datalekkende bedrijven/overheden, ondanks wanprestaties, bestaansrecht hebben en houden (en, zoals ik al eerder schreef, goedkoper kunnen zijn dan fatsoenlijke concurrenten, of meer budget overhouden voor "belangrijker zaken").

Vergelijkbaar: we kunnen gedogen dat sommige bedrijven hun personeel uitbuiten en daardoor goedkoper zijn dan de buurman. Of vinden dat vanalles op een voetbalveld gooien "er nou eenmaal bijhoort".

De praktijk is dat zeer veel bedrijven en overheden nauwelijks tot niets aan beveiliging doen en je daar, als cybercrimineel, doodsimpel netwerktoegang krijgt, onopgemerkt "lawaai" kunt maken op het LAN en eenvoudig Domain Admin kunt worden en/of sowieso overal bij kan omdat elke werknemer en stagière dat kan. Veel organisaties die denken (of liegen) dat zij cybersecurity goed voor elkaar hebben, komen er pas na maanden achter dat er indringers op hun netwerk zijn, en niet zelden doordat zij daar door een externe partij op worden gewezen.

Ik zeg niet dat beveiliging eenvoudig is. Maar de huidige instelling van overheden en bedrijven, "ons risico is laag", geholpen door meningen zoals van jou, vind ik onacceptabel. Want het werkelijke risico wordt -nagenoeg altijd straffeloos- afgewenteld op burgers en klanten.

Bijna niemand lijkt zich af te willen vragen of de risico's voor die burgers en klanten wel economisch -en anderszins- haalbaar zijn. Er vindt identiteitsfraude plaats met gestolen persoonsgegevens; ga maar bewijzen dat niet jij die lening op jouw naam hebt afgesloten, en dat jij dat geld nooit zelf ontvangen hebt.

Autofabrikanten zijn er als de kippen bij met preventieve (voor hen prijzige) terugroepacties als hun klanten onverwacht hoge risico's lopen door gebreken in auto's. Waarom komen datahoarders wel weg met onvoldoende maatregelen die tot risico's voor hun klanten of burgers leiden?

[CivLord]

Ik zeg niet dat we datalekken maar moeten accepteren omdat het lastig is. Ik zeg dat het onmogelijk is om dezelfde beveiligingsmaatregelen van een webshop te verwachten als van een bank en dat dat betekent dat de gegevens bij een webshop dus kwetsbaarder zijn.
Jij schrijft: 'Beveiligingsmaatregelen hoeven niet "zo goed te zijn als bij een bank".' Maar vervolgens zeg je dat elk niveau minder eigenlijk onacceptabel is en dat de consequenties gelaten geaccepteerd worden.

Bijna niemand lijkt zich af te willen vragen of de risico's voor die burgers en klanten wel economisch -en anderszins- haalbaar zijn. Er vindt identiteitsfraude plaats met gestolen persoonsgegevens; ga maar bewijzen dat niet jij die lening op jouw naam hebt afgesloten, en dat jij dat geld nooit zelf ontvangen hebt.

Bij dit soort zaken ligt de bewijslast juist andersom. De bank moet bewijzen dat ík de lening heb afgesloten. Bij het afsluiten van een lening is het nodig dat ik me in persoon bij de bank identificeer, waar zij als bewijs een kopie van mijn id-bewijs voor in hun administratie moeten hebben. Daarnaast moet ík in persoon mijn handtekening zetten onder de leenovereenkomst, die de bank ook in hun administratie moet hebben. Daarnaast moeten ze verifiëren dat de rekening waarop het geld gestort wordt van mij is (een simpele naam-nummer controle achter de schermen is meestal genoeg.)
Uit gemak bieden sommige aanbieders leningen aan waarbij ze het niet zo nauw nemen met de controles en die je op afstand af kan sluiten. Maar dan nemen die aanbieders zelf bewust een risico. Want zij hebben geen bewijs dat ík de lening heb afgesloten (geen kopie id-bewijs), ze hebben geen fysieke leenovereenkomst met mijn handtekening er onder en het geld dat door mij geleend zou moeten zijn is ook nog eens op de bankrekening van E. van Straten gestort,
Natuurlijk heeft zo'n aanbieder een advocatenkantoor voor hen werken dat heel goed is in het sturen van blafbrieven waarin gesuggereerd wordt dat ik het haasje ben wanneer ik niet heel snel de achterstallige aflossingen en boetes ga betalen en waarin meteen gedreigd wordt met incassobureaus, deurwaarders, inbeslagnames, etc. Daarop kan ik enkel antwoorden dat ik nergens aan meewerk, dat ik de bewijsstukken wil zien dat ik persoonlijk de lening heb afgesloten en het geld heb ontvangen en dat ik vol vertrouwen de oproep van de rechtbank afwacht. Dan kunnen ze niets anders doen dan inbinden, want ze staan nergens.

[fps]

Wat mij betreft maakt het niet uit of de datalek nou ontstaat door een slechte beveiliging of niet. Een lek is een lek, een geboortedatum verander je nooit weer. Ik vind het dan ook jammer dat er geen standaardbedragen als vergoeding zijn opgenomen in de wet. Bij bijvoorbeeld gemakkelijk aan te passen gegevens zoals mailadres en telefoonnummer krijgt de gedupeerde een laag bedrag, bij een paspoortnummer een bedrag ter hoogte van de vervanging van het paspoort en bij een geboortedatum een hoog bedrag omdat dit niet aan te passen valt. Bedrijven zullen dan niet meer lukraak naar bijvoorbeeld een geboortedatum vragen wanneer het niet echt nodig is.

[Groningerkoek]

Wat mij betreft maakt het niet uit of de datalek nou ontstaat door een slechte beveiliging of niet.

In Nederland hanteert men echter het standpunt dat er een verwijtbare gedraging/tekortkoming dient te zijn geweest voordat men als schadeplichtig kan worden gezien. En zelf vind ik dat een goede zaak.

Veel bedrijven zijn wettelijk verplicht om gegevens van jou te bewaren, en het is dan best zuur dat je moet betalen bij een datalek ondanks dat je een zeer goede beveiliging had en op geen enkele manier verwijtbaar hebt gehandeld. Wat je hiermee vooral gaat bereiken is dat bedrijven ophouden met het melden van een lek.

[fps]

Maar als ze het niet melden, komt het vroeg of laat natuurlijk wel uit. Per organisatie heb ik een ander mailadres en geef ik een willekeurig geboortedatum als zo’n datum niet per se nodig is. Ik heb in het verleden eens met deze combi een phishingmail ontvangen. Toen wist ik direct waar het vandaan kwam. Als ze het lek niet hadden gemeld, had ik dat wel gedaan bij de autoriteiten.

[sjettepetJR.]

Ik snap niet waarom we pas achteraf kijken of een bedrijf hun zaakjes wel op orde had. Dit gaat uit van een 'recht' om persoonsgegevens te mogen verwerken, terwijl het lekken van grote hoeveelheden persoonsgegevens grote gevolgen kan hebben voor de samenleving in zijn geheel.

Als een bedrijf met explosieven of andere gevaarlijke stoffen wilt werken is het ook verplicht om zelf te bewijzen dat de beveiliging adequaat is. Zo zou het ook moeten werken bij persoonsgegevens. Het is verboden om met persoonsgegevens te werken tenzij je bewijs kan leveren van een adequate beveiliging.

Zo leg je ook de kostenpost bij de bedrijven zelf, in plaats van bij de staat.

[CivLord]

Wanneer bedrijven moeten bewijzen dat ze hun ICT-beveiliging op orde hebben leg je ook een gigantische kostenpost neer bij de staat. Wanneer je wettelijke verplichte standaarden oplegt, moet je dat ook kunnen controleren. Dat betekent dus een extra overheidsorganisatie die bij elle organisatie/ bedrijf/ hobbywebshop langs moet kunnen komen om te controleren of je wel aan die verplichting voldoet. Dan heb je het over veel meer bedrijven dan de bedrijven die voor gevaarlijke stoffen gecontroleerd moeten worden.

Daarnaast creëer je een ander probleem. Wanneer de ICT-controleurs van de overheid langs zijn geweest en alles hebben goedgekeurd en de volgende dag vindt er een hack plaats. Wie is dan verantwoordelijk? Het bedrijf, dat toch niet alles op orde had, of de overheid die niet had gezien dat niet alles goed op orde was?
Je ziet dat getouwtrek wanneer er bijvoorbeeld iets niet goed gaat bij een bedrijf dat werkt met explosieven. Dat het daar toch nog werkt, is omdat incidenten vrij zeldzaam zijn (de bedrijven hebben er zelf ook baat bij om hun werknemers niet op te blazen). Beveiliging tegen dataleken is misschien minder ingewikkeld, maar moet op veel meer plaatsten plaatsvinden, letterlijk bij elk bedrijf/ organisatie/ etc. en bij vrijwel geen van die plaatsen wordt het gezien als bedrijfskritisch en bij een groot deel van die plaatsen is het iedere maand al een uitdaging om het licht te laten branden.

[Floort]

Wanneer bedrijven moeten bewijzen dat ze hun ICT-beveiliging op orde hebben leg je ook een gigantische kostenpost neer bij de staat. Wanneer je wettelijke verplichte standaarden oplegt, moet je dat ook kunnen controleren. Dat betekent dus een extra overheidsorganisatie die bij elle organisatie/ bedrijf/ hobbywebshop langs moet kunnen komen om te controleren of je wel aan die verplichting voldoet. Dan heb je het over veel meer bedrijven dan de bedrijven die voor gevaarlijke stoffen gecontroleerd moeten worden.

Artikel 5(1)(f) en 5(2) en 32 van de AVG bevatten al een dergelijke verplichting. Alleen werkt het toezicht niet zoals je omschrijft.

[Roel1966]

Zeker gaat veiligheid boven alles maar er zit ook weer een keerzijde aan vast wanneer er strengere en nieuwe wetten komen. Ongetwijfeld zullen fabrikanten dan claims gaan doorberekenen aan ons als consumenten met als resultaat dat producten duurder worden. Een fabrikant zal echt niet dan braaf vanuit hun eigen winst gaan investeren in extra veiligheid.

[spikedradiator]

Zou geneigd zijn om te stellen:"wanneer is bug/zeroday veel geld waard?". Een datalek kan het gevolg zijn daarvan.

[ImdaMned]

Als data al eens eerder is gelekt bij een ander bedrijf/instantie, is er dan sprake van schade bij de 2e keer en kan je dan nog claimen?