Het Odido-datalek: kun je schade verhalen?

Wat is er gebeurd bij Odido?

Bij de cyberaanval kregen hackers toegang tot een database met klantgegevens van Odido als dochterbedrijf Ben. Volgens de laatste berichtgeving gaat het om gegevens van miljoenen (oud)klanten. Daarbij gaat het onder meer om naam- en adresgegevens, e-mailadressen, telefoonnummers, geboortedata, bankrekeningnummers en documentnummers van identiteitsbewijzen, zoals je paspoort of rijbewijs.

Hoewel niet alle gegevens even gevoelig zijn, kunnen criminelen deze informatie wel misbruiken. Zij kunnen bijvoorbeeld phishingmails sturen of zich met behulp van persoonlijke gegevens voordoen als iemand anders. In sommige gevallen kan dat zelfs leiden tot identiteitsfraude.

Dat betekent echter niet automatisch dat iedereen van wie gegevens zijn gelekt ook daadwerkelijk schade zal ondervinden.

Wat kunt u doen als uw gegevens zijn gelekt?

Als je persoonsgegevens onderdeel zijn van een datalek, adviseert de Autoriteit Persoonsgegevens om alert te blijven. Controleer bijvoorbeeld regelmatig uw bankrekening en online accounts en wees extra voorzichtig met e-mails of telefoontjes waarin om persoonlijke gegevens wordt gevraagd.

Omdat bij het datalek ook contactgegevens zoals e-mailadressen zijn buitgemaakt, bestaat bovendien een verhoogd risico op gerichte phishing. Criminelen kunnen daarbij persoonlijke gegevens gebruiken om berichten geloofwaardig te laten lijken, bijvoorbeeld door zich voor te doen als een medewerker van Odido of een andere organisatie.

Merk je dat iemand misbruik maakt van uw gegevens, bijvoorbeeld door identiteitsfraude? Doe dan aangifte bij de politie. Je kunt daarnaast een klacht indienen bij de Autoriteit Persoonsgegevens wanneer je denkt dat een organisatie onvoldoende zorgvuldig met je persoonsgegevens is omgegaan.

Wanneer is een schadeclaim mogelijk?

Veel mensen vragen zich af of zij een schadevergoeding kunnen eisen nadat zij slachtoffer zijn geworden van een datalek. In sommige gevallen zou dit een mogelijkheid kunnen zijn. De Algemene Verordening Gegevensbescherming (AVG) geeft betrokkenen namelijk het recht om schadevergoeding te vorderen wanneer een organisatie de privacyregels heeft overtreden.

Daarvoor moet wel aan 3 voorwaarden zijn voldaan. Ten eerste moet sprake zijn van een overtreding van de AVG, bijvoorbeeld doordat persoonsgegevens onvoldoende zijn beveiligd. Daarnaast moet je daadwerkelijk schade hebben geleden. Tot slot moet er een duidelijk verband bestaan tussen het datalek en die schade.

Juist dat laatste punt blijkt in de praktijk vaak de grootste uitdaging.

Waarom schade aantonen lastig is

Het feit dat je persoonsgegevens zijn gelekt, betekent nog niet automatisch dat je recht hebt op een schadevergoeding. In veel gevallen lukt het namelijk niet om aan te tonen dat eventuele schade daadwerkelijk het gevolg is van het specifieke datalek. Persoonsgegevens kunnen namelijk op meerdere plekken circuleren. Daardoor is het vaak moeilijk vast te stellen waar criminelen de gegevens precies vandaan hebben gehaald. Daarbij geldt dat de bewijslast in beginsel bij degene ligt die de schade claimt.

Stel bijvoorbeeld dat iemand zonder je toestemming een abonnement op jouw naam afsluit. Om een succesvolle schadeclaim in te dienen, moet aannemelijk worden gemaakt dat de fraudeur daarbij gebruik heeft gemaakt van gegevens die afkomstig zijn uit het datalek. Dat bewijs blijkt in de praktijk vaak lastig te leveren.

In sommige situaties kan een schadeclaim wel kansrijk zijn. Dat is met name het geval wanneer duidelijk kan worden aangetoond dat de fraude direct voortvloeit uit de gelekte gegevens. Denk bijvoorbeeld aan een situatie waarin iemand met jouw persoonsgegevens een lening afsluit en daarbij gegevens gebruikt die aantoonbaar afkomstig zijn uit het datalek. Wanneer je hierdoor financiële schade lijdt, kan er mogelijk wel een grond bestaan om die schade te verhalen.

Je rechten en aandachtspunten

Het datalek bij Odido is omvangrijk en kan begrijpelijk tot zorgen leiden. Toch betekent dit niet automatisch dat iedereen recht heeft op een schadevergoeding.

Volgens de regels van de AVG heeft een schadeclaim alleen kans van slagen wanneer je daadwerkelijk schade hebt geleden én kunt aantonen dat deze schade rechtstreeks voortvloeit uit het datalek. In de praktijk blijkt dat bewijs vaak moeilijk te leveren.

Dat neemt niet weg dat het verstandig is om alert te blijven op mogelijk misbruik van je persoonsgegevens en verdachte situaties tijdig te melden.