Commissie: Telecommunicatiediensten
Categorie: Klantgegevens
Jaartal: 2026
Soort uitspraak: Bindend Advies
Uitkomst: ongegrond
Referentiecode:
1342561/1345992
De uitspraak:
Waar gaat de uitspraak over?
Een consument heeft een klacht ingediend tegen een telecomaanbieder nadat bij het bedrijf klantgegevens waren gestolen door een cyberaanval. Kort daarna werd zonder toestemming van de consument zijn telefoonnummer gewijzigd. Ook kreeg iemand anders toegang tot zijn account. Dit wordt onder andere simswapfraude genoemd. De consument vond dat de telecomaanbieder zijn persoonsgegevens onvoldoende had beschermd en niet goed op zijn klachten had gereageerd. Hij wilde daarom zijn telefoonabonnement kosteloos beëindigen en zijn telefoonnummer behouden. De telecomaanbieder erkende dat er een datalek en een onrechtmatige simswap hadden plaatsgevonden, maar stelde dat niet was bewezen dat de fraude door het datalek was veroorzaakt. Volgens het bedrijf waren er geen wachtwoorden gestolen en was de toegang tot het account binnen redelijke tijd hersteld. De Geschillencommissie Telecommunicatiediensten oordeelt dat zij niet kan beoordelen of het bedrijf voldoende maatregelen heeft genomen om persoonsgegevens te beschermen. Dat valt volgens de commissie buiten haar taak en wordt onderzocht door de bevoegde toezichthouders. Ook is onvoldoende aangetoond dat de telecomaanbieder verantwoordelijk was voor de fraude. Volgens de commissie heeft het bedrijf de toegang tot het account binnen een redelijke termijn hersteld en voldoende op de klacht gereageerd. Daarom wordt de klacht ongegrond verklaard. De consument mag zijn abonnement niet op grond van deze uitspraak kosteloos beëindigen. Het bedrag van € 105 dat hij bij de commissie had gestort, wordt aan de telecomaanbieder betaald.
De volledige uitspraak
Onderwerp van het geschil
De consument heeft de klacht voorgelegd aan de ondernemer.
Het geschil betreft het lekken van klantgegevens.
De consument heeft een bedrag van € 105,00 niet betaald en bij de commissie gedeponeerd.
Standpunt van de consument
Voor het standpunt van de consument verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
Op 21 januari 2026 heeft de consument bij de ondernemer een abonnement afgesloten voor de duur van één jaar. Door het datalek bij de ondernemer in februari 2026 is misbruik gemaakt van de persoonsgegevens en het account van de consument en werd zijn telefoonnummer zonder zijn toestemming gewijzigd. Sprake is van een onrechtmatige simswap. Ondanks meerdere meldingen en een formele ingebrekestelling ontving de consument geen adequate ondersteuning of tijdige inhoudelijke reactie. Door deze gebeurtenissen en aanhoudende problemen met de dienstverlening heeft de consument het vertrouwen in de ondernemer verloren. De cyberaanval en de simswap fraude betreft een aan de ondernemer toerekenbare tekortkoming in de nakoming van de contractuele verplichtingen van de ondernemer. De consument verzocht de ondernemer om beëindiging van de overeenkomst met nummerbehoud, maar de ondernemer heeft dat geweigerd.
De consument verlangt dat bepaald wordt dat de overeenkomst wordt ontbonden en dat hij kan overstappen naar een andere telecomaanbieder met behoud van zijn huidige telefoonnummer, zonder extra kosten.
De consument heeft op het verweerschrift van de ondernemer, voor zover van belang, als volgt gereageerd.
De periode van het herstel van het nummer van de consument duurde langer dan 24 uur. De consument heeft meerdere dagen problemen gehad voordat zijn oorspronkelijke nummer daadwerkelijk weer correct beschikbaar was. De ondernemer heeft twee zeer ernstige feiten erkend, het datalek en de onrechtmatige simswap. De theorieën van de ondernemer over het wachtwoord van de consument zijn slechts speculaties, geen bewezen feiten. Het ontbreken van een gelekt wachtwoord sluit een verband met het datalek niet uit. Een onrechtmatige simswap is niet vergelijkbaar met een gewone korte telecomstoring.
Het gaat om het totale patroon: de persoonsgegevens van de consument zijn buitgemaakt, zijn account werd ongeautoriseerd gewijzigd, zijn nummer werd zonder zijn toestemming gewijzigd, er was sprake van een onrechtmatige simswap, de consument werd benaderd door iemand die zich als medewerker van de ondernemer voordeed en het risico is voor de consument niet voorbij want er zijn nieuwe pogingen gedaan om toegang tot het account te verkrijgen. De communicatie en (lange) klachtafhandeling door de ondernemer hebben het vertrouwen van de consument verder beschadigd.
Hierdoor is in strijd gehandeld met het bepaalde in artikel 6:265BW.
Daarom verlangt de consument thans dat de commissie:
1. de overeenkomst met de ondernemer per direct en volledig kosteloos beëindigt, met behoud van telefoonnummer en zonder afkoopsom of andere beëindigingskosten;
2. te bepalen dat de ondernemer de betaalde abonnementskosten vanaf 8 april 2026 tot aan de daadwerkelijke kosteloze beëindiging terugbetaalt;
3. te bepalen dat de ondernemer een aanvullende compensatie van € 1.000,- toekent voor het geheel van de langdurige en gebrekkige afhandeling, het verlies van controle over zijn nummer en account, de tijd en inspanning die hij gedurende maanden in deze zaak heeft moeten steken en de aanhoudende veiligheidsproblematiek;
4. te bepalen dat de ondernemer het door de consument betaalde klachtengeld vergoedt;
5. voor zover de ondernemer blijft stellen dat zijn nummer binnen 24 uur volledig was hersteld, de ondernemer te verzoeken de relevante technische systeemlogs en volledige contacthistorie
over te leggen.
Standpunt van de ondernemer
Voor het standpunt van de ondernemer verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
De consument heeft per 21 januari 2026 met de ondernemer een eenjarig “[mobiel abonnement]” afgesloten.
De ondernemer is in februari 2026 getroffen door een gerichte cyberaanval, waarbij klantgegevens door cybercriminelen uit het klantcontactsysteem van de ondernemer zijn gestolen. De aanval bestond kort gezegd uit diverse stappen, waarbij de aanvallers geavanceerde telefonische phishingaanvallen gebruikten (ook wel bekend als voice phishing oftewel vishing) om gegevens te stelen. De ongeautoriseerde toegang tot het systeem is door de ondernemer snel opgemerkt en beëindigd maar hij heeft niet kunnen voorkomen dat klantgegevens uit zijn klantcontactsysteem zijn gestolen.
Geen sprake is van een tekortkoming in de nakoming van de overeenkomst door de ondernemer die ontbinding van de overeenkomst rechtvaardigt als bedoeld in art. 6:265BW. De overeenkomst tussen partijen betreft de levering van telecomdiensten door de ondernemer. De cyberaanval heeft geen enkel effect gehad op de continuïteit of kwaliteit van de geleverde telecomdiensten. De diensten van de ondernemer zijn altijd volledig beschikbaar en veilig gebleven. De cyberaanval en de door de consument geschetste omstandigheden leveren daarom geen tekortkoming op in de nakoming van de overeengekomen verbintenis, de levering van telecomdiensten. De ondernemer is de op haar rustende verplichtingen nagekomen en zal dat blijven doen.
De ondernemer heeft niet gehandeld in strijd met artikel 32 AVG en zelfs als de ondernemer niet (volledig) aan haar verplichtingen ex art. 32 AVG zou hebben voldaan, is geen sprake van een tekortkoming. De vraag of de ondernemer aan haar beveiligingsverplichtingen uit art. 32 AVG heeft voldaan, vereist een technisch en feitelijk complexe beoordeling. Dit artikel bevat een open norm: of beveiligingsmaatregelen “passend”zijn en dit moet worden beoordeeld aan de hand van diverse, deels open gezichtspunten, waaronder de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, afgezet tegen de risico’s. Een dergelijke beoordeling leent zich niet voor behandeling in de onderhavige procedure. De ondernemer heeft de cyberaanval gemeld bij de bevoegde toezichthouders en bij de betrokkenen. De Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur doen momenteel onderzoek naar de cyberaanval.
Op basis van de door de consument verstrekte informatie heeft een onrechtmatige simswap plaatsgevonden. De ondernemer heeft op 6 maart 2026 ervoor gezorgd dat de consument zijn oude nummer vanaf die dag weer kon gebruiken en heeft het gewijzigde [klantportaal] account verwijderd en de consument hierover per sms geïnformeerd. Op 20 maart 2026 diende de consument een klacht in bij de ondernemer, waarop door de ondernemer op 8 april 2026 per e-mail afwijzend is gereageerd.
De cyberaanval levert geen tekortkoming in de nakoming van de overeenkomst op. Het account en telefoonnummer van de consument is weliswaar volgens de consument zonder zijn toestemming gewijzigd, maar niet kan gesteld worden dat dit veroorzaakt is door de cyberaanval. De ondernemer kan met zekerheid stellen dat bij de cyberaanval geen wachtwoorden of ander inloggegevens betrokken waren. Het wachtwoord om toegang te krijgen tot het account van de consument moet dus op andere wijze verkregen zijn. De onrechtmatige toegang middels het gebruik van het juiste wachtwoord – om deze daarna te resetten – kan in elk geval niet aan de ondernemer toegerekend worden. Het wachtwoord is niet verkregen doordat de ondernemer deze gegevens onvoldoende beschermd zou hebben. Deze gegevens waren niet bij de cyberaanval betrokken en dus geen onderdeel van het datalek. Ook ter zake de simswap kan dus niet gesteld worden dat de ondernemer zijn verplichtingen ex art. 32AVG niet is nagekomen.
Verzocht wordt de klacht ongegrond te verklaren.
Beoordeling van het geschil
De commissie heeft het volgende overwogen.
Vaststaat dat tussen partijen per 21 januari 2026 een “[mobiel abbonement]” overeenkomst is afgesloten voor de duur van één jaar. Vast staat ook dat de ondernemer in februari 2026 is getroffen door een cyberaanval, waarbij gegevens van klanten uit klantcontactsysteem van de ondernemer zijn gestolen.
Voorop wordt gesteld dat de omvang van het geschil wordt gevormd door de klacht zoals geformuleerd in het vragenformulier en de op die klacht betrekking hebbende nadere onderbouwing. De nieuwe klachten die nadien, in de reactie op het verweerschrift, zijn geformuleerd vormen dus geen onderdeel van de onderhavige klacht en vallen buiten de omvang van dit geschil en zullen niet worden besproken.
Gelet op de formulering van de klacht zoals schriftelijk en mondeling nader toegelicht beklaagt de consument zich in de kern erover dat de ondernemer niet heeft voldaan aan zijn wettelijke en contractuele verplichting om passende technische en organisatorische maatregelen te treffen ter bescherming van zijn persoonsgegevens, waardoor zijn persoonsgegevens op straat zijn beland. Voor zover de gegevens van de consument zijn gelekt door de cyberaanval geldt het volgende.
Op grond van artikel 4 van het reglement van de Geschillencommissie Telecommunicatiediensten (hierna: het reglement) acht de commissie zich bevoegd het onderhavige geschil te behandelen.
Een dergelijke klacht valt, gelet op artikel 3, lid 1 van het reglement, echter buiten de reikwijdte van het reglement c.q. buiten het beoordelingskader van de commissie.
Op grond van artikel 3, lid 1 reglement heeft de commissie immers tot taak geschillen tussen consument en ondernemer te beslechten, voor zover deze betrekking hebben op de totstandkoming of de uitvoering van overeenkomsten met betrekking tot door de ondernemer te leveren of geleverde diensten. Gelet op dit artikel is het niet aan de commissie om te oordelen over de interne bedrijfsvoering van de ondernemer en de in dat kader getroffen technische en organisatorische maatregelen betreffende beveiliging van persoonsgegevens in zijn bedrijf in het algemeen zoals hier aan de orde. Naar het oordeel van de commissie betreft de beveiliging van persoonsgegevens van klanten een bedrijfsaspect. De daarop gerichte bedrijfsvoering wordt primair beheerst door toepasselijke wet- en regelgeving, waaronder de AVG, en niet door de overeenkomst tussen consument en aanbieder, noch door de geleverde of te leveren diensten waarop die overeenkomst betrekking heeft. De commissie volgt gelet hierop de ondernemer in zijn standpunt dat de vraag of de ondernemer aan zijn beveiligingsverplichtingen (uit artikel 32 AVG) heeft voldaan een beoordeling is die zich niet leent voor de onderhavige procedure. Gebleken is dat de bevoegde toezichthouders thans onderzoek doen naar de cyberaanval bij de ondernemer.
Gelet op hetgeen partijen daarover hebben aangevoerd en de door hen overgelegde stukken, hiervoor weergegeven, kan voorts niet worden geconcludeerd dat de onrechtmatige toegang tot het account van de consument en telefoonnummer en de simswap aan de ondernemer is toe te rekenen. In dit kader heeft de consument onvoldoende gesteld, in het licht van hetgeen de ondernemer daartegenover heeft gesteld. Voorts is genoegzaam komen vast te staan dat de ondernemer binnen redelijke tijd, 24 uur, de consument alweer toegang tot zijn account had gegeven, hij weer bereikbaar was en gebruik kon maken van de diensten van de ondernemer. Evenmin kan in hetgeen partijen hebben aangevoerd en de door hen overgelegde stukken steun worden gevonden voor het standpunt van de consument dat de ondernemer niet of onvoldoende adequaat op zijn klacht heeft gereageerd.
Al hetgeen de consument verder heeft aangevoerd zoals hiervoor weergegeven stuit op het voorgaande af.
Op grond van het voorgaande is de commissie van oordeel dat de klacht ongegrond is.
Derhalve wordt als volgt beslist.
Beslissing
Het door de consument verlangde wordt afgewezen.
Met inachtneming van het bovenstaande wordt het depotbedrag van € 105,- aan de ondernemer uitgekeerd.
Aldus beslist door de Geschillencommissie Telecommunicatiediensten, bestaande uit mevrouw mr. I.K. Rapmund, voorzitter, de heer ir. N.A. Dammers, de heer mr. G. Febus, leden, op 11 september 2026.