Commissie: Telecommunicatiediensten
Categorie: Klantgegevens
Jaartal: 2026
Soort uitspraak: Bindend Advies
Uitkomst: ongegrond
Referentiecode:
1337807/1344975
De uitspraak:
Waar gaat de uitspraak over?
Een consument heeft een klacht ingediend tegen een telecomaanbieder nadat haar persoonsgegevens waren gestolen bij een cyberaanval in februari 2026. Volgens de consument reageerde het bedrijf niet goed op haar vragen en schadeclaim. Zij wilde weten welke gegevens precies waren gelekt, zodat zij de risico’s kon beoordelen. Ook ontving zij na het datalek een verdacht sms-bericht over een nieuwe simkaart. De consument vond dat de telecomaanbieder haar persoonsgegevens onvoldoende had beschermd en vroeg om een schadevergoeding van € 1.750. De telecomaanbieder erkende dat klantgegevens waren gestolen, maar stelde dat de dienstverlening niet was verstoord. Volgens het bedrijf was de consument bovendien voldoende geïnformeerd over de gelekte gegevens. De Geschillencommissie Telecommunicatiediensten oordeelt dat zij niet kan beoordelen of het bedrijf voldoende maatregelen heeft genomen om persoonsgegevens te beschermen. Volgens de commissie valt dit onderwerp buiten haar taak, omdat het gaat om de beveiliging van gegevens binnen het bedrijf en niet om de uitvoering van de telecomovereenkomsten. De bevoegde toezichthouders onderzoeken de cyberaanval. Daarom verklaart de commissie de klacht ongegrond en wijst zij de gevraagde schadevergoeding en de overige verzoeken af.
De volledige uitspraak
Onderwerp van het geschil
De consument heeft de klacht voorgelegd aan de ondernemer.
Het geschil betreft het lekken van klantgegevens.
Standpunt van de consument
Voor het standpunt van de consument verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
De ondernemer heeft niet gereageerd op de schadeclaim en aansprakelijkstelling na het grote datalek van februari 2026. De consument heeft de ondernemer meerdere keren verzocht om een inhoudelijke reactie en op 7 april 2026 formeel in gebreke gesteld. De termijn is verlopen zonder reactie. Daarnaast weigert de ondernemer de consument te berichten welke van de persoonsgegevens van de consument exact zijn gelekt, wat noodzakelijk is om risico’s te beoordelen. Externe bronnen bevestigen dat de gegevens van de consument daadwerkelijk in de buitgemaakte dataset voorkomen. Na het indienen van de klacht ontving de consument op 21 april 2026 alsnog een reactie van de ondernemer, waarin de schadeclaim zonder inhoudelijke onderbouwing of feitelijke beoordeling is afgewezen. De ondernemer geeft nog steeds geen duidelijkheid over welke persoonsgegevens van de consument zijn gelekt en gaat niet in op concrete vragen van de consument. Dit bevestigt dat de klacht van de consument niet zorgvuldig is behandeld. De consument verlangt van de ondernemer een schadevergoeding van € 1.750,- en dat de ondernemer duidelijk aangeeft welke persoonsgegevens van haar door het cyberincident zijn gelekt. Ook verlangt de consument dat de ondernemer haar klacht inhoudelijk en zorgvuldig afhandelt.
De consument heeft een nadere toelichting en een reactie gegeven op het verweerschrift van de ondernemer. Daarin heeft zij, samengevat, aan het voorgaande het volgende toegevoegd. De ondernemer is niet ingegaan op de overtreding van artikel 34 AVG (verstrekken van informatie over gelekte gegevens). Vast staat dat de persoonsgegevens bij de cyberaanval zijn betrokken. Na het datalek ontving de consument een frauduleuze sms over een nieuwe simkaart waaruit blijkt dat haar persoonsgegevens daadwerkelijk zijn ontvangen, maar waarop zij niet is ingegaan. De klacht ziet niet alleen op financiële schade. De vordering van de consument ziet op de gevolgen van het incident, waaronder het verlies van controle over de persoonsgegevens, de onzekerheid over wat er met de gegevens is gebeurd, de daaropvolgende frauduleuze communicatie, de noodzaak om extra alert te zijn, de inspanningen om verdere fraude te voorkomen, de tijd die de consument heeft moeten besteden aan het verkrijgen van duidelijkheid en de herhaalde communicatie met de ondernemer over de persoonsgegevens en de verzoeken om inzage. De klacht gaat dus niet over een onderbreking van de telefoonverbinding of internetverbindingen.
Standpunt van de ondernemer
Voor het standpunt van de ondernemer verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
Tussen partijen bestaan vier overeenkomsten, met ingangsdata 18 april 2025, tweemaal 26 juni 2025 en 11 november 2025. De ondernemer is in februari 2026 getroffen door een gerichte cyberaanval, waarbij klantgegevens door cybercriminelen uit het klantcontactsysteem van de ondernemer zijn gestolen. De aanval bestond kort gezegd uit diverse stappen, waarbij de aanvallers geavanceerde telefonische phishingaanvallen gebruikten (ook wel bekend als voice phishing oftewel vishing) om gegevens te stelen. De ongeautoriseerde toegang tot het systeem is door de ondernemer snel opgemerkt en beëindigd maar hij heeft niet kunnen voorkomen dat klantgegevens uit zijn klantcontactsysteem zijn gestolen, waaronder gegevens van de consument.
Geen sprake is van een tekortkoming in de nakoming van de overeenkomst door de ondernemer die ontbinding van de overeenkomst rechtvaardigt als bedoeld in art. 6:265BW. De overeenkomst tussen partijen betreft de levering van telecomdiensten (bellen, sms-en en toegang tot vast internet en televisie) en het leveren van een toestel op afbetaling door de ondernemer. De cyberaanval heeft geen enkel effect gehad op de continuïteit of kwaliteit van de geleverde telecomdiensten en/of het reeds geleverde toestel. De diensten van de ondernemer, zoals bellen, internet en televisie, zijn altijd volledig beschikbaar en veilig gebleven. De cyberaanval en de door de consument geschetste omstandigheden leveren daarom geen tekortkoming op in de nakoming van de overeengekomen verbintenis, de levering van telecomdiensten en een toestel. Een eventuele aantasting van het vertrouwen door de cyberaanval evenmin. De ondernemer is de op haar rustende verplichtingen nagekomen en zal dat blijven doen.
De ondernemer heeft niet gehandeld in strijd met artikel 32 AVG en zelfs als de ondernemer niet (volledig) aan haar verplichtingen ex art. 32 AVG zou hebben voldaan, is geen sprake van een tekortkoming. De vraag of de ondernemer aan haar beveiligingsverplichtingen uit art. 32 AVG heeft voldaan, vereist een technisch en feitelijk complexe beoordeling. Dit artikel bevat een open norm: of beveiligingsmaatregelen “passend” zijn en dit moet worden beoordeeld aan de hand van diverse, deels open gezichtspunten, waaronder de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, afgezet tegen de risico’s. Een dergelijke beoordeling leent zich niet voor behandeling in de onderhavige procedure. De ondernemer heeft de cyberaanval gemeld bij de bevoegde toezichthouders en bij de betrokkenen. De Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur doen momenteel onderzoek naar de cyberaanval.
De ondernemer heeft steeds op de klachten en het verzoek om inzage van de consument gereageerd en haar onder meer geïnformeerd over de vindplaats van het overzicht van de persoonlijke gegevens van de consument die betrokken waren bij de cyberaanval. Aan het verzoek is volledig voldaan, waaronder het verstrekken van inzage in de gegevens die bij de Cyberaanval betrokken waren.
Dit brengt mee dat de ondernemer niet schadeplichtig is. Voor vergoeding van (im)materiële schade bestaat geen grondslag.
Verzocht wordt de klacht ongegrond te verklaren.
Beoordeling van het geschil
De commissie heeft het volgende overwogen.
Vast staat dat tussen partijen vier overeenkomsten betreffende het leveren van diensten in combinatie met een toestelkredietovereenkomst bestaat. Vast staat ook dat de ondernemer in februari 2026 is getroffen door een cyberaanval, waarbij klantgegevens van onder meer de consument uit het klantcontactsysteem van de ondernemer zijn gelekt.
Gelet op de formulering van de klacht zoals schriftelijk nader toegelicht beklaagt de consument zich in de kern erover dat de ondernemer niet heeft voldaan aan zijn wettelijke en contractuele verplichting om passende technische en organisatorische maatregelen te treffen ter bescherming van haar persoonsgegevens, waardoor haar persoonsgegevens op straat zijn beland.
Op grond van artikel 4 van het reglement van de Geschillencommissie Telecommunicatiediensten (hierna: het reglement) acht de commissie zich bevoegd het onderhavige geschil te behandelen.
Een dergelijke klacht valt, gelet op artikel 3, lid 1 van het reglement, echter buiten de reikwijdte van het reglement c.q. buiten het beoordelingskader van de commissie.
Op grond van artikel 3, lid 1 reglement heeft de commissie immers tot taak geschillen tussen consument en ondernemer te beslechten, voor zover deze betrekking hebben op de totstandkoming of de uitvoering van overeenkomsten met betrekking tot door de ondernemer te leveren of geleverde diensten. Gelet op dit artikel is het niet aan de commissie om te oordelen over de interne bedrijfsvoering van de ondernemer en de in dat kader getroffen technische en organisatorische maatregelen betreffende beveiliging van persoonsgegevens in zijn bedrijf in het algemeen zoals hier aan de orde. Naar het oordeel van de commissie betreft de beveiliging van persoonsgegevens van klanten een bedrijfsaspect. De daarop gerichte bedrijfsvoering wordt primair beheerst door toepasselijke wet- en regelgeving, waaronder de AVG, en niet door de overeenkomst tussen consument en aanbieder, noch door de geleverde of te leveren diensten waarop die overeenkomst betrekking heeft. De commissie volgt gelet hierop de ondernemer in zijn standpunt dat de vraag of de ondernemer aan zijn beveiligingsverplichtingen (uit artikel 32 AVG) heeft voldaan een beoordeling is die zich niet leent voor de onderhavige procedure. Gebleken is dat de bevoegde toezichthouders thans onderzoek doen naar de cyberaanval bij de ondernemer.
Al hetgeen de consument verder heeft aangevoerd zoals hiervoor weergegeven stuit op het voorgaande af.
Op grond van het voorgaande is de commissie van oordeel dat de klacht ongegrond is.
Derhalve wordt als volgt beslist.
Beslissing
Het door de consument verlangde wordt afgewezen.
Aldus beslist door de Geschillencommissie Telecommunicatiediensten, bestaande uit mevrouw mr. I.K. Rapmund, voorzitter, de heer ir. N.A. Dammers, de heer mr. G. Febus, leden, op 11 september 2026.