Commissie: Telecommunicatiediensten
Categorie: Klantgegevens
Jaartal: 2026
Soort uitspraak: Bindend Advies
Uitkomst: ongegrond
Referentiecode:
1331201/1336981
De uitspraak:
Waar gaat de uitspraak over?
Een consument heeft een klacht ingediend tegen een telecomaanbieder nadat zijn persoonsgegevens waren gestolen bij een cyberaanval in februari 2026. Volgens de consument waren onder andere zijn bankgegevens en gegevens van zijn identiteitsbewijs op het darkweb terechtgekomen. Hij vond dat de telecomaanbieder zijn gegevens onvoldoende had beschermd en dat zijn vertrouwen in het bedrijf ernstig was beschadigd. Daarom wilde hij zijn telefoonabonnement kosteloos beëindigen. Ook vroeg hij om vergoeding van € 88,65 voor een nieuw paspoort, € 250 voor stress en verlies van controle over zijn gegevens en kwijtschelding van abonnementskosten. Daarnaast wilde hij dat onnodig bewaarde kopieën van zijn identiteitsbewijs werden verwijderd. De telecomaanbieder erkende dat klantgegevens waren gestolen, maar stelde dat de dienstverlening niet was verstoord en dat er geen reden was om het abonnement te beëindigen of schadevergoeding te betalen. De Geschillencommissie Telecommunicatiediensten oordeelt dat zij niet kan beoordelen of de telecomaanbieder voldoende maatregelen heeft genomen om persoonsgegevens te beschermen. Volgens de commissie gaat dit over de interne beveiliging van het bedrijf en valt dit buiten haar taak. De bevoegde toezichthouders onderzoeken de cyberaanval. De commissie verklaart de klacht ongegrond en wijst alle verzoeken van de consument af.
De volledige uitspraak
Onderwerp van het geschil
De consument heeft de klacht voorgelegd aan de ondernemer.
Het geschil betreft het lekken van klantgegevens.
Standpunt van de consument
Voor het standpunt van de consument verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
De consument heeft met de ondernemer een tweejarige serviceovereenkomst in combinatie met een toestelkredietovereenkomst afgesloten per 15 december 2025. In februari 2026 is de ondernemer gehackt en zijn de klantgegevens van de consument gelekt. Als cybersecurityspecialist stelt de consument vast dat zijn ID/IBAN-data op het darkweb staan. Sprake is van wanprestatie (art. 6:265 BW) en strijd met de zorgplicht ex art. 32 Algemene Verordening Gegevensbescherming (hierna: AVG) door de ondernemer en onherstelbaar beschadigd vertrouwen. De ondernemer is in verzuim te reageren op de sommatie van de consument van 13 februari 2026.
De consument verlangt kosteloze ontbinding van de serviceovereenkomst per 13 februari 2026, compensatie bestaande uit vergoeding van de directe schade voor het nieuwe paspoort (€ 88,65) kwijtschelding van de abonnementskosten en een billijke immateriële schadevergoeding ex art 82 AVG van € 250,- (verlies van controle, stress en tijdsverlies). Ook verlangt de consument dat bepaald wordt dat de ondernemer na afwikkeling van het geschil alle niet-noodzakelijke kopieën van de identiteitsbewijzen van de consument uit zijn systeem overeenkomstig de AVG-bewaarplichten verwijdert. De consument is bereid het openstaande toestelkrediet ineens volledig te voldoen, mits ontdaan van rente of administratiekosten of via een regeling, losgekoppeld van het ontbonden contract.
De consument heeft op het verweerschrift van de ondernemer, samengevat, het volgende aangevoerd.
Sprake is van een onjuiste splitsing van de overeenkomst door de ondernemer. Zijn standpunt dat de overeenkomst alleen ziet op de levering van “minuten, sms’jes en gigabytes” en dat deze diensten technisch zijn blijven functioneren is onjuist. De overeenkomst wordt beheerst door de artikelen 6:248 lid 1 BW, 11.3 Telecommunicatiewet en 24 en 32 AVG.
De ondernemer heeft strijdig gehandeld met de wettelijke zorgplicht om de persoonlijke levenssfeer en de persoonsgegevens van zijn abonnees adequaat te beschermen. Het verwerken van de persoonsgegevens (zoals naam, adres, telefoonnummer, IBAN en documentnummers) is een noodzakelijke voorwaarde om de telecommunicatiedienst te kunnen leveren. De zorgvuldige omgang met deze gegevens vormt een geïntegreerde contractuele hoofdverplichting. Nu de ondernemer deze gegevens door een ontoereikende beveiliging op straat heeft laten belanden, is sprake van een directe contractuele tekortkoming.
Sprake is van fundamentele en structurele ontwerpfouten in de cyberarchitectuur van de ondernemer, hetgeen ernstig verwijtbaar is en hem aan te rekenen is ex artikel 32 AVG. Sprake is van toekenning van te ruime toegangsrechten aan medewerkers, een gebrek aan anomaliedetectie en een onjuiste en onveilige Salesforce-configuratie (met keihard bewijs). Daarom is geen sprake van overmacht. Uit de gepubliceerde reconstructies en onderzoeken van privacy- en data-experts blijkt ook dat dit lek het rechtstreekse gevolg is van structureel nalaten te handelen naar dringende waarschuwingen, wetgeving en eerdere handhavingsbesluiten.
De werkelijke feiten leggen flagrante, bewuste nalatigheid en wetsschendingen door de ondernemer bloot:
Genegeerde waarschuwingen vooraf voor de kwetsbaarheden in klantcontact- en authenticatiesystemen, waaronder de onveilig gelaten Salesforce-instellingen. De werkelijke omvang betreft 17 miljoen dataregels, 5,5 miljoen ‘Digital Zombies’, onrechtmatige opslag van hoog risico identiteitsgegevens, het systeem is kapot door het ontwerp en er is een aantoonbaar historisch patroon van wettelijke non-compliance. De ondernemer heeft een aantoonbare bedrijfscultuur waarin privacywetgeving, cybersecurity-waarschuwingen en toezichthouders sancties stelselmatig en bewust worden genegeerd. De hack was voorzienbaar, vermijdbaar en het directe gevolg van verwijtbare beleidskeuzes. De feiten en de eerdere tikken van toezichthouders (zoals de RDI-boetes voor databewaring en slechte beveiliging) onderbouwen dat hier sprake is van structureel wanbeleid.
De ernst van de tekortkoming rechtvaardigt ontbinding. Het lekken van een combinatie van naam, adres, telefoonnummer, IBAN en het documentnummer van een paspoort is niet van geringe betekenis. Dit raakt de kern van de persoonlijke veiligheid en digitale identiteit van de consument. De tekortkoming is toerekenbaar. Met het F-secure-aanbod is niet voldaan aan de schadebeperkende plicht en dit heft de aansprakelijkheid niet op. De consument heeft zijn (im)materiële schade voldoende onderbouwd.
Het fundamentele bezwaar van de consument tegen het handelen van de ondernemer richt zich op drie professionele aspecten: Arrogantie in het crisismanagement (1), de ‘AI-muur’ en een onbereikbare Data Protection Officer (2) en de discutabele weigering van het losgeld (3).
Standpunt van de ondernemer
Voor het standpunt van de ondernemer verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
Tussen partijen bestaat een tweejarig “[mobiel abonnement]” serviceovereenkomst in combinatie met een toestelkredietovereenkomst, met ingangsdatum 15 december 2025. De ondernemer is in februari 2026 getroffen door een gerichte cyberaanval, waarbij klantgegevens door cybercriminelen uit het klantcontactsysteem van de ondernemer zijn gestolen. De aanval bestond kort gezegd uit diverse stappen, waarbij de aanvallers geavanceerde telefonische phishingaanvallen gebruikten (ook wel bekend als voice phishing oftewel vishing) om gegevens te stelen. De ongeautoriseerde toegang tot het systeem is door de ondernemer snel opgemerkt en beëindigd maar hij heeft niet kunnen voorkomen dat klantgegevens uit zijn klantcontactsysteem zijn gestolen, waaronder gegevens van de consument.
Geen sprake is van een tekortkoming in de nakoming van de overeenkomst door de ondernemer die ontbinding van de overeenkomst rechtvaardigt als bedoeld in art. 6:265BW. De overeenkomst tussen partijen betreft de levering van telecomdiensten (bellen, sms-en en toegang tot internet) en het leveren van een toestel op afbetaling door de ondernemer. De cyberaanval heeft geen enkel effect gehad op de continuïteit of kwaliteit van de geleverde telecomdiensten en/of het reeds geleverde toestel. De diensten van de ondernemer, zoals bellen, internet en televisie, zijn altijd volledig beschikbaar en veilig gebleven. De cyberaanval en de door de consument geschetste omstandigheden leveren daarom geen tekortkoming op in de nakoming van de overeengekomen verbintenis, de levering van telecomdiensten en een toestel. Een eventuele aantasting van het vertrouwen door de cyberaanval evenmin. De ondernemer is de op haar rustende verplichtingen nagekomen en zal dat blijven doen.
De ondernemer heeft niet gehandeld in strijd met artikel 32 AVG en zelfs als de ondernemer niet (volledig) aan haar verplichtingen ex art. 32 AVG zou hebben voldaan, is geen sprake van een tekortkoming. De vraag of de ondernemer aan haar beveiligingsverplichtingen uit art. 32 AVG heeft voldaan, vereist een technisch en feitelijk complexe beoordeling. Dit artikel bevat een open norm: of beveiligingsmaatregelen “passend” zijn en dit moet worden beoordeeld aan de hand van diverse, deels open gezichtspunten, waaronder de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, afgezet tegen de risico’s. Een dergelijke beoordeling leent zich niet voor behandeling in de onderhavige procedure. De ondernemer heeft de cyberaanval gemeld bij de bevoegde toezichthouders en bij de betrokkenen. De Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur doen momenteel onderzoek naar de cyberaanval.
Dit brengt mee dat de ondernemer niet schadeplichtig is. Voor vergoeding van (im)materiële schade bestaat geen grondslag. Evenmin is sprake van het onrechtmatig bewaren van persoonsgegevens, zodat geen grond bestaat voor verwijdering daarvan.
Verzocht wordt de klacht ongegrond te verklaren
Beoordeling van het geschil
De commissie heeft het volgende overwogen.
Vast staat dat tussen partijen een serviceovereenkomst in combinatie met een toestelkredietovereenkomst bestaat, met ingangsdatum 15 december 2025 voor de duur van twee jaren. Vast staat ook dat de ondernemer in februari 2026 is getroffen door een cyberaanval, waarbij klantgegevens van onder meer de consument uit het klantcontactsysteem van de ondernemer zijn gelekt.
Gelet op de formulering van de klacht zoals schriftelijk en mondeling nader toegelicht beklaagt de consument zich in de kern erover dat de ondernemer niet heeft voldaan aan zijn wettelijke en contractuele verplichting om passende technische en organisatorische maatregelen te treffen ter bescherming van zijn persoonsgegevens, waardoor zijn persoonsgegevens op straat zijn beland.
Op grond van artikel 4 van het reglement van de Geschillencommissie Telecommunicatiediensten (hierna: het reglement) acht de commissie zich bevoegd het onderhavige geschil te behandelen.
Een dergelijke klacht valt, gelet op artikel 3, lid 1 van het reglement, echter buiten de reikwijdte van het reglement c.q. buiten het beoordelingskader van de commissie.
Op grond van artikel 3, lid 1 reglement heeft de commissie immers tot taak geschillen tussen consument en ondernemer te beslechten, voor zover deze betrekking hebben op de totstandkoming of de uitvoering van overeenkomsten met betrekking tot door de ondernemer te leveren of geleverde diensten. Gelet op dit artikel is het niet aan de commissie om te oordelen over de interne bedrijfsvoering van de ondernemer en de in dat kader getroffen technische en organisatorische maatregelen betreffende beveiliging van persoonsgegevens in zijn bedrijf in het algemeen zoals hier aan de orde. Naar het oordeel van de commissie betreft de beveiliging van persoonsgegevens van klanten een bedrijfsaspect. De daarop gerichte bedrijfsvoering wordt primair beheerst door toepasselijke wet- en regelgeving, waaronder de AVG, en niet door de overeenkomst tussen consument en aanbieder, noch door de geleverde of te leveren diensten waarop die overeenkomst betrekking heeft. De commissie volgt gelet hierop de ondernemer in zijn standpunt dat de vraag of de ondernemer aan zijn beveiligingsverplichtingen (uit artikel 32 AVG) heeft voldaan een beoordeling is die zich niet leent voor de onderhavige procedure. Gebleken is dat de bevoegde toezichthouders thans onderzoek doen naar de cyberaanval bij de ondernemer.
Al hetgeen de consument verder heeft aangevoerd zoals hiervoor weergegeven stuit op het voorgaande af.
Op grond van het voorgaande is de commissie van oordeel dat de klacht ongegrond is.
Derhalve wordt als volgt beslist.
Beslissing
Het door de consument verlangde wordt afgewezen.
Aldus beslist door de Geschillencommissie Telecommunicatiediensten, bestaande uit mevrouw mr. I.K. Rapmund, voorzitter, de heer ir. N.A. Dammers, de heer mr. G. Febus, leden, op 11 september 2026.