Commissie: Telecommunicatiediensten
Categorie: Klantgegevens
Jaartal: 2026
Soort uitspraak: Bindend Advies
Uitkomst: ongegrond
Referentiecode:
1336693/1341246
De uitspraak:
Waar gaat de uitspraak over?
Een consument heeft een klacht ingediend tegen een telecomaanbieder nadat haar persoonsgegevens waren gestolen bij een cyberaanval in februari 2026. Daarbij waren onder andere haar naam, adres, bankrekeningnummer en gegevens van haar identiteitsbewijs gelekt. De consument vond dat de telecomaanbieder haar gegevens onvoldoende had beschermd en daardoor het vertrouwen had geschonden. Zij wilde daarom haar telefoonabonnement kosteloos beëindigen, zonder opzegkosten of betaling van de resterende contracttermijnen. Ook wilde zij voorkomen dat het bedrijf openstaande bedragen zou innen of haar zou registreren wegens betalingsproblemen. De telecomaanbieder erkende dat klantgegevens waren gestolen, maar stelde dat de telefoniediensten altijd goed waren blijven werken. Volgens het bedrijf was er daarom geen reden om het abonnement kosteloos te beëindigen. De Geschillencommissie Telecommunicatiediensten oordeelt dat zij niet kan beoordelen of de telecomaanbieder voldoende maatregelen heeft genomen om persoonsgegevens te beschermen. Volgens de commissie gaat dit over de interne beveiliging van het bedrijf en valt dit buiten haar taak. De bevoegde toezichthouders onderzoeken de cyberaanval. De commissie verklaart de klacht ongegrond en wijst het verzoek om het abonnement kosteloos te beëindigen en de overige verzoeken af.
De volledige uitspraak
Onderwerp van het geschil
De consument heeft de klacht voorgelegd aan de ondernemer.
Het geschil betreft het lekken van klantgegevens.
Standpunt van de consument
Voor het standpunt van de consument verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
In februari 2026 zijn door het datalek bij de ondernemer de persoonsgegevens van de consument gelekt (o.a. naam, IBAN en paspoortgegevens). Op 13 maart 2026 heeft de consument de ondernemer per aangetekende post een aansprakelijkstelling gestuurd. De consument heeft verzocht om kosteloze beëindiging zonder afkoopsom. De hiervoor gegeven termijn is onbeantwoord verstreken. Eerder (case [casenummer], 27-02-2026) weigerde de ondernemer medewerking. Sprake is van een ernstige vertrouwensbreuk door het datalek.
De consument verlangt kosteloze beëindiging van het abonnement, zonder afkoopsom, opzegvergoeding of betaling van resterende contracttermijnen en zonder Preventel-, BKR- of incassomelding, onder voorbehoud van haar rechten op schadevergoeding.
De consument, heeft in reactie op het verweerschrift, kort samengevat, het volgende aangevoerd.
De klacht gaat over de verplichting die in de overeenkomst staat, het zorgvuldig omgaan met de persoonsgegevens van de consument en die beveiligen. Deze verplichting staan in de toepasselijke Algemene Voorwaarden, o.a. artikelen 14 en 15. Daarmee is de beveiliging van de persoonsgegevens uitdrukkelijk onderdeel van de overeenkomst. De klacht gaat over de nakoming van die concrete verplichting en niet alleen over verlies van vertrouwen. Verder is in strijd gehandeld met artikel 24 AVG.
De consument wijst op de waarschuwing van de FBI op 12 september 2025 voor criminelen die medewerkers van callcenters benaderen als zogenaamd IT-personeel en zo toegang krijgen tot Salesforce-klantgegevens. De FBI heeft in dat kader adviezen gegeven. Op 27 februari 2026 berichtte de NOS dat de leverancier van het klantensysteem de ondernemer meermaals voor de gebruikte methode had gewaarschuwd, laatstelijk eind januari.
De consument wil van de ondernemer antwoord op drie concrete vragen:
1. Welke beperkingen golden voor de toegang tot en de export van klantgegevens via het getroffen account? Hoe konden via dat account binnen een uur gegevens van miljoenen klanten worden gedownload? 2. Welke controles moesten ongebruikelijke downloads signaleren, en waarom is de diefstal daarmee niet herkend? 3. Hoe had de ondernemer vóór de aanval het risico aangepakt waarvoor de FBI en Salesforce hadden gewaarschuwd?
Onder meer naam, adres, geboortedatum, IBAN en het nummer en de geldigheid van het identiteitsdocument van de consument zijn gestolen. Mogelijke blootstelling van deze combinatie van gegevens brengt risico’s mee die langer kunnen voortduren.
De consument verzoekt de commissie:
1. vast te stellen dat de overeenkomst door het bericht van 27 februari 2026 is ontbonden; dan wel de overeenkomst te ontbinden per de datum van de uitspraak;
2. te bepalen dat geen afkoopsom, opzegvergoeding of resterende contracttermijnen verschuldigd zijn en dat abonnementskosten vanaf de vastgestelde beëindigingsdatum worden gecrediteerd of, voor zover betaald, terugbetaald;
3. te bepalen dat voor die bedragen geen incasso of registratie bij Preventel of BKR plaatsvindt en dat eventuele daarop gebaseerde incasso of registraties worden ingetrokken;
4. te bepalen dat de ondernemer de gevraagde toelichting en stukken uit de onderdelen 3 en 6 te laten verstrekken, voor zover nodig voor de beoordeling;
5. te bepalen dat de ondernemer het door de consument betaalde klachtengeld vergoedt.
Standpunt van de ondernemer
Voor het standpunt van de ondernemer verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
Tussen partijen bestaat een tweejarig [mobieleabonnement] overeenkomst, met ingangsdatum 6 maart 2026.
De ondernemer is in februari 2026 getroffen door een gerichte cyberaanval, waarbij klantgegevens door cybercriminelen uit het klantcontactsysteem van de ondernemer zijn gestolen. De aanval bestond kort gezegd uit diverse stappen, waarbij de aanvallers geavanceerde telefonische phishingaanvallen gebruikten (ook wel bekend als voice phishing oftewel vishing) om gegevens te stelen. De ongeautoriseerde toegang tot het systeem is door de ondernemer snel opgemerkt en beëindigd maar hij heeft niet kunnen voorkomen dat klantgegevens uit zijn klantcontactsysteem zijn gestolen, waaronder gegevens van de consument.
Geen sprake is van een tekortkoming in de nakoming van de overeenkomst door de ondernemer die ontbinding van de overeenkomst rechtvaardigt als bedoeld in art. 6:265BW. De overeenkomst tussen partijen betreft de levering van telecomdiensten door de ondernemer. De cyberaanval heeft geen enkel effect gehad op de continuïteit of kwaliteit van de geleverde telecomdiensten. De diensten van de ondernemer, zoals bellen, internet en televisie, zijn altijd volledig beschikbaar en veilig gebleven. De cyberaanval en de door de consument geschetste omstandigheden leveren daarom geen tekortkoming op in de nakoming van de overeengekomen verbintenis, de levering van telecomdiensten. De ondernemer is de op haar rustende verplichtingen nagekomen en zal dat blijven doen.
De ondernemer heeft niet gehandeld in strijd met artikel 32 AVG en zelfs als de ondernemer niet (volledig) aan haar verplichtingen ex art. 32 AVG zou hebben voldaan, is geen sprake van een tekortkoming. De vraag of de ondernemer aan haar beveiligingsverplichtingen uit art. 32 AVG heeft voldaan, vereist een technisch en feitelijk complexe beoordeling. Dit artikel bevat een open norm: of beveiligingsmaatregelen “passend” zijn en dit moet worden beoordeeld aan de hand van diverse, deels open gezichtspunten, waaronder de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, afgezet tegen de risico’s. Een dergelijke beoordeling leent zich niet voor behandeling in de onderhavige procedure. De ondernemer heeft de cyberaanval gemeld bij de bevoegde toezichthouders en bij de betrokkenen. De Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur doen momenteel onderzoek naar de cyberaanval.
Dit brengt mee dat de ondernemer niet schadeplichtig is. Voor vergoeding van (im)materiële schade bestaat geen grondslag.
Verzocht wordt de klacht ongegrond te verklaren.
Beoordeling van het geschil
De commissie heeft het volgende overwogen.
Ter zitting is gebleken dat het verweerschrift van de ondernemer niet was doorgestuurd naar de consument. Gelet hierop heeft de consument na de zitting de gelegenheid gekregen schriftelijk te reageren op het verweerschrift van de ondernemer, waarvan zij gebruik heeft gemaakt. Een nadere zitting is achterwege gebleven nu de consument desgevraagd niet heeft aangegeven dat te willen.
Vast staat dat tussen partijen een tweejarig [mobieleabonnement] overeenkomst”, met ingangsdatum 6 maart 2026 bestaat. Vast staat ook dat de ondernemer in februari 2026 is getroffen door een cyberaanval, waarbij klantgegevens van onder meer de consument uit het klantcontactsysteem van de ondernemer zijn gelekt.
Voorop wordt gesteld dat de omvang van het geschil wordt gevormd door de klacht zoals geformuleerd in het vragenformulier en de op die klacht betrekking hebbende nadere onderbouwing. De nieuwe klachten die nadien, in de reactie op het verweerschrift, zijn geformuleerd vormen dus geen onderdeel van de onderhavige klacht en vallen buiten de omvang van dit geschil en zullen niet worden besproken.
Gelet op de formulering van de klacht zoals schriftelijk en mondeling nader toegelicht beklaagt de consument zich in de kern erover dat de ondernemer niet heeft voldaan aan zijn wettelijke en contractuele verplichting om passende technische en organisatorische maatregelen te treffen ter bescherming van haar persoonsgegevens, waardoor haar persoonsgegevens op straat zijn beland.
Op grond van artikel 4 van het reglement van de Geschillencommissie Telecommunicatiediensten (hierna: het reglement) acht de commissie zich bevoegd het onderhavige geschil te behandelen.
Een dergelijke klacht valt, gelet op artikel 3, lid 1 van het reglement, echter buiten de reikwijdte van het reglement c.q. buiten het beoordelingskader van de commissie.
Op grond van artikel 3, lid 1 reglement heeft de commissie immers tot taak geschillen tussen consument en ondernemer te beslechten, voor zover deze betrekking hebben op de totstandkoming of de uitvoering van overeenkomsten met betrekking tot door de ondernemer te leveren of geleverde diensten. Gelet op dit artikel is het niet aan de commissie om te oordelen over de interne bedrijfsvoering van de ondernemer en de in dat kader getroffen technische en organisatorische maatregelen betreffende beveiliging van persoonsgegevens in zijn bedrijf in het algemeen zoals hier aan de orde. Naar het oordeel van de commissie betreft de beveiliging van persoonsgegevens van klanten een bedrijfsaspect. De daarop gerichte bedrijfsvoering wordt primair beheerst door toepasselijke wet- en regelgeving, waaronder de AVG, en niet door de overeenkomst tussen consument en aanbieder, noch door de geleverde of te leveren diensten waarop die overeenkomst betrekking heeft. De commissie volgt gelet hierop de ondernemer in zijn standpunt dat de vraag of de ondernemer aan zijn beveiligingsverplichtingen (uit artikel 32 AVG) heeft voldaan een beoordeling is die zich niet leent voor de onderhavige procedure. Gebleken is dat de bevoegde toezichthouders thans onderzoek doen naar de cyberaanval bij de ondernemer.
Al hetgeen de consument verder heeft aangevoerd zoals hiervoor weergegeven stuit op het voorgaande af.
Op grond van het voorgaande is de commissie van oordeel dat de klacht ongegrond is.
Derhalve wordt als volgt beslist.
Beslissing
Het door de consument verlangde wordt afgewezen.
Aldus beslist door de Geschillencommissie Telecommunicatiediensten, bestaande uit mevrouw mr. I.K. Rapmund, voorzitter, de heer ir. N.A. Dammers, de heer mr. G. Febus, leden, op 11 september 2026.