Commissie: Telecommunicatiediensten
Categorie: Klantgegevens
Jaartal: 2026
Soort uitspraak: Bindend Advies
Uitkomst: ongegrond
Referentiecode:
1335874/1340679
De uitspraak:
Waar gaat de uitspraak over?
Een consument heeft een klacht ingediend tegen een telecomaanbieder nadat zijn persoonsgegevens waren gestolen bij een cyberaanval in februari 2026. Zijn internetabonnement was op dat moment al beëindigd. Volgens de consument waren onder andere zijn naam, e-mailadres en bankrekeningnummer gelekt. Hij maakte zich zorgen over identiteitsfraude en misbruik van zijn gegevens. Ook vond hij dat de telecomaanbieder onvoldoende op zijn vragen en schadeclaim had gereageerd. De consument eiste daarom een schadevergoeding van € 2.500, plus eventuele extra kosten en toekomstige schade. Daarnaast wilde hij dat zijn persoonsgegevens werden verwijderd. De telecomaanbieder erkende dat klantgegevens waren gestolen, maar stelde dat de gegevens volgens de geldende bewaartermijn nog mochten worden bewaard. Volgens het bedrijf waren het burgerservicenummer en een kopie van het identiteitsbewijs niet gelekt. De Geschillencommissie Telecommunicatiediensten oordeelt dat zij niet kan beoordelen of de telecomaanbieder voldoende maatregelen heeft genomen om persoonsgegevens te beschermen. Dit gaat volgens de commissie over de interne beveiliging van het bedrijf en valt buiten haar taak. De bevoegde toezichthouders onderzoeken de cyberaanval. De commissie verklaart de klacht ongegrond en wijst de schadevergoeding en het verzoek om verwijdering van de persoonsgegevens af.
De volledige uitspraak
Onderwerp van het geschil
De consument heeft de klacht voorgelegd aan de ondernemer.
Het geschil betreft het lekken van klantgegevens.
Standpunt van de consument
Voor het standpunt van de consument verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
De persoonsgegevens van de consument zijn betrokken bij de datalek bij de ondernemer in februari 2026. Het gaat om de naam, het e-mailadres en bankrekeningnummer (IBAN) (en indien van toepassing kopie identiteitsbewijs/BSN) van de consument. Het lekken van deze combinatie van gegevens heeft geleid tot ernstig verlies van controle over zijn privacy en een constante angst voor identiteitsfraude en phishing. De consument heeft de ondernemer hiervoor aansprakelijk gesteld. De ondernemer heeft hierop niet gereageerd binnen de door de consument gestelde termijn. De ondernemer weigert inhoudelijk te reageren op de vordering van de consument van € 2.500,-. De ondernemer verkeert daarom formeel in verzuim.
De ondernemer heeft gehandeld in strijd met de AVG en negeert hiermee de individuele rechten van de consument. De consument heeft een handhavingsverzoek ingediend bij de Autoriteit Persoonsgegevens.
Ook had de consument een betere communicatie verwacht.
De consument verlangt dat de commissie zijn vordering overneemt en dat de ondernemer namens de verzekeraar wordt gesommeerd tot betaling van een schadevergoeding van € 2.500,- vermeerderd met de wettelijke rente en buitengerechtelijke kosten en de toekomstige vervolgschade. Ook verlangt de consument dat zijn persoonsgegevens worden gewist.
Standpunt van de ondernemer
Voor het standpunt van de ondernemer verwijst de commissie naar de overgelegde stukken. In de kern komt het standpunt op het volgende neer.
Tussen partijen bestond een internetabonnement met een looptijd van één jaar, welke overeenkomst op 31 mei 2024 is geëindigd.
De ondernemer is in februari 2026 getroffen door een gerichte cyberaanval, waarbij klantgegevens door cybercriminelen uit het klantcontactsysteem van de ondernemer zijn gestolen. Dit was minder dan 2 jaar nadat de overeenkomst tussen partijen was geëindigd en de bewaartijd van gegevens van 2 jaar. De aanval bestond kort gezegd uit diverse stappen, waarbij de aanvallers geavanceerde telefonische phishingaanvallen gebruikten (ook wel bekend als voice phishing oftewel vishing) om gegevens te stelen. De ongeautoriseerde toegang tot het systeem is door de ondernemer snel opgemerkt en beëindigd maar hij heeft niet kunnen voorkomen dat klantgegevens uit zijn klantcontactsysteem zijn gestolen, waaronder gegevens van de consument. Het BSN-nummer en een kopie van een ID-bewijs van de consument kunnen niet gelekt zijn als gevolg van de cyberaanval.
De ondernemer heeft niet gehandeld in strijd met een contractuele verplichting of artikel 32 AVG en zelfs als de ondernemer niet (volledig) aan haar verplichtingen ex art. 32 AVG zou hebben voldaan, is geen sprake van een tekortkoming. De vraag of de ondernemer aan haar beveiligingsverplichtingen uit art. 32 AVG heeft voldaan, vereist een technisch en feitelijk complexe beoordeling. Dit artikel bevat een open norm: of beveiligingsmaatregelen “passend” zijn en dit moet worden beoordeeld aan de hand van diverse, deels open gezichtspunten, waaronder de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, afgezet tegen de risico’s. Een dergelijke beoordeling leent zich niet voor behandeling in de onderhavige procedure. De ondernemer heeft de cyberaanval gemeld bij de bevoegde toezichthouders en bij de betrokkenen. De Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur doen momenteel onderzoek naar de cyberaanval.
Dit brengt mee dat de ondernemer niet schadeplichtig is. Voor vergoeding van (im)materiële schade bestaat geen grondslag.
Verzocht wordt de klacht ongegrond te verklaren.
Beoordeling van het geschil
De commissie heeft het volgende overwogen.
Vast staat dat tussen partijen een overeenkomst betreffende het leveren van internetdiensten heeft bestaan voor de duur van één jaar, die is geëindigd op 31 mei 2024. Vast staat ook dat de ondernemer in februari 2026 is getroffen door een cyberaanval, waarbij klantgegevens van onder meer de consument uit het klantcontactsysteem van de ondernemer zijn gelekt.
Gelet op de formulering van de klacht beklaagt de consument zich in de kern erover dat de ondernemer niet heeft voldaan aan zijn wettelijke en contractuele verplichting om passende technische en organisatorische maatregelen te treffen ter bescherming van zijn persoonsgegevens, waardoor zijn persoonsgegevens op straat zijn beland.
Op grond van artikel 4 van het reglement van de Geschillencommissie Telecommunicatiediensten (hierna: het reglement) acht de commissie zich bevoegd het onderhavige geschil te behandelen.
Een dergelijke klacht valt, gelet op artikel 3, lid 1 van het reglement, echter buiten de reikwijdte van het reglement c.q. buiten het beoordelingskader van de commissie.
Op grond van artikel 3, lid 1 reglement heeft de commissie immers tot taak geschillen tussen consument en ondernemer te beslechten, voor zover deze betrekking hebben op de totstandkoming of de uitvoering van overeenkomsten met betrekking tot door de ondernemer te leveren of geleverde diensten. Gelet op dit artikel is het niet aan de commissie om te oordelen over de interne bedrijfsvoering van de ondernemer en de in dat kader getroffen technische en organisatorische maatregelen betreffende beveiliging van persoonsgegevens in zijn bedrijf in het algemeen zoals hier aan de orde. Naar het oordeel van de commissie betreft de beveiliging van persoonsgegevens van klanten een bedrijfsaspect. De daarop gerichte bedrijfsvoering wordt primair beheerst door toepasselijke wet- en regelgeving, waaronder de AVG, en niet door de overeenkomst tussen consument en aanbieder, noch door de geleverde of te leveren diensten waarop die overeenkomst betrekking heeft. De commissie volgt gelet hierop de ondernemer in zijn standpunt dat de vraag of de ondernemer aan zijn beveiligingsverplichtingen (uit artikel 32 AVG) heeft voldaan een beoordeling is die zich niet leent voor de onderhavige procedure. Gebleken is dat de bevoegde toezichthouders thans onderzoek doen naar de cyberaanval bij de ondernemer.
Al hetgeen de consument verder heeft aangevoerd zoals hiervoor weergegeven stuit op het voorgaande af.
Op grond van het voorgaande is de commissie van oordeel dat de klacht ongegrond is.
Derhalve wordt als volgt beslist.
Beslissing
Het door de consument verlangde wordt afgewezen.
Aldus beslist door de Geschillencommissie Telecommunicatiediensten, bestaande uit mevrouw mr. I.K. Rapmund, voorzitter, de heer ir. N.A. Dammers, de heer mr. G. Febus, leden, op 11 september 2026.