Home

Een datalek is nooit neutraal en al helemaal niet voor kwetsbare groepen

Weer is er een datalek waarbij de risico’s voor een kwetsbare groep niet serieus zijn genomen. En dit keer gaat het niet om abstracte privacy, maar om mensen voor wie het lekken van persoonsgegevens directe gevolgen kan hebben voor hun veiligheid.

Bij het recente datalek bij Odido zijn persoonsgegevens eenvoudig te vinden en te downloaden. De data circuleert inmiddels volop: “check of je erin zit”-websites schoten als paddenstoelen uit de grond (vibe coding?). En laten we eerlijk zijn: dat zijn vrijwel zeker niet de enige partijen die deze gegevens hebben binnengehaald. Hoe vaker data wordt gedownload en gekopieerd, hoe groter de kans dat deze blijft rondzwerven. Vandaag, morgen en over een jaar.

Volgens Veilig Thuis zoeken plegers, en met name ex-partners, actief naar informatie om opnieuw contact te leggen, controle uit te oefenen of slachtoffers te intimideren. Dat maakt dit datalek geen theoretisch risico, maar een voorspelbaar en bekend gevaar.

Dit is geen “ongelukkig incident”. Dit is een falen om rekening te houden met mensen van wie bekend is dat zij extra risico lopen. Het gaat hier om kwetsbare groepen zoals mensen die worden gestalkt of bedreigd, mensen die zich in een situatie van huiselijk geweld bevinden, en mensen met een afgeschermd adres; bijvoorbeeld medewerkers in de jeugdzorg of andere functies waarbij anonimiteit essentieel is voor hun veiligheid.

Voor deze groepen zijn persoonsgegevens geen neutrale administratieve gegevens. Een adres is geen simpel veld in een database, maar een fysieke locatie waar iemand kan worden opgezocht. Een telefoonnummer is geen handig contactmiddel, maar een directe lijn voor intimidatie of controle. Juist daarom bestaan er afgeschermde adressen en speciale regelingen: omdat bekend is dat openbaarmaking kan leiden tot reëel gevaar.

Dat deze mensen onderdeel zijn van het datalek betekent dat er niet alleen een technisch beveiligingsprobleem was, maar ook een fundamenteel tekort aan risicobewustzijn. Wanneer je weet dat een deel van je klanten extra kwetsbaar is, moet dat het uitgangspunt zijn voor hoe je met hun gegevens omgaat. Niet een voetnoot achteraf.

Van telefoonboek tot veiligheidsrisico

Door dit lek is er feitelijk een makkelijk doorzoekbaar telefoonboek ontstaan. Adressen, telefoonnummers en e-mailadressen van slachtoffers zijn nu voor iedereen op te zoeken. Dat betekent:

Maar het probleem gaat verder dan dat.

Odido heeft namelijk niet alleen contactgegevens opgeslagen, maar ook uitgebreid vastgelegd wat de situatie was in gevallen van stalking, huiselijk geweld en bedreigingen. Met andere woorden: er is gevoelige informatie vastgelegd over een groep waarvan bekend is dat deze informatie in verkeerde handen letterlijk kan leiden tot gevaar.

Waarom is deze informatie überhaupt opgeslagen?

Met welk doel?

En waarom is deze data niet extra afgeschermd of volledig losgekoppeld van herleidbare persoonsgegevens of strikt geminimaliseerd, bijvoorbeeld door met categorieën te werken (waarbij een code staat voor een situatie).

De AVG eist niet voor niets extra zorgvuldigheid bij het werken met gevoelige gegevens. Informatie over stalking, bedreiging of huiselijk geweld kan, afhankelijk van wat er precies wordt vastgelegd, vallen onder bijzondere persoonsgegevens. Het verwerken daarvan is in principe verboden, tenzij aan strikte wettelijke voorwaarden wordt voldaan.

Vrije notitievelden waarin medewerkers naar eigen inzicht situaties beschrijven, vormen daarbij een extra risico. Wat voor de één een “handige toelichting” lijkt (klant is agressief, klant wordt gestalkt), kan juridisch gezien gevoelige of verboden informatie zijn. Dat is niet alleen een privacyprobleem, maar ook een veiligheidsrisico.

Zelfs als er een geldige grondslag zou bestaan om dergelijke informatie vast te leggen, brengt dat zware verplichtingen met zich mee: extra beveiligingsmaatregelen, strikte toegangsbeperking, duidelijke instructies aan medewerkers en actieve controle op wat er wordt opgeslagen. Zonder die maatregelen is het vastleggen van dit soort informatie simpelweg onverantwoord.

Juist daarom had hier gekozen moeten worden voor dataminimalisatie: geen uitgebreide beschrijvingen in tekstvelden, maar werken met beperkte categorieën of codes die alleen aangeven dat er sprake is van een verhoogd risico, zonder details die mensen in gevaar kunnen brengen.

Weten wie kwetsbaar is, betekent verantwoordelijkheid nemen

Odido wist wie deze kwetsbare groep is. Dat blijkt juist uit het feit dat deze contextinformatie überhaupt bestaat. En precies daarom is de vraag onontkoombaar: is er dan ook verantwoordelijkheid genomen richting deze mensen?

Hebben zij een aangepaste waarschuwing gekregen? Een eerlijke, expliciete uitleg over wat dit datalek voor hen betekent?

Niet een algemene, juridisch dichtgetimmerde mail, maar concrete informatie zoals:

Want voor slachtoffers van stalking en huiselijk geweld is vaag taalgebruik geen bescherming. Heldere informatie is dat wel.

Ons standpunt: dit kan en mag niet zo blijven gebeuren

Ons standpunt is helder: we moeten structureel beter omgaan met kwetsbare groepen. Zeker als we weten dat zij onderdeel zijn van een datalek.

Dat betekent:

En ja, dat betekent ook erkennen dat “privacy” hier geen abstract recht is, maar een veiligheidsmaatregel. Voor sommige mensen is een datalek geen administratief probleem of reputatieschade, maar een directe dreiging voor hun welzijn. Een geheim adres heb je niet voor niets.

We kunnen dit niet langer accepteren als “iets dat nu eenmaal gebeurt”. Niet als de risico’s bekend zijn. Niet als de gevolgen voorspelbaar zijn. En zeker niet als de mensen die het hardst geraakt worden, opnieuw de prijs betalen.

Waar kan je hulp vinden?

Digitale Dolle Mina’s: Baas over eigen data!