Te veel organisaties in Nederland die worden getroffen door een cyberaanval, laten na om mensen te waarschuwen dat hun gegevens in verkeerde handen zijn gevallen. Gevolg is dat de mensen van wie persoonlijke gegevens zijn gelekt, zich niet kunnen wapenen tegen mogelijke oplichting. De Autoriteit Persoonsgegevens waarschuwt daarvoor in het jaarlijkse overzicht van datalekmeldingen.
Organisaties zijn wettelijk verplicht om mensen te waarschuwen als er sprake is van een hoog risico na een datalek. Maar in de praktijk ziet de AP dat organisaties de risico’s vaak juist te laag inschatten (7 op de 10), waardoor zij mensen er niet van op de hoogte brengen dat hun persoonsgegevens zijn gelekt.
Informatieplicht
In totaal ontving de AP in 2023 meer dan 25.000 meldingen van een datalek. Het ging daarbij 1.300 keer om een cyberaanval. Alles bij elkaar werden circa 20 miljoen mensen slachtoffer.
Cyberaanvallers richten hun digitale pijlen vaak op IT-leveranciers. De inhurende organisaties blijven doorgaans zelf verantwoordelijk als er iets gebeurt met deze gegevens. Zij moeten mensen dan ook zelf informeren als hun persoonsgegevens bij de IT-leverancier in verkeerde handen zijn gevallen.
Nebu
De AP houdt in de gaten of organisaties die slachtoffers moeten informeren, dat ook daadwerkelijk doen. Dat betekent ook dat de AP kan ingrijpen. In 2023 gebeurde dat bijvoorbeeld na een omvangrijk datalek dat volgde op een cyberaanval op de IT-leverancier Nebu. De AP maande meer dan 30 klanten van Nebu om de slachtoffers te informeren. Dit deed de AP nadat was gebleken dat deze organisaties zelf in eerste instantie hadden besloten om dat niet te doen. Ongeveer 50.000 mensen konden zich door deze interventie van de AP teweerstellen tegen mogelijke cybercriminelen.
Het overzicht van datalekmeldingen is hier te downloaden als pdf. Er is een apart hoofdstuk gewijd aan het datalek bij NEBU. Daarin zijn ook reacties opgenomen van getroffen bedrijven en organisaties.