Te veel organisaties in Nederland die worden getroffen door een cyberaanval, laten na om mensen te waarschuwen dat hun gegevens in verkeerde handen zijn gevallen. Organisaties schatten de risico’s van de aanval namelijk vaak te laag in.
Bedrijven schatten in 7 van de 10 gevallen het risico op datalekken te laag in. Met als gevolg dat de mensen van wie er persoonlijke gegevens zijn gelekt, zich niet kunnen wapenen tegen mogelijke oplichting of andere misdrijven van cybercriminelen. De Autoriteit Persoonsgegevens (AP) stelt dat in het jaarlijkse overzicht van datalekmeldingen in Nederland.
“Onderschat het niet, met jouw gegevens in de hand kunnen criminelen jou écht schade toebrengen”, verklaart AP-voorzitter Aleid Wolfsen. “Met jouw telefoonnummer of e-mailadres kunnen ze je betaalverzoekjes sturen waarop je misschien per ongeluk klikt. Met een kopie van je paspoort kan iemand anders een lening afsluiten op jouw naam. Je gegevens zijn voor criminelen goud waard.”
In totaal ontving de AP in 2023 meer dan 25.000 meldingen van een datalek. Alles bij elkaar betekent dat circa 20 miljoen slachtoffers.
Informatieplicht
Organisaties zijn niet voor niets wettelijk verplicht om mensen te waarschuwen als er sprake is van een hoog risico na een datalek. Maar in de praktijk ziet de AP dat organisaties de risico’s vaak juist te laag inschatten. Waardoor zij mensen er niet van op de hoogte brengen dat hun persoonsgegevens zijn gelekt.
Wolfsen: “Dit is meer dan zorgelijk. Mensen moeten erop kunnen vertrouwen dat organisaties goed met hun persoonsgegevens omgaan. Daar hoort ook bij dat een organisatie jou goed informeert als er helaas iets misgaat met jouw gegevens. Want hoe kun jij de regie houden over jouw leven als jou niet verteld wordt wat er met je gegevens gebeurt?”
In 2023 ging het bij datalekken ruim 1.300 keer om een cyberaanval. Cyberaanvallers richten hun digitale pijlen vaak op IT-leveranciers. Organisaties huren IT-leveranciers in om vaak grote hoeveelheden persoonsgegevens te beheren. Deze inhurende organisaties blijven doorgaans zelf verantwoordelijk als er iets gebeurt met deze gegevens. Zij moeten mensen dan ook zelf informeren als hun persoonsgegevens bij de IT-leverancier in verkeerde handen zijn gevallen. Wolfsen: ‘Digitalisering brengt kansen met zich mee, maar ook risico’s. Dat maakt het des te belangrijker om mensen goed te informeren.’
De AP houdt in de gaten of organisaties die slachtoffers moeten informeren, dat ook daadwerkelijk doen. Ingrijpen hoort daar ook bij. In 2023 gebeurde dat bijvoorbeeld na een omvangrijk datalek dat volgde op een cyberaanval op de IT-leverancier Nebu. De waakhond maande meer dan dertig klanten van Nebu om de slachtoffers te informeren nadat bleek dat dat deze organisaties zelf in eerste instantie besloten dat niet te doen. Ongeveer 50.000 mensen konden zich door deze interventie teweerstellen tegen mogelijke cybercriminelen. Volgens Wolfsen is het doel dat organisaties uit zichzelf hun verantwoordelijkheid nemen.
