Levendige handel gestolen persoonsgegevens op het darkweb

Gepubliceerd op 4 september 2021 om 07:00

Als een bedrijf of instantie gehackt wordt, kunnen persoonsgegevens worden gestolen. Voor slachtoffers kan dat vergaande consequenties hebben, zoals identiteitsfraude. Helaas is het voor slachtoffers nauwelijks mogelijk de schade te verhalen, aldus dr. Tim Walree, die op dit onderwerp promoveerde.

Levendige handel

Op het Darkweb is een levendige handel in gestolen persoonsgegevens. Criminelen kunnen deze gebruiken om fraude te plegen, zich als een ander voor te doen en op naam van slachtoffers huurcontracten afsluiten om bijvoorbeeld een drugslaboratorium te huisvesten.

Het is al meerdere keren gebeurd dat slachtoffers daar ernstige consequenties van ondervonden, terwijl het lekken van hun gegevens buiten hun schuld was gebeurd.

De schade verhalen op het bedrijf of de instantie waar het datalek plaatsvond, is zo goed als onmogelijk, aldus Walree. Dat komt vooral omdat het moeilijk te bewijzen is hoe groot de daadwerkelijk geleden schade is, zo vertelt hij tegenover NU.nl. Voor concrete schade is nog wel een vergoeding te eisen, maar de grootste schade is vaak van immateriële aard en dat is lastig te onderbouwen. Te denken valt aan ergernis en onzekerheid, die kunnen leiden tot verminderd functioneren in de samenleving en op het werk. Alleen bij misbruik van medische gegevens wil een rechter volgens Walree nog wel eens meegaand zijn met het slachtoffer.

Banken terughoudender

Daarnaast worden ook banken steeds terughoudender met het compenseren van slachtoffers van phishing en andere vormen van digitale fraude.

Wie zelf geld overmaakt naar een fraudeur hoeft in de regel niet op een schadevergoeding te rekenen. Dat gebeurt de laatste tijd steeds vaker door met name ouderen die denken door hun bank gebeld te worden met de waarschuwing dat hun rekening mogelijk gehackt is en het geld snel ‘veilig’ gesteld moet worden.

Verder kan het lang duren voordat gestolen persoonsgegevens misbruikt worden en dan is het voor het slachtoffer moeilijk om het verband aan te tonen tussen de gegevensdiefstal en de geleden schade.

Schadevergoeding claimen in de toekomst

Omdat het moeilijk is om schade te verhalen op een partij die jouw gegevens lekt, komen veel organisaties na een datalek ongestraft weg. "De Autoriteit Persoonsgegevens kan als toezichthouder onmogelijk op alle datalekken handhaven", zegt Walree. "Maar je wil wel een stok om mee te slaan."

Hij pleit er daarom voor dat rechters makkelijker een schadevergoeding toekennen als gegevens op straat belanden. Daarvoor kijkt hij uit naar toekomstige uitspraken van het Hof van Justitie van de Europese Unie.

"Oostenrijkse rechters hebben het Hof gevraagd of een datalek op zichzelf al kan leiden tot een schadevergoeding. Dus ook als het niet per se concrete gevolgen heeft gehad."

"Het kan de deur voor veel schadeclaims opendoen of juist dichtgooien als het Hof daar een duidelijk antwoord op geeft. Dat zou een kantelpunt zijn in het claimen van een schadevergoeding als een organisatie nalatig is geweest."

De onderzoeker durft niet te voorspellen hoe het Hof zal redeneren. Vermoedelijk duurt het nog enige tijd voor het antwoord duidelijk is. De zaak is in mei ingediend en het Hof heeft meestal maanden nodig om tot een oordeel te komen.