Wat is er bij DA gebeurd?

DA heeft een database met klantgegevens moeten afschermen nadat onbevoegden toegang hadden gekregen. Een woordvoerder bevestigde vrijdag 18 september tegenover de NOS dat 236.000 webwinkelklanten waren geraakt en die dag bericht kregen. Het bedrijf meldde het incident bij de Autoriteit Persoonsgegevens (AP). DA zegt de ongeoorloofde toegang na ontdekking te hebben geblokkeerd. Daarmee staat nog niet vast wat er tijdens die toegang gebeurde: volgens de woordvoerder zijn er geen aanwijzingen voor een download, maar kan DA die ook niet uitsluiten. Het verschil tussen toegang en een meegenomen kopie blijft dus onopgehelderd.

Welke gegevens stonden in het bestand?

De klantmail die Tweakers inzag, noemt 4 september als datum van de onbevoegde toegang. Naast namen en e-mailadressen konden onder meer woonadressen, telefoonnummers, geboortedata en IP-adressen zijn blootgesteld. Ook gekochte producten en de gekozen betaalmethode stonden in de database. Rekeningnummers, creditcardgegevens en wachtwoorden zijn volgens de mail niet uitgelekt. Bestelinformatie verdient daardoor afzonderlijk aandacht: een overzicht van aankopen vertelt meer dan alleen hoe iemand bereikbaar is. Onze duiding: zo'n aankooplijst geeft context over iemands winkelgedrag, maar bewijst niet voor wie een product bestemd was of waarom het werd gekocht. Een bestelling is geen medische diagnose.

Waarom kan een bestelling een nepbericht overtuigend maken?

Bekende aankoopdetails kunnen een oplichter geloofwaardiger laten klinken. Dat mechanisme beschreef de AP in haar Booking.com-onderzoek uit 2021. Criminelen gebruikten toen namen, contactgegevens en informatie over hotelboekingen om zich via telefoon of e-mail als hotelmedewerker voor te doen. Ze vroegen klanten vervolgens om betaling. Daarvoor hoefden ze dus niet eerst een creditcardnummer te bezitten. Dit is een eerder, afzonderlijk geval, geen bewijs van fraude met DA-gegevens. Het laat wel zien waarom een bericht dat een echte aankoop noemt nog geen bewijs van een betrouwbare afzender is. Juist een herkenbaar detail kan de aanleiding vormen om een nieuw betaalverzoek te vertrouwen.

Welke actie past bij welk gegeven?

De AP koppelt haar advies aan slachtoffers aan de gegevens die daadwerkelijk betrokken zijn. In haar Datalekkenrapportage 2022 adviseert zij bij gelekte wachtwoorden om die te vervangen, ook op andere websites waar hetzelfde wachtwoord wordt gebruikt. Bij blootgestelde e-mailadressen of telefoonnummers ligt de nadruk op opletten bij phishing: berichten die je naar een andere website lokken om daar bijvoorbeeld inloggegevens of financiële informatie achter te laten. Vraag de betrokken organisatie welke gegevens van jou geraakt zijn als dat onduidelijk blijft. Die informatie bepaalt welke voorzorg zinvol is; een algemene melding over een datalek vertelt op zichzelf niet welke accounts kwetsbaar zijn.

Waarom bewaart een webshop oude gegevens?

DA's eigen privacyverklaring zegt dat webshopgegevens worden bewaard zolang iemand actief klant is. Na 36 maanden zonder inloggen, of na een verzoek tot uitschrijving, belooft de keten die gegevens te verwijderen, behalve informatie waarvoor een wettelijke bewaartermijn geldt. De verklaring noemt daarnaast het recht op inzage en verwijst daarvoor naar klantenservice@da.nl. Dat geeft een concrete ingang voor klanten die willen weten wat er nog staat: vraag om een overzicht van de bewaarde gegevens en de reden daarvoor. De gepubliceerde bewaartermijn beschrijft het beleid van DA. Zij bewijst niet wanneer een individueel dossier daadwerkelijk is opgeschoond of welke oudere gegevens in de getroffen database stonden.

Een factuur heeft een eigen bewaarplicht

Voor facturen gelden andere eisen dan voor het gebruik van een winkelaccount. De Belastingdienst schrijft ondernemers voor om verzonden en ontvangen facturen doorgaans zeven jaar te bewaren. Digitale facturen moeten digitaal worden opgeslagen; de administratie moet controleerbaar blijven. Voor bepaalde situaties geldt een langere termijn. Daardoor kan financiële administratie nog bestaan nadat iemand stopt met winkelen. Deze fiscale uitleg gaat specifiek over administratieve documenten. Zij verklaart op zichzelf niet waarom ieder los profielgegeven in een bepaalde database staat. Welke gegevens een webshop om fiscale redenen moet behouden, moet worden onderscheiden van wat zij voor andere doeleinden gebruikt.

Kun je DA vragen je gegevens te verwijderen?

Je kunt een verwijderverzoek doen, maar dat betekent niet automatisch dat alle informatie verdwijnt. De AP legt uit dat gegevens moeten worden gewist wanneer er geen geldige reden meer is om ze te verwerken, bijvoorbeeld als ze niet meer nodig zijn voor het oorspronkelijke doel. Een wettelijke bewaarplicht kan verwijdering juist verhinderen. Stuur daarom een gericht verzoek per e-mail of brief en benoem welke gegevens je wilt laten wissen. De organisatie moet in beginsel binnen een maand reageren en een weigering uitleggen. Vraag bij gedeeltelijke verwijdering welke informatie overblijft, waarom dat nodig is en wanneer die alsnog wordt verwijderd. Dat levert meer duidelijkheid op dan alleen een bevestiging dat een account is gesloten.

Wat moet een bedrijf na ontdekking melden?

Bij een meldplichtig datalek moet een organisatie volgens het AP-stappenplan binnen 72 uur na ontdekking bij de toezichthouder melden. Ontbreekt nog informatie, dan kan een eerste melding later worden aangevuld. Voor het informeren van getroffen personen geldt een andere afweging: bij een hoog risico moeten zij zo snel mogelijk worden gewaarschuwd. Het moment waarop een incident plaatsvond, het moment van ontdekking en de klantmelding zijn dus verschillende momenten. Zonder een vastgestelde ontdekkingsdatum kun je uit een latere klantmail alleen niet concluderen dat de melding aan de AP te laat was. Ook moeten organisaties hun datalekken intern registreren en maatregelen nemen om schade te beperken.

Controleer een onverwacht bericht via een eigen route

Het Belgische Centrum voor Cybersecurity adviseert bij twijfel zelf de website van de vermeende afzender te openen of een telefoonnummer op te zoeken. Gebruik daarvoor niet de link of het nummer uit het verdachte bericht. Dat advies is ook bruikbaar bij een onverwachte melding over een bestelling. Belgische lezers kunnen verdachte mails doorsturen naar verdacht@safeonweb.be; bij een sms volstaat een schermafbeelding. Het centrum onderzoekt links en bijlagen automatisch en kan verdachte links laten omleiden naar een waarschuwing. Een ontvangstbevestiging is geen persoonlijk oordeel over de echtheid van jouw bericht. Controleer een mogelijk echte vraag daarom afzonderlijk bij de organisatie voordat je gegevens doorgeeft.

Verder bij de bron

Lees zelf de onderzoeken, uitleg en aankondigingen achter dit verhaal.

Bronnen en werkwijze