PostNL zet adrescontrole via de bank uit na risico voor privépost

Wie zijn adres bij PostNL wil bevestigen, kan dat voorlopig niet meer via iDIN, de identificatiedienst van Nederlandse banken. PostNL heeft die route uitgeschakeld en verwijst gebruikers naar de bestaande controle per brief. Dat zegt het bedrijf tegen Tweakers, dat op 7 oktober een privacyprobleem beschreef. Ook energievergelijkers, waaronder Gaslicht.com, hebben de betrokken adrescontrole stopgezet.

Volgens het onderzoek controleren banken niet of klanten werkelijk wonen op het opgegeven adres. Daardoor konden bankgegevens toegang geven tot MijnPost van een ander adres of tot het jaarverbruik van een ander huishouden.

Een brief in plaats van direct bevestigen

Voor PostNL-gebruikers betekent de ingreep dat een adrescontrole een fysieke stap krijgt. De code uit de brief vul je in je account of de app in. PostNL zegt dat de code veertien dagen geldig is; bij verlies of verlopen geldigheid kun je na veertien dagen een nieuwe aanvragen. De controle vraagt daarmee toegang tot de brief op het opgegeven adres. Ze is ook een bestaande uitwijkmogelijkheid voor wie iDIN niet wil of kan gebruiken. Naam en geboortedatum bevestig je volgens de hulppagina alleen met iDIN. Die pagina noemt adrescontrole via iDIN nog wel; PostNL zegt tegen Tweakers dat die is uitgezet.

Waarom dat adres ertoe doet, wordt duidelijk uit wat MijnPost laat zien. De dienst toont post die naar een adres is gestuurd, met uitzonderingen. Ongeadresseerde folders, post van andere bezorgbedrijven en handmatig gesorteerde stukken ontbreken bijvoorbeeld. Ook zendingen boven 350 gram verschijnen niet in het overzicht. Het gaat dus niet om een compleet postarchief. Soms verschijnt bovendien een blanco envelop wanneer geen goede foto is gemaakt; het stuk is dan volgens PostNL wel gesorteerd en onderweg. Een ontbrekende afbeelding betekent daardoor niet dat er geen brief komt. En een overzicht per adres is iets anders dan een overzicht dat uitsluitend aan één persoon gerichte post bevat.

Geen toegang tot je banksaldo

iDIN is bedoeld om je online identiteit door te geven zonder voor iedere dienst een nieuwe gebruikersnaam en een wachtwoord nodig te hebben. Je gebruikt daarvoor de inlogmiddelen van je eigen bank, op de bankpagina. Die toegangscodes worden volgens iDIN niet naar het andere bedrijf gestuurd. Na toestemming kan de bank wel persoonsgegevens delen, zoals je naam, woonadres of geboortedatum. Een leeftijdsbevestiging van achttien jaar of ouder behoort eveneens tot de mogelijke gegevens. Een verzoek om je leeftijd te bevestigen hoeft dus niet dezelfde informatieoverdracht te vragen als een controle van je naam en adres. Identificeren omvat meer dan alleen adrescontrole.

Die gegevensoverdracht is ook iets anders dan meekijken in je bankrekening. Volgens de privacyuitleg van iDIN krijgt de ontvangende organisatie geen saldo of betaalgegevens te zien. Vooraf zie je welke persoonsgegevens worden gevraagd en moet je toestemming geven voordat ze worden doorgegeven. De bank mag gegevens over je iDIN-gebruik volgens deze uitleg niet voor eigen commerciële doeleinden gebruiken of aan anderen doorverkopen. Dat zijn grenzen aan de overdracht. Het vastgestelde privacyrisico betrof hier de informatie die andere diensten achter een bankadres beschikbaar maakten.