Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Door een hack bij mijn telecomprovider zijn al mijn persoonsgegevens gestolen, inclusief mijn paspoortnummer. Ik wil nu een nieuw paspoort aanvragen. Kan ik de kosten hiervoor verhalen op de gehackte provider?

Antwoord: Na de hack bij Odido vorige week zijn er vele protesten en klachten over hoe dit kon gebeuren, wat Odido hier aan gaat doen en wie voor de schade opdraait.

Om met dat laatste te beginnen: in Nederland is schade alleen te claimen als je deze met bonnetjes kunt onderbouwen, kort gezegd. Zomaar 500 euro vragen is vrijwel kansloos, hoewel dit in een enkele zaak is toegekend omdat daar specifiek medische dossiers gelekt waren en dat nu eenmaal wel iets waard moest zijn.

Bij deze hack zijn ook paspoortnummers buitgemaakt. Odido zelf zegt dat er geen scans van identiteitsbewijzen zijn gestolen, maar ze zeiden ook dat data goed beveiligd was dus enige skepsis is op zijn plaats. En dan komen we bij concrete schade: een nieuw paspoort aanvragen kost simpelweg geld en daar krijg je een bonnetje voor. Dus kan ik even vangen, meneer Odido?

De eerste hobbel is dat Odido alleen aansprakelijk is voor schade als deze wanneer ze een fout hebben gemaakt. Bij een hack die overmacht is, kun je dus geen claims indienen. Verdedigbaar maar iets speculatiever is dat de hack bewijs is dat Odido in strijd met de wet ID-nummers of zelfs kopieën bewaarde, wat dan de grondslag is voor het moeten vergoeden van de kosten van een nieuw ID-bewijs. Alleen staat dus nog niet vast dat er kopieën bewaard zijn, en ook over het opslaan van dat ID-nummer kun je twijfelen.

Zolang het onderzoek nog loopt, schat ik in dat Odido weinig geneigd zal zijn uit zichzelf aan te bieden om deze schade te vergoeden. Je kunt het natuurlijk proberen bij de kantonrechter, maar de kosten daarvan zijn hoger dan de leges van een nieuw paspoort en de uitkomst is onzeker.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.