Softwareleverancier Nebu moet informatie over datalek verstrekken

Aanleiding was een datalek bij Nebu op 10 en 11 maart 2023, waarbij de gegevens van respondenten van onder meer Blauw op straat kwamen te liggen. Dat heeft er inmiddels toe geleid dat verschillende bedrijven, waaronder de NS en VodafoneZiggo, een groot aantal klanten hebben gewaarschuwd dat hun persoonsgegevens (mogelijk) op straat zijn komen te liggen.

In het kort geding vorderde Blauw nadere informatie van Nebu over de aanval, de gevolgen ervan en de door Nebu getroffen maatregelen. Ook vraagt zij om een onafhankelijk forensisch onderzoek. Nebu is het er mee eens dat zij informatie moet verschaffen aan Blauw, maar heeft bezwaren tegen de gevraagde maatregelen

Op grond van een artikel in de door de partijen gesloten overeenkomst is Nebu verplicht om Blauw te informeren over incidenten met betrekking tot de verwerking van persoonsgegevens en om de instructies van Blauw in een dergelijk geval op te volgen. Naar het voorlopig oordeel van de voorzieningenrechter moet het instructierecht van Blauw en de verplichting van Nebu om daaraan gevolg te geven, ruim worden uitgelegd. Daarom wijst de voorzieningenrechter een groot deel van de vordering van Blauw toe. Nebu moet Blauw uitgebreide informatie verschaffen over het datalek en vragen beantwoorden.

Daarbij merkt de voorzieningenrechter op dat Blauw prudent met de verstrekte informatie dient om te gaan, er kan namelijk sprake zijn van bedrijfsgevoelige informatie. De rechter heeft daarbij dwangsommen opgelegd voor een deel van de veroordelingen als prikkel voor nakoming. Daarnaast moet Nebu een onafhankelijk forensisch onderzoek naar het datalek laten uitvoeren. In het vonnis staat uitgebreid beschreven welke vorderingen zijn toegewezen en waarom.

Brancheorganisatie Data & Insights Network (D&IN), waarbij 225 onderzoeksbureaus waaronder Blauw Research zijn aangesloten, betreurt het datalek, maar benadrukt ook dat cybercriminaliteit een maatschappelijk probleem is. ‘We betreuren dit als branche ten zeerste,’ zegt Wim van Slooten, directeur van D&IN. ‘Marktonderzoek is cruciaal voor het verbeteren van producten en diensten. We vinden het daarom heel vervelend dat mensen die meedoen aan klantonderzoek nu mogelijk getroffen worden door deze hack.’