Wat kun je doen om datadiefstal te voorkomen?

Je geboortedatum, telefoonnummer, adres of zelfs een kopie van een identiteitsbewijs: bedrijven vragen consumenten om allerlei informatie, terwijl die vaak niet nodig is. Dat kan verkeerd uitpakken als hackers je identiteitsgegevens in handen krijgen en online zetten. Wat kun je zelf doen om dit te voorkomen, of in elk geval om ervoor te zorgen dat je gegevens zo privé mogelijk blijven?

Wat kunnen hackers met je persoonsgegevens?

De risico’s nemen toe als hackers je persoonlijke data online zetten, zoals de criminele groep ShinyHunters dit jaar deed met buitgemaakte gegevens van miljoenen Odido-klanten. Odido weigerde losgeld te betalen, waarop de hackers de klantgegevens publiceerden.

Met die informatie kunnen criminelen een bankrekening op je naam zetten of een abonnement afsluiten. Die vorm van identiteitsfraude neemt flink toe. In 2025 ging het om bijna 9000 meldingen. Dit jaar lijkt het aantal veel hoger te worden. Het aantal meldingen tot en met maart staat op ruim 3600.

Overigens wist telecomprovider Odido dagenlang niet van de diefstal van persoonsgegevens, zei topvrouw Tisha van Lammeren tegen de NOS. Het bedrijf zegt nog steeds achter het besluit te staan geen geld te betalen aan ShinyHunters.

Het moederbedrijf van het ook door ShinyHunters aangevallen onderwijsplatform Canvas koos juist voor een akkoord met de hackers, zo werd gisteren bekend. In ruil daarvoor verwijderden de hackers de gestolen gegevens van gebruikers wereldwijd.

Wat voor informatie mogen bedrijven van je vragen?

“Het officiële antwoord is: niet meer dan strikt noodzakelijk”, legt Aleid Wolfsen uit. Hij is de voorzitter van de Autoriteit Persoonsgegevens (AP), de privacywaakhond van Nederland.

Bedrijven mogen een klant ook niet weigeren als iemand geen onnodige informatie wil afgeven. “Het moet strikt noodzakelijk zijn om data ergens voor te gebruiken, om iets te verkopen of om iets te reserveren, et cetera.”

Ook volgens de Algemene Verordening Gegevensbescherming (AVG) mag een bedrijf alleen gegevens vragen en bewaren als die ergens voor nodig zijn.

“Bij een simpele reservering heb je bijvoorbeeld naam, tijdstip en aantal personen nodig”, zegt privacy-adviseur Floor Terra. “Bij abonnementen heb je bankrekening- of adresgegevens nodig. Maar vaak vragen bedrijven meer gegevens dan nodig is of bewaren ze deze te lang.”

In de praktijk ziet Terra dat de vrijheid om ‘nee’ te zeggen er niet echt is. Wolfsen noemt een voorbeeld dat hij laatst tegenkwam: een parkeergarage. “Je wilt eruit en je moet je e-mailadres achterlaten. Dat is nergens voor nodig.”

Wat kun je doen als een bedrijf meer informatie vraagt dan mag?

Er is te weinig toezicht op de wetten hierover, merkt Terra. “Er is wetgeving over wat moet: identificatieverplichtingen, maar ook de AVG die grenzen stelt. Daar kan de overheid op handhaven, maar dat gebeurt niet heel veel. Als handhaving pas plaatsvindt als het is misgegaan, is het te laat.”

AP-voorzitter Wolfsen zegt dat zijn organisatie veel voorlichting geeft aan bedrijven. Dan luidt de uitleg: je hebt bepaalde informatie vaak echt niet nodig om dit product te kunnen verkopen. “Vaak past men dat dan ook aan. En als het echt uit de hand loopt, kunnen we ook handhavend optreden en desnoods serieus beboeten.”

Volgens Terra is het daarvoor wel nodig dat mensen daarover een klacht indienen bij de AP. “Veel van dit soort problemen zijn niet goed zichtbaar voor de AP, die door een te laag budget minder proactief onderzoek kan doen.”

Wat Terra betreft kan de overheid ervoor zorgen dat er moderne identificatiemethoden komen. “Bijvoorbeeld dat je bij de slijterij of via sociale media kunt bewijzen dat je 18 jaar bent zonder dat je je hele paspoort hoeft te laten zien.” Nederland werkt momenteel aan zo’n methode: een nationale app, de NL ID-wallet, maar die is nog niet beschikbaar.

Wat kun je zelf nog meer doen?

Zowel Wolfsen als Terra adviseert: bel een bedrijf op en vraag waarvoor de informatie nodig is. Een andere tip: wees niet naïef en geef niet te makkelijk persoonlijke informatie af. “Wat een bedrijf niet heeft, kan ook niet op straat komen”, benadrukt de voorzitter van de AP.

“Vaak zeggen bedrijven: bij ons is de klant koning”, vervolgt Wolfsen. “Dan zeggen wij: prima, maar behandel de persoonsgegevens dan ook alsof die van de koning zelf zijn. Dus beveilig en bescherm die informatie heel goed.”

 Bron: NOS Cultuur-en-media