Wat is doxing?

Bij doxing gaat het vaak om het vergaren van persoonsgegevens via openbare bronnen. Zoals sociale media of websites en/of registers waar gegevens vrij toegankelijk zijn, bijvoorbeeld bij de Kamer van Koophandel. Zodra de persoonsgegevens zijn verzameld, gebruikt de verzamelaar de gegevens om de persoon of personen in kwestie te intimideren.

Strafmaat

Op 11 juli 2023 heeft de Eerste Kamer een wetsvoorstel aangenomen om doxing strafbaar te stellen. Naar verwachting treedt deze wet per 1 januari 2024 in werking.

Op doxing staat dan een gevangenisstraf van maximaal 2 jaar of een geldboete van maximaal € 22.500,-. Er is sprake van een verhoging van de maximale gevangenisstraf met een derde als doxing plaatsvindt bij mensen met een bepaald beroep. Zoals politici, wetenschappers, advocaten, rechters, burgemeesters, journalisten en politieagenten.

Wat is er dan precies strafbaar?

Het delen van persoonsgegevens met de bedoeling om daarmee iemand angst aan te (laten) jagen, ernstige overlast te (laten) veroorzaken of ernstig te (laten) hinderen in de uitoefening van ambt of beroep. Het zal bij de strafbaarstelling dus vooral gaan om de ernstige gevallen. Dit betekent dat er een drempel aanwezig is en niet ieder geval van doxing bestraft kan worden.

Een voorbeeld van zo’n ernstig geval is de door Willem Engel van Viruswaarheid gedane online plaatsing van de adresgegevens van minister Kaag. Een ander voorbeeld zijn de ‘Vizier op Links’-stickers die werden aangebracht op voordeuren van belangrijke linkse personen die op Twitter actief waren, zoals opiniemakers, activisten en politici. Met als doel hen zo een gemakkelijk doelwit te maken voor tegenstanders van de linkse beweging.

Waarom is strafbaarstelling van doxing nodig?

Als mensen zich onveilig voelen en daar strafrechtelijk niks tegen kunnen beginnen, dan blijft de dader ongestraft. Het strafbaar stellen van doxing is een stap in de goede richting die ervoor moet zorgen dat mensen zich veiliger voelen bij het uitoefenen van hun ambt of beroep.

Advies

Heb jij vragen over doxing of wil je bijvoorbeeld advies over hoe je een geval van doxing het beste kunt aanpakken? Neem dan contact met ons op.

Wat is de Nebu-hack?

Op 10 maart 2023 heeft softwarebedrijf Nebu te maken gehad met een cyberaanval, wat heeft geleid tot een datalek. Nebu heeft deze cyberaanval pas 31 uur later ontdekt. Hierbij zijn er vermoedelijk persoonsgegevens (onder andere naam, leeftijd, geslacht, e-mailadres, inkomensgegevens en pensioengegevens) van miljoenen Nederlanders op straat beland.

Nebu heeft nagelaten om dit datalek direct te melden aan de (mogelijk) getroffen bedrijven. Een van die bedrijven is marktonderzoeker Blauw, die klanttevredenheidsonderzoeken afneemt voor onder andere de NS en VodafoneZiggo.

Kort geding Blauw tegen Nebu

Als reactie hierop heeft marktonderzoeker Blauw (de verwerkingsverantwoordelijke) op 6 april 2023 een kort geding aangespannen tegen softwarebedrijf Nebu (de verwerker). In dit kort geding heeft Blauw gevorderd dat hij van Nebu meer informatie over de cyberaanval ontvangt, inclusief informatie over de gevolgen van de cyberaanval en de maatregelen die Nebu heeft getroffen.

Bovendien wil Blauw dat er een onafhankelijk forensisch onderzoek wordt ingesteld, nu Nebu zelf nog niet in staat is geweest om te ontdekken of (klant)gegevens van Blauw zijn getroffen. Nebu heeft geen onderzoek laten uitvoeren en heeft slechts beperkte informatie verstrekt, terwijl het toch over een grote hoeveelheid persoonsgegevens gaat die voor Blauw verwerkt worden door Nebu.

Nebu is er in de essentie mee akkoord dat hij informatie moet geven maar vindt de door Blauw voorgestelde maatregelen te ruim. Een voorbeeld daarvan is dat Blauw een veroordeling van Nebu vordert tot beantwoording van Blauws vragen en dat Nebu alle benodigde medewerking moet verlenen met betrekking tot de cyberaanval. Dat is volgens Nebu te vergaand en ingrijpend.

De rechter heeft in haar beslissing de marktonderzoeker Blauw voor het grootste gedeelte in het gelijk gesteld: er moet door Nebu in een uitgebreide vorm informatie worden verstrekt aan Blauw over de aanval, de gevolgen ervan en de door Nebu getroffen maatregelen.  Daarnaast moet Nebu een onafhankelijk forensisch onderzoek laten uitvoeren.

Wat kunnen ondernemers hiervan leren?

1. Het is van belang dat je als verwerkingsverantwoordelijke toezicht houdt op je verwerkers, zodat je weet wat daar speelt. Dit kun je doen door je verwerkers te controleren, bijvoorbeeld met audits.

2. Je bent als verwerker verplicht om datalekken zo snel mogelijk te melden bij je klanten (de verwerkingsverantwoordelijken). Wat ‘zo snel mogelijk melden’ inhoudt staat niet in de wet; daarom wordt geadviseerd om de tijdsduur vast te leggen in de verwerkersovereenkomst.

3. Je moet als verwerker (maar ook als verwerkingsverantwoordelijke) in het geval van een datalek altijd bereikbaar zijn: voor de Autoriteit Persoonsgegevens (AP), voor je klanten, maar ook voor mogelijke slachtoffers!

Ook al heb je nog niets nieuws te melden: zorg dat je direct of indirect contact onderhoudt in algemene berichtgeving. Als je een functionaris gegevensbescherming hebt, zorg dan dat zijn/haar gegevens ook bekend zijn bij de AP, je klanten en de mogelijke slachtoffers.

Hulp nodig?

Wil je weten of jouw organisatie voorbereid is op een datalek? Of heb je een datalek en heb je iemand nodig die alles in goede banen leidt? Neem dan contact met ons op.