Datalek bij de Klantenservice Federatie
Bij de Klantenservice Federatie (KSF) zijn de persoonsgegevens van ruim 2.000 personen onderdeel geworden van een datalek. Het beveiligingsincident vond plaats bij een externe hostingpartij van een onderzoeksleverancier. Roel Masselink, directeur van de KSF, benadrukt het belang van transparantie en zorgvuldig handelen in een dergelijke situatie.
Onbevoegde toegang tot back-upbestanden
Het incident vond plaats in de nacht van afgelopen vrijdag op zaterdag. Daarbij is van buitenaf toegang verkregen tot de systemen van de externe hostingpartij en zijn er back-upbestanden van chatvragenlijsten gekopieerd. In deze bestanden zit een aantal persoonsgegevens die zijn gebruikt om personen uit te nodigen aan de laatste KSF Trendpanelpeiling en de persoonsgegevens die door respondenten zelf in de vragenlijst zijn achtergelaten. Verder gaat het om onboardingschats voor het KSF Trendpanel en de KSF Trendmonitor.
Volgens Roel Masselink gaat het om vier bestanden met in totaal 2.386 registraties, afkomstig van 2.298 verschillende personen. De betrokken gegevens omvatten onder meer namen, zakelijke e-mailadressen en organisatienamen. In sommige gevallen gaat het ook om telefoonnummers en geboortedata. Dit laatste alleen van personen die recent de onboardingschat hebben doorlopen om lid te worden van het KSF Trendpanel. In de bestanden zijn ook de overige antwoorden uit de chatvragenlijsten betrokken.
Daarbij benadrukt KSF, dat in de vragenlijsten in principe niet gevraagd wordt naar herleidbare persoons- of organisatiegegevens. Respondenten kunnen in die vragenlijsten wel een e-mailadres en telefoonnummer opgeven als ze willen meedoen aan een winactie of om mee te doen aan toekomstige peilingen.
De Klantenservice Federatie benadrukt dat het incident alleen het systeem betreft van de externe hostingpartner waarin de back-upbestanden van de chatvragenlijsten waren opgenomen. Andere systemen of data van de onderzoeksleverancier of van KSF zijn volgens de branchevereniging niet getroffen.
Snel informeren en melden
Roel werd zaterdagavond geïnformeerd over het beveiligingsincident en de getroffen maatregelen. Maandagmiddag volgde de bevestiging dat er daadwerkelijk persoonsgegevens van de KSF bij waren. Afgelopen dinsdag informeerde de KSF de betrokkenen. Ook is direct melding gedaan bij de Autoriteit Persoonsgegevens.
Het onderzoek naar het incident loopt nog. Volgens Roel zijn er momenteel geen aanwijzingen dat de gegevens openbaar zijn gemaakt of actief worden misbruikt. Evenmin is het aannemelijk dat de aanval specifiek op de Klantenservice Federatie was gericht.
Beveiliging en verantwoordelijkheid
Volgens Roel beschikt de leverancier van de onderzoeken over een ISO-certificering en worden strenge beveiligingsprocedures gehanteerd. Voor de onderzoeksgegevens geldt een bewaartermijn van zes maanden. Na verwijdering ontvangt de KSF daarvan een bevestiging.
Roel ziet geen aanleiding om te veronderstellen dat beveiliging niet op orde was of dat voorschriften niet zijn nageleefd. Wel benadrukt hij dat de KSF als verwerkingsverantwoordelijke haar verantwoordelijkheid neemt. De federatie werkt nauw samen met de leverancier aan het onderzoek van het incident. Samen met het eindrapport van de hostingpartij moet dit uitwijzen of en zo ja welke aanvullende maatregelen getroffen kunnen worden om het risico op vergelijkbare incidenten zo mogelijk verder te verkleinen.
Een les voor de klantcontactsector
Voor Roel onderstreept het incident hoe kwetsbaar organisaties zijn, ook wanneer beveiligingsprocessen zorgvuldig zijn ingericht en worden nageleefd. Juist voor het klantcontact vakgebied, waar dagelijks grote hoeveelheden persoonsgegevens worden verwerkt, is dat een belangrijk aandachtspunt.
De KSF wil, waar mogelijk, de ervaringen met het incident mogelijk gebruiken voor kennisdeling met haar leden. Daarbij gaat het vooral om bewustwording en de manier waarop organisaties moeten handelen wanneer persoonsgegevens in verkeerde handen terechtkomen.
De boodschap van Roel Masselink is duidelijk: volledige zekerheid bestaat niet. Organisaties moeten daarom voorbereid zijn op incidenten en weten hoe ze vervolgens zorgvuldig en transparant handelen.
