Uw e-mailadres verschijnt in een gehackte database. U ontvangt enkele dagen later een gerichte phishingboodschap. De link tussen deze twee gebeurtenissen lijkt voor de hand liggend, maar de juridische gevolgen van deze keten blijven voor de meeste gebruikers en de sites die hun gegevens hosten onduidelijk.
Verplichting tot melding binnen 72 uur: de onbekende valstrik van platforms
Wanneer er een datalek optreedt op een site of applicatie, is de gebruikelijke reflex om de technische kwetsbaarheid te dichten. De juridische dimensie komt vaak op de tweede plaats, terwijl deze direct de verantwoordelijkheid van de site met zich meebrengt.
Aanrader : Ontdek welke snelweg de gevaarlijkste van Frankrijk is en waarom
In Frankrijk verplicht de AVG de verantwoordelijke voor de verwerking om de CNIL binnen 72 uur te notificeren na de ontdekking van een schending. Deze termijn begint te lopen zodra het bedrijf op de hoogte is van het lek, niet vanaf het moment dat het de omvang ervan kan inschatten. Veel platforms onderschatten deze verplichting.
Naast de melding aan de autoriteit moet de verantwoordelijke voor de verwerking ook individueel de betrokken personen informeren als het lek een hoog risico voor hun rechten met zich meebrengt. Een site die online inhoud verspreidt zonder zijn gebruikers te waarschuwen na een lek, loopt het risico op een dubbele sanctie: administratief (boete van de CNIL) en civiel (actie tot schadevergoeding door de slachtoffers). Om de gevolgen van de PinkGeek-lekken beter te begrijpen, moet men uitgaan van deze verplichting tot transparantie die veel sites verwaarlozen.
Zie ook : Wat is de ideale lengte van een man? Begrijp de huidige criteria en percepties
Het verzuim beperkt zich niet tot het vergeten van de melding. Het ontbreken van een gedocumenteerd register van schendingen vormt op zich al een overtreding. De CNIL verwacht een schriftelijk verslag van elk incident, zelfs van een klein incident, met de genomen corrigerende maatregelen.
Sancties van de CNIL en controleplan: wat is er veranderd sinds 2024
De concurrerende artikelen beschrijven de boetes van de AVG als een theoretisch risico. De recente realiteit is concreter. De CNIL heeft een driejarig actieplan gelanceerd om de controles te versterken, met een expliciete focus op datalekken en tekortkomingen in de technische beveiliging.
Dit plan voorziet in een toename van de controles op locatie en online. Sectoren die gevoelige gegevens bevatten (gezondheid, financiën, gemeenten) staan vooraan, maar inhoudsplatforms en gemeenschapswebsites worden niet gespaard.
Beheert u een site die e-mailadressen, identificaties of privéberichten verzamelt? De vraag is niet langer of er een controle kan komen, maar wanneer. Datalekken in Frankrijk zijn de afgelopen jaren op grote schaal veranderd, en de regelgevende reactie volgt dezelfde lijn.
Wat de CNIL prioriteit geeft tijdens een controle
- De aanwezigheid van een register van datalekken, dat actueel en toegankelijk is, met de beschrijving van elk incident en de toegepaste corrigerende maatregelen.
- De naleving van de meldtermijn van 72 uur, met bewijsstukken met tijdstempels. Een eenvoudige interne e-mail is niet voldoende.
- De technische beveiligingsmaatregelen die vóór het lek zijn genomen: gegevensversleuteling, wachtwoordbeleid, gebruikersrechtenbeheer.
- De effectieve informatie van de betrokken personen, met duidelijke inhoud over de aard van de blootgestelde gegevens en de bijbehorende risico’s (phishing, identiteitsdiefstal, malware).
Een site die deze elementen niet kan overleggen tijdens een controle, loopt het risico op financiële sancties, maar ook op een openbare waarschuwing die zijn reputatie blijvend schaadt.
Recht op schadevergoeding voor slachtoffers van lekken: een onderbenut juridisch middel
De meeste gebruikers die door een datalek zijn getroffen, zijn zich er niet van bewust dat ze recht hebben op schadevergoeding. De AVG voorziet dat iedereen die materiële of immateriële schade heeft geleden door een schending, een schadevergoeding kan eisen van de verantwoordelijke voor de verwerking.
De immateriële schade is voldoende om juridische stappen te ondernemen. Gerichte phishingberichten ontvangen na een lek, een poging tot identiteitsdiefstal via WhatsApp ondergaan of persoonlijke inhoud zien die zonder toestemming wordt verspreid: elk van deze situaties opent een recht op schadevergoeding, zelfs zonder directe financiële verliezen.
In de praktijk blijven individuele acties zeldzaam. Slachtoffers leggen niet altijd de link tussen het initiële lek en de frauduleuze verzoeken die ze daarna ontvangen. De deepfakes die zijn gegenereerd op basis van gestolen foto’s, de gemanipuleerde links die via berichten worden verzonden, de chantagepogingen: deze keteneffecten zijn vaak het gevolg van een slecht beheerd initiëel lek door het oorspronkelijke platform.
Waarom collectieve acties toenemen
Gebruikersverenigingen beginnen gestructureerde groepsvorderingen in te stellen tegen nalatige platforms. Een collectieve actie stelt in staat om de kosten te delen en meer gewicht te geven aan een site die te lang heeft gewacht met het melden van een lek of het beveiligen van zijn systemen.
Dit middel verandert de situatie voor Franse sites die persoonlijke gegevens opslaan zonder duidelijke governance. Het risico is niet langer alleen een administratieve boete: het is een civiele procedure aangespannen door tientallen of honderden gebruikers.
Strafrechtelijke aansprakelijkheid en vervolging van hackers
Datalekken betreffen niet alleen de verantwoordelijkheid van platforms. De auteurs van hacks lopen het risico op zware strafrechtelijke vervolging in het Franse recht. Fraudeleuze toegang tot een geautomatiseerd gegevensverwerkingssysteem is een misdrijf.
Een recent feit illustreert deze realiteit: vijf jonge Fransen in de leeftijd van 16 tot 22 jaar zijn gearresteerd voor het uitvoeren van hacks tegen gezondheidsinstellingen. Het hacken van persoonlijke gegevens is een strafbaar feit, ongeacht de leeftijd van de dader.
Gebruikers die inhoud van lekken bekijken of delen, lopen ook risico. Het verspreiden van persoonlijke gegevens die zijn verkregen via een lek, zelfs op berichtenapps zoals WhatsApp, kan worden beschouwd als het verbergen van gestolen gegevens of een schending van de privacy.
- Opzettelijk toegang krijgen tot gegevens die afkomstig zijn van een hack, kan leiden tot vervolging voor verbergen.
- Gedeelde gestolen inhoud op platforms of online games vergroot de strafrechtelijke aansprakelijkheid.
- Deepfakes die zijn gemaakt op basis van gestolen gegevens voegen een extra overtreding toe: de schending van het recht op afbeelding.
Het Franse wettelijke kader dekt de hele keten, van de initiële hack tot de online verspreiding. De sites, de auteurs van de aanval en de gebruikers die de gestolen gegevens exploiteren, dragen elk een deel van de verantwoordelijkheid. Het volgende lek zal niet alleen een technisch probleem zijn: het zal in de eerste plaats een juridisch probleem zijn, en de platforms die dat vergeten, lopen het risico op veel blijvendere gevolgen dan een eenvoudige serverstoring.