Het College van Beroep voor het bedrijfsleven (“CBb”) heeft vandaag, 16 november 2016, geoordeeld dat een eerder door de Autoriteit Consument en Markt (ACM) aan KPN opgelegde boete van 364.000 euro in stand blijft. In 2012 wist een 17-jarige hacker uit Barendrecht bijna het gehele KPN-netwerk te kraken waarbij hij zich toegang verschafte tot de systemen waarin de persoonsgegevens van klanten waren opgeslagen. De jongeman deed het naar verluidt ‘voor de lol’. Voor hem bleef de schade beperkt tot een voorwaardelijke celstraf van acht maanden en werkstraf van 100 uur. Voor KPN heeft de hack, na het instellen van alle mogelijke beroepen en bezwaren, uiteindelijk iets nadeliger uitgepakt.
Op grond van 11.2 en 11.3 lid 3 Telecommunicatiewet (“Tw”) heeft de aanbieder van een openbare communicatiedienst de zorg voor de bescherming van persoonsgegevens en bescherming van de persoonlijk levenssfeer van de abonnees en gebruikers van zijn netwerk. De toezichthouder op naleving van de Tw, destijds de OPTA, stelde naar aanleiding van de hack een onderzoek in naar de stand van beveiliging van persoonsgegevens bij KPN. De OPTA concludeerde dat KPN onvoldoende passende, hoofdzakelijk organisatorische, maar ook technische maatregelen had getroffen. De opgelegde boete is dus terecht, aldus het CBb. Dat er niets is gebeurd met de persoonsgegevens, doet niet af aan de zorgplicht van KPN jegens zijn klanten. Wel werd KPN geprezen voor het hebben van ordelijke beveiliging ná de hack.
De volledige uitspraak van het CBb lees je hier terug. Voor raadpleging van de beslissing op bezwaar van de ACM kun je hier terecht.
(Met dank aan Sjors Peters)
