De voorzieningenrechter in Rotterdam heeft vandaag bepaald dat ICT-dienstverlener Nebu aan haar klant Blauw informatie moet verstrekken over een omvangrijke datalek.
Blauw is een marktonderzoeker die gebruik maakt van de ICT-dienstverlening van Nebu. Op 10 en 11 maart 2023 vond er een cyberaanval plaats op de servers van Nebu. Daarbij is data ontvreemd door de aanvallers.
Dit heeft inmiddels ertoe geleid dat verschillende bedrijven, waaronder de NS en VodafoneZiggo, een groot aantal klanten hebben gewaarschuwd dat hun persoonsgegevens (mogelijk) op straat zijn komen te liggen.
In dit kort geding vordert Blauw nadere informatie van Nebu over de aanval, de gevolgen ervan en de door Nebu getroffen maatregelen. Ook vraagt zij om een onafhankelijk forensisch onderzoek. Nebu is het er mee eens dat zij informatie moet verschaffen aan Blauw, maar heeft bezwaren tegen de gevraagde maatregelen
Op grond van artikel 5.1 van de tussen partijen geldende overeenkomst is Nebu verplicht om Blauw te informeren over incidenten met betrekking tot de verwerking van persoonsgegevens en om de instructies van Blauw in een dergelijk geval op te volgen. Naar het voorlopig oordeel van de voorzieningenrechter moet het instructierecht van Blauw en de verplichting van Nebu om daaraan gevolg te geven, ruim worden uitgelegd.
De voorzieningenrechter wijst een groot deel van de vorderingen van Blauw toe. Nebu moet Blauw uitgebreid informatie verschaffen over de datalek en vragen beantwoorden.
Daarbij merkt de voorzieningenrechter op dat Blauw prudent met de verstrekte informatie dient om te gaan, er kan namelijk sprake zijn van bedrijfsgevoelige informatie. De voorzieningenrechter heeft daarbij dwangsommen opgelegd voor een deel van de veroordelingen als prikkel voor nakoming.
Daarnaast moet Nebu een onafhankelijk forensisch onderzoek naar de datalek laten uitvoeren. In het vonnis (link onder dit bericht) staat uitgebreid beschreven welke vorderingen zijn toegewezen en waarom.
