Implementatie van informatiebeveiliging: ISO 27001 is niet altijd zaligmakend

We worden als samenleving steeds afhankelijker van technologie en automatisering. Hedendaagse producten en diensten zijn vrijwel allemaal aangesloten op het internet, wat zowel voordelen als nadelen heeft opgeleverd. Risico’s aan deze verbondenheid laten zich daardoor ook makkelijk indenken: Berichten over ransomware, datalekken en andere beveiligingsincidenten zijn inmiddels ook aan de orde van de dag. Vandaar dat – zowel op juridische als op praktisch niveau – marktpartijen steeds meer aandacht moeten aan informatiebeveiliging.

Het feit dat we ons echter niet blind mogen staren op een ISO-certificaat, blijkt uit een recent gepubliceerd arrest van het gerechtshof Arnhem-Leeuwarden, waarbij een inbreuk op de Algemene Verordening Gegevensbescherming centraal staat.

ECLI:NL:GHARL:2025:4556

Wat was er aan de hand?

Kortgezegd ging deze zaak over de koop van een auto bij een (kleinschalig) autobedrijf. De koper – een Australische man die de Nederlandse taal niet machtig is, waardoor partijen in het Engels communiceerden – sluiten een koopovereenkomst voor een auto.

Koper had een aanbetaling op een Rabobankrekening van het autobedrijf voor het gewenste voertuig gedaan en zou het restant voor het aflevering van het voertuig aan de verkopende autodealer betalen.

Partijen communiceren vervolgens per e-mail over de betaling van het restantbedrag en de afleveringsdatum van het voertuig.

De koper kreeg vanuit het bij hem bekende e-mailadres van de verkoper vervolgens voor de aflevering een betalingslink toegestuurd, die de koper gebruikte om de restantbetaling te verrichten. Nu bleek daarna dat een derde (in de uitspraak: “de hacker” genoemd) zich toegang had verschaft tot het e-mailaccount van de verkoper, de bankrekeninggegevens had aangepast naar een eigen Duitse bankrekening – die overigens wel ten name van het autobedrijf stond – en de koper op die wijze frauduleus het restantbedrag afhandig had gemaakt.

Conclusie: De koper betaalde de restsom aan een hacker die zich voordeed als de autodealer, via een legitiem e-mailaccount van die autodealer en de autodealer bleef zonder betaling zitten.

Vanwege het gebrek aan ontvangst van betaling, weigerde de autodealer vervolgens de auto aan de koper te leveren. Dit leidde tot een ontbinding van de koopovereenkomst door de verkoper en vervolgens tot het indienden van een schadeclaim van de koper.

De AVG is overal

De koper vordert in deze procedure – bij wijze van schadevergoeding – de (terug)betaling van het bedrag dat de koper aan de Hacker heeft betaald. Daaraan legt de koper ten grondslag dat de Verkoper de AVG heeft geschonden, door haar e-mailaccount onvoldoende te beveiligen.

Uit het (technisch)onderzoek naar de logfiles van het e-mailaccount blijkt namelijk dat een Hacker– die waarschijnlijk het wachtwoord van het e-mailaccount van het autobedrijf al kende omdat uit de logfiles blijkt dat er slechts een paar foutieve inlogpogingen waren waargenomen – vanuit een IP-adres van de Duitse hostingmaatschappij Hetzner de e-mailwisseling met betrekking tot de betaling van het restant van de koopprijs had verzorgd.

Omdat een hacker zich toegang heeft kunnen verschaffen tot het e-mailaccount, heeft de hacker het geld van de Koper afhandig kunnen maken, waaruit moet worden opgemaakt dat het e-mailaccount onvoldoende passende beveiligingsmaatregelen bevatte. Dit is in strijd met art. 5 lid 1 sub f en art. 32 lid 1 van de AVG, waarin de verplichting is opgenomen dat iedere verwerking van persoonsgegevens – kortgezegd – passend beveiligd moet zijn, aldus de Koper.

Op grond van artikel 82 van de AVG heeft “Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”

De Koper vordert op deze basis de betaling van de koopprijs van de auto als schadevergoeding van de Verkoper. De Verkoper weigert dit bedrag echter te betalen.

Hoe zit het ook alweer met de beveiligingseisen?

Het autobedrijf moet – net als iedere andere verwerkingsverantwoordelijke – zorgen voor een passende beveiliging van de persoonsgegevens die zij verwerkt en moet kunnen aantonen dat zij aan deze verplichting heeft voldaan. Zij zal daarvoor die technische en organisatorische maatregelen moeten treffen die passen bij onder meer de aard, omvang en context van haar verwerking van persoonsgegevens en de risico’s voor de rechten en vrijheden van de betrokkenen (artikel 5, 24 en 32 AVG). In deze context speelt ook de aard en omvang van het bedrijf van het autobedrijf een rol, aldus het Gerechtshof.

De gedachte achter de beveiligingsverplichtingen die de AVG oplegt, is dat bij de beoordeling daarvan aandacht wordt besteed aan de risico’s die kunnen leiden tot lichamelijke, materiële of immateriële schade voor betrokkenen. Een mogelijk risico is – zoals dat speelt in onderhavige zaak – identiteitsfraude.

Als de naam, het e-mailadres en het huisadres van klanten van het autobedrijf in verkeerde handen vallen kan een kwaadwillende die gegevens misbruiken door bijvoorbeeld bestellingen te plaatsen bij webshops met betaling achteraf en op naam en met het factuuradres van deze klanten, maar met een ander e-mail- en afleveradres. Dan krijgen die klanten plotseling een aanmaning tot betaling voor producten die zij niet hebben besteld en niet hebben ontvangen. Dat kan grote (financiële) gevolgen hebben voor een klant. De technische en organisatorische maatregelen die [het autobedrijf] moet treffen moeten daarom onder meer gericht zijn op het voorkomen van onrechtmatige toegang tot die klantgegevens op haar e-mailaccount, aldus het Gerechtshof in deze zaak.

Het autobedrijf heeft de inrichting en het beheer van haar e-mailaccount uitbesteed aan een derde partij: Autosociaal. Dat betekent dat Autosociaal in opdracht van het autobedrijf de persoonsgegevens op het e-mailaccount verwerkt en daarvoor kwalificeert als verwerker in de zin van de AVG.

In artikel 32 AVG staan voorbeelden van maatregelen die zowel de verwerkingsverantwoordelijke (hier: het autobedrijf) als de verwerker (hier: Autosociaal) moeten treffen voor zover die passend zijn voor de risico’s die betrokkenen, zoals de klanten van het autobedrijf , kunnen lopen bij onder meer ongeoorloofde toegang tot hun persoonsgegevens.

De AVG legt aan de verwerkingsverantwoordelijke (hier: het autobedrijf) de verplichting op om aan te tonen dat haar maatregelen samen met de maatregelen die haar verwerker (hier: Autosociaal) heeft getroffen, passend zijn voor de hiervoor genoemde gegevensverwerking via haar e-mailaccount.

Wat is de rol van de ISO-certificering?

De door de verkoper ingeschakelde verwerker, Autosociaal, die verantwoordelijk was voor het beheer, de monitoring en de beveiliging van het e-mailaccount van de verkoper, beschikte over een ISO-27001 certificaat. De Verkoper stelt zich op het standpunt dat haar e-mailaccount voldoende is beveiligd, aangezien zij een professionele partij daarvoor heeft ingezet, die beschikt over een ISO-27001 certificaat. Terzijde: de uitspraak zegt hier niets over de aard, scope of omvang van deze ISO-certificering.

Het Gerechtshof stelt vervolgens vast dat het autobedrijf in principe mag vertrouwen op een ISO 27001-gecertificeerd bedrijf voor de beveiliging van haar e-mailaccount, maar ten opzichte van haar klanten, zoals de koper, blijft zij als verwerkingsverantwoordelijke verantwoordelijk voor de beveiligingsmaatregelen die Autosociaal als haar verwerker treft.

Dit betekent dat als Autosociaal niet de juiste maatregelen treft, het autobedrijf toch aansprakelijk is voor de schade die een klant daardoor lijdt.

Praktische invulling belangrijker dan de papieren tijger

Het autobedrijf noemt als technische maatregelen hoofdzakelijk het onderbrengen van haar e-mailaccount bij Autosociaal.
Het autobedrijf en Autosociaal hebben vervolgens toegelicht welke maatregelen er van kracht zouden moeten zijn:

“3. Toegangscontrole en Monitoring: Autosociaal implementeert strikte toegangscontrolemechanismen en voert voortdurende monitoring uit om verdachte activiteiten te detecteren en te voorkomen. Dit helpt bij het identificeren van potentiële inbreuken en het nemen van proactieve maatregelen om de beveiliging te versterken.”

In het rapport staat bij onderzoeksresultaten verder:

“Autosociaal zorgt ervoor dat alles 24/7 gemonitord wordt op o.a. het functioneren en security gerelateerde issues.”

In de onderzoeksresultaten staat vervolgens:

“Door Autosociaal zijn er geen afwijkingen waargenomen voorafgaand aan het incident waarop het autobedrijf mogelijk preventief maatregel had kunnen nemen.”

Ook staat in de onderzoeksresultaten dat uit de ‘logfiles’ van Autosociaal blijkt dat tussen 27 en 29 juni 2022 een ‘brute force wachtwoordaanval’ heeft plaatsgevonden op het emailadres van het autobedrijf vanaf een IP-adres in Australië. De onderzoeker schrijft in het feitenrelaas van het rapport dat de hacker op 30 juni 2022 voor het eerst toegang heeft gekregen tot de e-mail van het autobedrijf vanaf een IP-adres in Duitsland. Voorafgaand aan deze eerste toegang zijn er geen foutieve inlogpogingen geweest, wat erop kan duiden dat de hacker het wachtwoord in bezit had bij deze eerste ongeoorloofde toegang tot het e-mailaccount van het autobedrijf , aldus de door het autobedrijf ingeschakelde onderzoeker.

Uit de uitspraak blijkt dat het Gerechtshof – terecht – veel waarde hecht aan de feitelijke implementatie van de beveiligingsmaatregelen en minder over hoe het eruit had moéten zien:

Het Gerechtshof merkt daarover op dat weliswaar geschreven is dát Autosociaal controlemechanismen heeft ingebouwd en ongeoorloofde toegang tot het e-mailaccount van het autobedrijf detecteert, maar hoe zij dat doet en welke maatregelen zij dan treft om ongeoorloofde toegang te voorkomen, is niet toegelicht en dat is precies wat het hof mist.

In het rapport ontbreekt een onderbouwing waarom - ondanks die maatregelen - de ‘brute force wachtwoordaanval’ en de ongeoorloofde toegang van de hacker tot het e-mailaccount van het autobedrijf tussen 30 juni en 11 juli 2022 wel uit de ‘logfiles’ van Autosociaal volgen, maar op dat moment niet door haar zijn gedetecteerd.

Het Gerechtshof fileert vervolgens verder:

“Daarnaast ontbreekt een nadere toelichting over het toen ingestelde wachtwoord. De onderzoeker schrijft dat het gebruik van een complex wachtwoord van minimaal 12 tekens een standaard instelling is die ‘door de systemen van de provider worden afgedwongen’. Wat het wachtwoord was op het moment van de eerste toegang door de hacker staat echter niet vermeld. Ook heeft de onderzoeker geen onderbouwd antwoord gegeven op de onderzoeksvraag of het passend is om de instelling en het beheer van het wachtwoord over te laten aan Autosociaal in plaats van het zodanig inregelen van het e-mailaccount dat het autobedrijf een eigen wachtwoord moet kiezen dat voldoet aan de genoemde standaardinstelling en waar alleen zij toegang toe heeft. Autosociaal en de onderzoeker geven geen toelichting op de vraag waarom het passend is dat Autosociaal bekend was met het wachtwoord van het e-mailaccount van het autobedrijf. Ook is niet toegelicht welke medewerkers van Autosociaal toegang hadden tot dat wachtwoord en hoe Autosociaal heeft geregeld dat haar medewerkers daar vertrouwelijk mee om gingen.

Het is bovendien niet duidelijk hoe de genoemde maatregelen zich verhouden tot de ISO 27001-certificering van Autosociaal. Het certificaat is niet overgelegd en er is niet toegelicht op welke processen of systemen binnen Autosociaal deze certificering betrekking heeft.

Dit brengt mee dat het autobedrijf niet heeft bewezen dat zij passende technische maatregelen heeft getroffen om haar e-mailaccount te beveiligen”, aldus steeds het Gerechtshof.

Datzelfde geldt voor de organisatorische maatregelen die het autobedrijf noemt en in het rapport vermeld staan. Het autobedrijf heeft op de mondelinge behandeling bij het Hof toegelicht dat haar eigenaar alleen zijn computer hoeft aan te zetten en vervolgens kan inloggen met een ‘voorgeprogrammeerd’ wachtwoord in het Microsoft account van het autobedrijf om in haar e-mailbox te komen. In het rapport staat dat alleen medewerkers van het autobedrijf toegang hebben tot de computers van het autobedrijf. Welke (mondelinge) afspraken het autobedrijf met haar medewerkers daarover heeft gemaakt, heeft zij niet toegelicht. Ook stelt het autobedrijf dat zij het beleid voert om ‘niet (langer) ter zake doende e-mails’ direct te verwijderen, maar een toelichting waarom dat een passende maatregel is om de persoonsgegevens op haar e-mailaccount te beveiligen, ontbreekt.

Uit het voorgaande mag duidelijk zijn dat het Gerechtshof tot slot de conclusie komt dat het autobedrijf onvoldoende heeft bewezen dat haar e-mailaccount voldoende was voorzien van passende technische en organisatorische beveiligingsmaatregelen.

Er is volgens het Gerechtshof in deze kwestie dus sprake van een inbreuk op de AVG, waardoor de Koper schade heeft geleden.

Over de omvang en de (eigen)schuld van die schade, procederen partijen nog verder.

Welke lessen kunnen we hieruit leren?

Voor de praktijk is het wederom een wijze les, dat we niet zomaar kunnen vertrouwen op de papieren werkelijkheid. Onderhavige zaak bewijst dat volgens de overeenkomst inderdaad beveiligingsmaatregelen zouden moeten zijn genomen. Maatregelen die, indien goed toegepast ook de onrechtmatige toegang tot het e-mailaccount had kunnen (en misschien had moeten) ontdekken.

Echter staat vast dat deze beveiligingsmaatregelen in dit concrete geval onvoldoende zijn gebleken om de hacker ook inderdaad op te merken, hetgeen een gebrek in de beveiliging oplevert.

Daarnaast geeft het Gerechtshof concreet aan welke handvatten nodig zijn om in een concreet geval aan te tonen dat de genomen maatregelen wél voldoende zijn geweest: er moet concreet worden genoemd hoe de overeengekomen maatregelen worden toegepast én waarom er ondanks die maatregelen toch nog een inbreuk heeft kunnen plaatsvinden.

Ten aanzien van het argument: “Mijn verwerker heeft een ISO-certificering dus ik mocht erop vertrouwen dat het goed zat”, kunnen we vaststellen dat deze stelling in deze casus te kort door de bocht is geweest.

Het is in dit geval onvoldoende duidelijk hoe de genoemde maatregelen zich verhouden tot de ISO 27001-certificering van de verwerker. Het certificaat is niet overgelegd en er is niet toegelicht op welke processen of systemen binnen de verwerker deze certificering betrekking heeft.

Deze kwestie onderstreept de conclusie dat in de informatiebeveiligingspraktijk, de daadwerkelijke feitelijke implementatie, belangrijker is dan de papieren tijger.

Gezien het steeds groter wordende maatschappelijke belang dat aan informatiebeveiliging wordt toegekend, waarbij kan worden gedacht aan nieuwe Cybersecurity-regelgeving vanuit Europa, zoals de NIS2-richtlijn, RED-richtlijn, etc. is dat vermoedelijk alleen maar toe te juichen.

Virtuele Juridische Afdeling

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!