Uitspraken

De spoedeisendheid van dit kort geding volgt uit de aard van de ingestelde vorderingen.

Op grond van artikel 5.1 van de DPA is Nebu verplicht om Blauw te informeren over incidenten met betrekking tot de verwerking van persoonsgegevens en om de instructies van Blauw in een dergelijk geval op te volgen. Het is niet in geschil dat de cyberaanval van maart 2023 onder de reikwijdte van dit artikel valt. Tussen partijen is wel in geschil tot hoever het instructierecht van Blauw onder artikel 5.1 van de DPA reikt. Blauw staat een ruime uitleg van deze bepaling voor, Nebu bepleit een (iets) beperktere uitleg.

Naar het voorlopig oordeel van de voorzieningenrechter moet het instructierecht van Blauw en de verplichting van Nebu om daaraan gevolg te geven, ruim worden uitgelegd. Het instructierecht van Blauw is bedoeld, zo blijkt uit de tekst van artikel 5.1, om Blauw in staat te stellen een incident met persoonsgegevens op behoorlijke wijze te onderzoeken, haar reactie daarop te bepalen en om zo nodig gepaste stappen te kunnen nemen. Daaraan moet Nebu dus meewerken en dat moet zij op loyale en royale wijze doen. Nebu beschikt als gevolg van de samenwerking met Blauw over persoonsgegevens van een groot aantal mensen (‘een substantieel deel van de Nederlandse bevolking’, zoals Blauw onbetwist stelt). De gevolgen van een (mogelijk) datalek van die gegevens kunnen groot zijn. Daarmee verhoudt zich niet dat het instructierecht beperkt wordt uitgelegd.

Blauw vordert Nebu allereerst te veroordelen om informatie te verstrekken over het incident dat zich in maart 2023 bij Nebu heeft voorgedaan. Aan Nebu kan worden toegegeven dat de vordering ruim is geformuleerd. De voorzieningenrechter volgt Blauw echter in haar redenering dat zij genoodzaakt was haar vorderingen op deze manier te formuleren omdat zij voorafgaand aan dit kort geding beperkte informatie van Nebu had gekregen.

Tegen deze achtergrond wordt als volgt geoordeeld over de verschillende sub-vorderingen 1.(i) tot en met 1.(vi).

• -

  i) Vordering 1.(i) ziet op de vraag wat er is gebeurd tijdens de cyberaanval. Het mag duidelijk zijn dat Blauw recht heeft op deze informatie. Deze vordering zal dan ook worden toegewezen op de wijze zoals hierna verwoord.

• -

  ii) Met vordering 1.(ii) wordt informatie gevraagd over hoe en met welke methoden het systeem is hersteld. Deze vordering wordt ook toegewezen, omdat het voor Blauw van belang is om te weten of haar data nu veilig is.

• -

  iii) Met de vordering onder 1.(iii) wil Blauw achterhalen van welke klanten persoonsgegevens zijn gelekt, of misschien beter gezegd: de juistheid van de conclusie van Nebu dat niet is vast te stellen of er persoonsgegevens van klanten van Blauw zijn gelekt, controleren. De onzekerheid hierover is voor hen een wezenlijk probleem. Deze vordering zal dus worden toegewezen, zeker nu op zitting is aangegeven dat Blauw een lijst van haar klanten zekerheidshalve zal verstrekken aan Nebu (op deze manier kunnen problemen met de uitvoering van dit vonnis worden voorkomen).

• -

  iv) Het gevorderde onder 1.(iv) ziet op de vraag wie de daders van de cyberaanval zijn. Blauw heeft een rechtmatig belang bij deze informatie, zodat ook deze vordering wordt toegewezen. Deze informatie kan haar immers helpen om een inschatting te maken van het risico van het datalek.

• -

  v) De vordering onder 1.(v) is het verlengde van de vordering onder 1.(ii), namelijk dat Blauw kan controleren of haar data nu veilig zijn. Deze vordering zal worden toegewezen op de wijze zoals hierna wordt vermeld.

• -

  vi) Vordering 1.(vi) ziet op het verstrekken van informatie uit de interne rapportage. Ter zitting is de interne rapportage van Nebu verstrekt, maar de data en gegevens die ten grondslag liggen aan de bevindingen in het rapport van Nebu zijn niet verstrekt. Het is niet onredelijk dat Blauw deze gegevens wil ontvangen en de vordering zal dan ook worden toegewezen.

Bij het voorgaande heeft de voorzieningenrechter meegewogen dat er tot dus ver geen onafhankelijk forensisch onderzoek heeft plaatsgevonden of zelfs maar is gestart. Dit maakt het eerder redelijk dat Blauw informatie wil hebben dan in de situatie dat Nebu direct een onafhankelijk onderzoek had gelast. Dat hierdoor mogelijk bedrijfsvertrouwelijke informatie van Nebu in het bezit van Blauw komt, is het onvermijdelijke gevolg. De voorzieningenrechter gaat er overigens vanuit dat Blauw op prudente manier zal omgaan met de informatie die zij als gevolg van dit vonnis zal verkrijgen.

Vordering 2 en 3.(i) en (ii) lenen zich voor een gezamenlijke behandeling, omdat het steeds gaat om informatie die nog moet worden verkregen. Blauw vraagt op dit punt naar het oordeel van de voorzieningenrechter te veel. De vorderingen komen er op neer dat Nebu steeds onverwijld en in ieder geval binnen vier uur na bekendwording nieuwe informatie over het incident aan Blauw moet verstrekken en daarnaast twee keer per dag een update moet sturen. Gegeven de huidige stand van zaken - de cyberaanval was enkele weken geleden en de dienstverlening van Nebu aan Blauw ligt stil - komt dit overmatig voor, behalve als het gaat om (i) een nieuwe cyberaanval, (ii) informatie waaruit blijkt of gegevens van Blauw al dan niet zijn ontvreemd bij de cyberaanval en (iii) informatie over de identiteit van de daders. Voor de overige informatie over de cyberaanval acht de voorzieningenrechter een dagelijkse update om 18:00 uur Nederlandse tijd redelijk.

Dit betekent dat vorderingen 2 en 3.(i) en (ii) worden toegewezen op de wijze zoals hierna verwoord.

Op de mondelinge behandeling van dit kort geding heeft Nebu haar interne rapportage overgelegd. Daarmee is aan vordering 4 voldaan en hoeft deze geen verdere behandeling.

Blauw vordert dat een externe partij onafhankelijk onderzoek doet naar de oorzaak van het incident, de mate waarin data-exfiltratie heeft plaatsgevonden en de maatregelen die Nebu heeft getroffen naar aanleiding van de cyberaanval. Nebu heeft ter zitting verklaard dat zij nog niet kan aangeven of data van (de klanten van) Blauw is geëxfiltreerd. Dit betekent dat het Nebu in een termijn van enkele weken niet is gelukt om dit zelf te achterhalen. Onder deze omstandigheid, gelet ook op het grote aantal persoonsgegevens waar het in deze kwestie om gaat en in het licht van de aanvankelijk beperkte informatie die Nebu aan Blauw heeft verstrekt, schaart de voorzieningenrechter de vordering tot benoeming van een forensisch onderzoeker onder het instructierecht van Blauw op grond van artikel 5.1 van de DPA. Dat Blauw onder de DPA ervoor kan kiezen zelf een audit te laten doen bij Nebu, doet hieraan niet af. Vordering 5 zal dus worden toegewezen zoals hierna vermeld.

Blauw vordert verder dat het rapport van de onderzoeker, zodra het gereed is, aan Blauw wordt verstrekt. Blauw heeft een rechtmatig belang bij het verkrijgen van dit rapport voor zover dit betrekking heeft op Blauw en haar klanten. Blauw kan vanzelfsprekend geen aanspraak maken op afgifte van een rapport waarin informatie is opgenomen die Blauw niet aangaat, dus als het gaat over andere klanten van Nebu. Nebu kan het rapport op dat punt onleesbaar maken. Dat geldt ook voor de namen van werknemers van Nebu of andere betrokkenen. De naam van de deskundige mag niet worden weggelaten.

Blauw vordert een veroordeling om alle gegevens, informatie en documentatie die nu beschikbaar zijn of op een later moment beschikbaar komen, beschikbaar te houden. Nebu heeft ter zitting verklaard de beschikbare informatie die er nu is, beschikbaar te zullen houden. Deze vordering wordt dan ook toegewezen op de wijze zoals hierna is vermeld. De opsomming van de te bewaren gegevens bij de hierna opgenomen veroordeling is bewust limitatief gehouden, om onduidelijkheden bij de uitvoering van dit vonnis te voorkomen. Het opleggen van een dwangsom als prikkel tot nakoming acht de voorzieningenrechter gezien de toezegging van Nebu niet passend en geboden.

Blauw vordert Nebu te veroordelen tot het verlenen van alle benodigde medewerking met betrekking tot het incident en om alle eventuele vragen van Blauw te beantwoorden. Nebu voert aan dat deze vorderingen te onbepaald zijn en dat bij het toewijzen van een dwangsom op deze veroordeling, dit tot executiegeschillen zal leiden. Nebu heeft een punt dat de vordering zeer ruim is, maar het is niet onredelijk dat Blauw een veroordeling op dit punt wil. De voorzieningenrechter begrijpt dat de informatievoorziening na een ransomware-aanval, zeker in de dagen na de aanval, gecompliceerd kan zijn, maar tegelijkertijd heeft Nebu verplichtingen jegens Blauw voor wie zij persoonsgegevens verwerkt. De informatievoorziening was tot dit kort geding beperkt. Om enigszins tegemoet te komen aan de bezwaren van Nebu op dit punt, zal de voorzieningenrechter de veroordeling vormgeven op de wijze zoals hierna verwoord en op dit moment afzien van het opleggen van een dwangsom voor deze veroordeling.

Blauw vordert dwangsommen van € 25.000,- voor iedere dag met een maximum van € 500.000,-. Deze zullen worden opgelegd, behoudens voor zover hiervoor is overwogen dat dit voor een specifieke veroordeling niet zal gebeuren. De hoogte van de dwangsommen is niet onredelijk en er is geen reden voor een lager maximum.

De voorzieningenrechter zal hierna in het dictum (de slotparagraaf van dit vonnis) verschillende termijnen opnemen. In sommige gevallen gaat het om de ingangsdatum van de veroordeling van Nebu, in andere gevallen wordt een einddatum opgenomen bij de veroordeling. Bij vordering 3 vroeg Blauw om een veroordeling voor de duur van vier weken of ‘zoveel langer als er relevante ontwikkelingen zijn'. Om onduidelijkheden over de einddatum en daarmee mogelijke discussies over dwangsommen te voorkomen, kiest de voorzieningenrechter voor gefixeerde einddata. Als er nadien nog voorzieningen nodig zijn, kan in een eventueel nader kort geding worden bepaald of daarvoor alsdan nog voldoende basis is.

De voorzieningenrechter zal in het dictum opnemen dat de veroordelingen onder dit vonnis Nebu niet verplichten om aan Blauw juridische adviezen van advocaten van Nebu en informatie die specifiek betrekking heeft op andere klanten van Nebu dan Blauw te verstrekken. Die informatie gaat Blauw immers niet aan.

Nebu wordt als de in het ongelijk gestelde partij in de proceskosten veroordeeld. De kosten aan de zijde van Blauw worden begroot op:

Uit de uitspraak van 10 juni 2022 van de Hoge Raad (ECLI:NL:HR:2022:853), onder nummer 2.3, blijkt dat in dit vonnis geen aparte beslissingen hoeven te worden genomen over nakosten en rente daarover.