Update 10 augustus: de bedragen die nu circuleren, en wat rechters werkelijk toewijzen
Sinds dit weekend gaan er bedragen rond die aan het CEVA-lek worden gekoppeld: €750 bij Odido, €500 bij het Bevolkingsonderzoek. Die getallen zijn geen uitkeringen. Het zijn bedragen die in claimcampagnes en vergelijkbare procedures worden genoemd, en er is voor Bol-klanten nog geen bevestigde collectieve regeling.
Bij Odido loopt inmiddels een collectieve zaak van stichting CUIC. Zo’n procedure kan jaren duren, en pas een rechter of een schikking bepaalt of er iets wordt betaald. Bij het Bevolkingsonderzoek lopen claiminitiatieven rond medische gegevens; de gevoeligheid daarvan maakt zo’n claim juridisch sterker, maar levert geen vast tarief op.
Zet die circulerende bedragen eens naast wat Nederlandse rechters daadwerkelijk hebben toegewezen in datalekzaken. De kantonrechter in Groningen kende in januari 2021 €500 toe aan iemand van wie de gemeente Oldambt persoonsgegevens, waaronder het BSN, op een openbaar deel van de gemeentesite had gezet. De rechtbank Rotterdam wees in ECLI:NL:RBROT:2022:1419 €250 toe aan iemand die na een lek spamberichten kreeg met foto’s van zijn eigen woning en zich daardoor onveilig voelde. En de rechtbank Noord-Holland wees een vordering in ECLI:NL:RBNHO:2022:7329 volledig af, omdat de gestelde psychische gevolgen niet onderbouwd waren.
Dat is de bandbreedte: nul tot enkele honderden euro’s, en de uitkomst hangt vrijwel volledig af van wat u kunt aantonen. In de zaken waar iets werd toegewezen, ging het steeds om gevoelige gegevens of om concrete, gedocumenteerde overlast. Bij het CEVA-lek gaat het om naam, adres, telefoonnummer en bestelgegevens — geen wachtwoorden, geen betaalgegevens. Zonder aantoonbare vervolgschade is dat een magere basis.
Twee praktische punten die door dit nieuws niet veranderen, maar wel dringender worden. Bewaar de melding van het bedrijf met datum, en leg vervolgschade vast op het moment dat die ontstaat — dat is precies het bewijs waarop de zaken hierboven zijn beslist. En let op claimbureaus die vooraf geld vragen; de collectieve actie rond Odido meldt kosteloze aanmelding, maar dat zegt niets over elke commerciële partij die zich nu meldt.
Bron van de circulerende bedragen: Welingelichte Kringen, 9 augustus 2026.
Sinds vorige week krijgen honderdduizenden Nederlanders een mail met dezelfde strekking: uw naam, adres, telefoonnummer en bestelgegevens zijn mogelijk buitgemaakt bij een leverancier waar u nooit iets mee heeft afgesproken. Bij het datalek rond logistiek dienstverlener CEVA gaat het onder meer om klanten van Bol, de Bijenkorf, ING en Ajax.
De vraag die daarna komt is steeds dezelfde: kunt u hier iets mee? Juridisch is het antwoord ja, maar niet in de vorm die de meeste mensen verwachten. Hieronder wat de AVG u wél geeft, wat rechters in de praktijk toewijzen, en welke stap het meeste oplevert.
Wie u aanspreekt: niet de partij die gehackt is
Dit is het punt waarop de meeste claims meteen stranden. De AVG onderscheidt de verwerkingsverantwoordelijke — de partij die bepaalt waarom en hoe uw gegevens worden verwerkt — en de verwerker, die dat in opdracht doet. Bij een webshop die de bezorging uitbesteedt, is de webshop verantwoordelijke en de logistieke partij verwerker.
Uw aanspraak op grond van artikel 82 AVG richt zich daarom in eerste instantie op het bedrijf waar u besteld heeft, niet op de leverancier waar de inbraak plaatsvond. Dat voelt scheef, maar het is precies de bedoeling van de wet: wie uw gegevens aan een ander toevertrouwt, blijft er verantwoordelijk voor. Een verwerkersovereenkomst is geen doorgeefluik voor aansprakelijkheid.
Een verwerker kan wel zelfstandig aansprakelijk zijn, maar alleen als hij zich niet aan de instructies hield of de specifieke verplichtingen van de AVG voor verwerkers schond. Dat moet u aantonen, en daar heeft u de interne afspraken tussen beide partijen voor nodig. Die krijgt u als consument zelden te zien.
Wat het bedrijf verplicht is, ook zonder dat u iets doet
Twee artikelen doen hier het werk. Artikel 33 AVG verplicht de verantwoordelijke om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert. Artikel 34 gaat verder: is er een hoog risico voor uw rechten en vrijheden, dan moet u persoonlijk geïnformeerd worden, in duidelijke taal, met de aard van het lek, de gevolgen en de genomen maatregelen.
Die mails die deze week rondgingen zijn dus geen service maar een wettelijke plicht. Waar het in de praktijk misgaat, is de inhoud: “er zijn op dit moment geen aanwijzingen dat” is een waarneming op een moment, geen conclusie over de omvang. Bewaar die mail, met datum. Als er later meer blijkt te zijn gelekt dan gemeld, is het verschil tussen de eerste en de tweede mededeling relevant bewijs.
Schadevergoeding: wat het Hof van Justitie ervan gemaakt heeft
Artikel 82 AVG geeft recht op vergoeding van materiële én immateriële schade. In de eerste jaren na 2018 leverde dat een golf claims op waarin het lek zelf als schade werd gepresenteerd. Het Hof van Justitie van de EU heeft die route in twee arresten dichtgezet en tegelijk een smallere deur opengelaten.
- Österreichische Post (C-300/21, mei 2023). Een inbreuk op de AVG geeft niet automatisch recht op schadevergoeding. Er moet daadwerkelijk schade zijn. Tegelijk mag een lidstaat geen ondergrens van ernst opleggen: ook beperkte schade telt, mits die is aangetoond.
- VB tegen NAP (C-340/21, december 2023). De vrees dat uw gegevens misbruikt gaan worden kán op zichzelf immateriële schade zijn. Maar u moet die vrees onderbouwen; een algemene stelling dat u zich onprettig voelt is niet genoeg.
Wat zulke claims in de praktijk opleveren is bescheiden. In onze telling van 22.292 uitspraken met een toegekend bedrag ligt de mediaan bij privacyzaken op € 1.000, met een kwart onder de € 649. Voor je eigen situatie kun je de smartengeldwijzer gebruiken.
Vertaald naar het CEVA-lek: “mijn adres circuleert nu” is geen schade. “Ik ben na de melding drie keer gebeld door iemand die mijn laatste bestelling correct opnoemde en ik heb mijn telefoonnummer moeten wijzigen” komt in de buurt. Het verschil zit in wat u kunt laten zien, niet in hoe erg u het vindt.
Nederlandse rechters volgen die lijn strak. Waar wordt toegewezen, gaat het meestal om enkele honderden euro’s per persoon, en dan nog vooral in zaken waar bijzondere of gevoelige gegevens betrokken waren. Wie een aansprakelijkstelling stuurt in de verwachting dat er duizenden euro’s tegenover staan, komt bedrogen uit.
De stappen die wél iets opleveren
- Dien een inzageverzoek in (artikel 15 AVG) bij het bedrijf waar u besteld heeft. U heeft recht te weten welke gegevens van u verwerkt worden en aan welke ontvangers ze zijn verstrekt. Dat is de enige manier om te achterhalen of uw dossier bij de betrokken leverancier terechtkwam. Het bedrijf moet binnen een maand reageren.
- Leg vervolgschade vast op het moment dat die ontstaat. Screenshots van phishingberichten, met datum en tijd. Belhistorie. Kosten die u maakt. Achteraf reconstrueren werkt niet; een rechter wil zien dat de gebeurtenis en de vastlegging op elkaar aansluiten.
- Klaag bij de Autoriteit Persoonsgegevens (artikel 77 AVG). Dat levert u persoonlijk geen geld op, maar het is wel het instrument dat bij dit soort ketenlekken echt beweegt. De AP kijkt naar het patroon, niet naar uw zaak alleen.
- Stel het bedrijf schriftelijk aansprakelijk als u concrete schade heeft. Noem de gebeurtenis, de schade en de wettelijke grondslag. Houd het feitelijk. Een aansprakelijkstelling zonder aantoonbare schade is een brief die in een map verdwijnt.
- Kijk of er een collectieve actie loopt. Bij grote lekken melden stichtingen zich meestal binnen enkele weken, met een procedure onder de WAMCA. Meedoen kost u niets vooraf. Lees wel wat de stichting in ruil daarvoor van een eventuele opbrengst inhoudt — die percentages lopen sterk uiteen.
Wat u niet hoeft te doen
Wachtwoorden wijzigen is bij dit lek niet nodig, omdat inloggegevens volgens de betrokken bedrijven niet zijn buitgemaakt. Wel verstandig: ga ervan uit dat een bericht dat uw naam, adres en laatste bestelling correct noemt daarmee nog niets bewijst. Dat is precies wat er nu in omloop is.
En wees kritisch op de partijen die zich na een lek melden met een aanbod om “uw claim te verzilveren” tegen een percentage. De juridische werkelijkheid is nuchterder dan de mail die u daarover krijgt.
Wat wij ervan vinden
De AVG is sterk in de plichten die zij aan bedrijven oplegt en zwak in wat zij een individuele burger in handen geeft. U heeft recht op informatie, op inzage en op een klachtroute — en die werken. Maar de vergoeding waar iedereen naar vraagt is in de praktijk een moeizame procedure met een bescheiden uitkomst, tenzij u aantoonbare schade heeft geleden.
Dat is geen reden om niets te doen. Het is een reden om uw energie te steken in de stappen die bewijs opleveren en het patroon zichtbaar maken, in plaats van in een claimbrief die op niets steunt. Hoe u een uitspraak over dit soort zaken zelf opzoekt en leest, staat in onze uitleg over wat een ECLI is en in jurisprudentie zoeken. Over de bredere vraag wat een organisatie met uw gegevens mag, schreven we eerder bij smart meters en juridische plichten en algoritmisch toezicht op uitkeringen.
Voor ondernemers die een lek liever vóór zijn: steeds meer bedrijven laten klantvragen afhandelen door een AI-model dat op hun eigen server draait, zodat er geen klantgegevens per vraag naar een Amerikaanse leverancier gaan. Dat neemt de meldplicht niet weg, maar het verkleint het aantal partijen dat u moet controleren.
Bronnen: Verordening (EU) 2016/679 (AVG), HvJ EU 4 mei 2023 C-300/21 en 14 december 2023 C-340/21, en de klantmeldingen rond het datalek bij CEVA Logistics.