Heb je recht op schadevergoeding na het Bol.com-datalek? Dit is wat eerdere slachtoffers aan schadevergoeding kregen

Bol bevestigde woensdag dat cybercriminelen mogelijk bij persoonsgegevens en bestelgegevens van klanten konden vanwege een aanval op logistiek partner CEVA Logistics. Wie nu zijn naam, adres en bestelgeschiedenis op straat weet liggen, stelt zich al snel dezelfde vraag: kan ik hier een schadevergoeding voor krijgen?

Bol werd op 1 augustus door CEVA geïnformeerd over het incident en meldde het twee dagen later bij de Autoriteit Persoonsgegevens. Onbevoegden kregen toegang tot twee systemen die bestellingen verwerken vanuit één distributiecentrum. Betaalgegevens en wachtwoorden lijken niet geraakt, maar namen, adressen en concrete productinformatie wel — een combinatie die volgens beveiligingsexperts in het tijdperk van AI juist bijzonder bruikbaar is voor overtuigende fraude. De eigen website, app en systemen van Bol zijn niet gehackt; het probleem zit bij de externe partner.

Het korte antwoord: nee, niet automatisch. Artikel 82 van de AVG bepaalt dat iedereen die schade lijdt door een privacyschending recht heeft op vergoeding van zowel materiële als immateriële schade. Maar een datalek op zich is niet genoeg. Je moet aantonen dat je daadwerkelijk schade hebt geleden, en dat die schade het gevolg is van precies dít incident. Een bedrijf kan bovendien onder aansprakelijkheid uitkomen als het bewijst dat het geen enkel verwijt treft.

Toch hebben Nederlandse rechters in vergelijkbare zaken al wel degelijk bedragen toegekend. Zo moest de gemeente Oldambt schadevergoeding betalen nadat het BSN-nummer, telefoonnummer en e-mailadres van een inwoner per ongeluk openbaar toegankelijk waren. Hogeschool Arnhem-Nijmegen kreeg een veroordeling van 300 euro nadat medische informatie van een student na een lek in verkeerde handen belandde. In een andere zaak kende een rechtbank 500 euro toe voor immateriële schade na een datalek met bijzondere persoonsgegevens, en in weer een andere zaak 250 euro voor een 'onveilig gevoel' na een lek.

Een patroon daarin: hoe gevoeliger de gelekte gegevens — denk aan BSN-nummers of medische informatie — hoe groter de kans dat een rechter een vergoeding toekent. Bij 'gewone' contactgegevens zoals naam en adres ligt dat lastiger, al is de combinatie met bestelgegevens wel een factor die kan meewegen.

Bewaar communicatie van Bol over het datalek, houd je bankafschriften de komende tijd extra goed in de gaten en wees alert op phishingmails of telefoontjes die opvallend veel van je bestelgeschiedenis lijken te weten. Merk je concrete schade, zoals fraude met je gegevens of aantoonbare stress die tot méér leidt dan een vaag onveilig gevoel? Dan is een individuele claim of aansluiting bij een collectieve procedure een reële optie. Maar reken niet op een vergoeding puur omdat je gegevens ergens in een systeem hebben gestaan waar een aanvaller bij kon.