Ceva Logistics, een van de grotere logistieke dienstverleners wereldwijd, is slachtoffer geworden van een cyberaanval. Daarbij zijn persoonsgegevens gestolen van mensen die daar niet eens meer werken: oud-medewerkers. Voor een organisatie van dat formaat is dit vervelend nieuws, maar geen wereldschokkende gebeurtenis. Voor jou als eigenaar van een transport- of logistiekbedrijf is het vooral iets anders: een goede aanleiding om eens rustig naar je eigen situatie te kijken.
Want de vraag is niet of dit soort aanvallen jouw sector raakt. Dat gebeurt al jaren, en logistiek staat al langer op het lijstje van interessante doelwitten. De echte vraag is: hoe goed heb jij zelf geregeld wat er gebeurt met de gegevens van medewerkers, chauffeurs en onderaannemers, ook nadat ze allang vertrokken zijn?
Wat er bij Ceva is gebeurd
Bij Ceva Logistics zijn aanvallers erin geslaagd persoonsgegevens buit te maken, onder meer van mensen die niet meer in dienst zijn. Dat laatste detail is belangrijk. Het gaat dus niet om actuele salarisadministratie of een systeem dat dagelijks gebruikt wordt, maar om data die ergens is blijven liggen: in een archief, een oud HR-systeem of een backup die niemand meer actief beheert.
Dat is precies het patroon dat je bij veel van dit soort incidenten ziet. Niet de nieuwste, best beveiligde systemen zijn het probleem, maar de vergeten hoekjes van de organisatie.
Dit staat niet op zichzelf
Het is verleidelijk om dit weg te zetten als “iets van Ceva”, een groot internationaal bedrijf met een andere schaal dan jouw onderneming. Maar het mechanisme erachter is universeel. Elk bedrijf dat mensen in dienst heeft (of heeft gehad) bewaart persoonsgegevens: kopieën van identiteitsbewijzen, contracten, loonstroken, beoordelingen, soms zelfs sollicitatiegegevens van mensen die nooit zijn aangenomen.
Die gegevens verdwijnen zelden vanzelf. Ze blijven staan in systemen, mappen en back-ups, vaak jarenlang langer dan nodig of wettelijk toegestaan. En hoe langer gegevens ergens blijven liggen zonder dat iemand er nog naar omkijkt, hoe groter de kans dat ze op een dag interessant blijken voor iemand met kwade bedoelingen.
Oud-medewerkers: de blinde vlek
Bij de meeste bedrijven ligt de aandacht voor databeveiliging bij actieve systemen: de mail, het ERP-pakket, de planning. Logisch, want daar wordt dagelijks mee gewerkt. Gegevens van mensen die al lang weg zijn, staan zelden op het netvlies. Toch blijft die informatie vaak jarenlang bewaard, zonder duidelijke reden en zonder dat iemand de verantwoordelijkheid draagt.
Hetzelfde geldt voor onderaannemers en zzp’ers, iets waar juist transport- en logistiekbedrijven veel mee werken. Ook van hen bewaar je persoonsgegevens: contracten, facturen met adresgegevens, soms rijbewijskopieën. Als die gegevens ergens onbeheerd blijven staan, ben jij daarvoor verantwoordelijk, ook als het niet je eigen personeel betreft.
Wat dit betekent voor aansprakelijkheid en reputatie
Onder de AVG ben je als werkgever verantwoordelijk voor de persoonsgegevens die je verwerkt, ook van mensen die niet meer bij je werken. Bij een datalek moet je dat melden bij de Autoriteit Persoonsgegevens en in veel gevallen ook bij de betrokkenen zelf. Dat is niet alleen een administratieve last, het raakt ook direct je reputatie.
Juist in transport en logistiek is de wereld klein. Opdrachtgevers, verladers en ketenpartners kennen elkaar, en nieuws over een datalek verspreidt zich snel. Steeds vaker vragen opdrachtgevers bovendien expliciet naar hoe je met informatiebeveiliging omgaat, zeker nu regelgeving zoals NIS2 ook eisen stelt aan de hele keten. Een zwakke plek bij jou kan dan een reden zijn om ergens anders te gaan kijken.
Wat je nu concreet kunt doen
Het goede nieuws is dat je hier zonder grote investeringen al veel winst kunt boeken.
- Breng in kaart welke persoonsgegevens je bewaart van oud-medewerkers, oud-chauffeurs en onderaannemers, en waar die staan.
- Kijk naar bewaartermijnen. Voor veel personeelsgegevens gelden wettelijke termijnen; alles wat daarna nog rondslingert, kan gewoon weg.
- Beperk wie er toegang heeft tot HR- en salarisadministratie, ook tot de oude archieven.
- Vraag bij payrollbureaus, HR-softwareleveranciers en onderaannemers na hoe zij met deze gegevens omgaan. Jij blijft eindverantwoordelijk, ook als een ander partij de data beheert.
- Zorg dat je weet wat je moet doen als het toch misgaat: wie je moet informeren, binnen welke termijn en op welke manier.
Dit hoeft geen groot project te zijn. Het begint met een half uur nadenken over waar oude gegevens eigenlijk staan, en de vraag of ze daar nog wel moeten staan.
Een paar vragen die we vaak krijgen
Hoe lang mag ik gegevens van oud-medewerkers eigenlijk bewaren?
Dat verschilt per soort gegeven. Loonadministratie moet je zeven jaar bewaren voor de Belastingdienst, maar veel andere personeelsgegevens, zoals beoordelingen of een kopie identiteitsbewijs, mogen na twee jaar (of eerder) weg. Alles wat daarna nog rondslingert, is een risico zonder nut. Maak per categorie een simpele afspraak en houd je daaraan.
Mijn salarisadministratie ligt bij een extern bureau. Ben ik dan nog verantwoordelijk?
Ja. Onder de AVG blijf jij de verantwoordelijke, ook als een payrollbureau of HR-softwareleverancier de gegevens voor je beheert. Leg in een verwerkersovereenkomst vast wat zij doen met bewaartermijnen en beveiliging, en vraag er af en toe gewoon naar.
Wat moet ik doen als er bij ons toch gegevens van oud-medewerkers lekken?
Meld het binnen 72 uur bij de Autoriteit Persoonsgegevens en informeer de mensen om wie het gaat als er voor hen een risico is, ook al werken ze allang niet meer bij je. Zorg dat je vooraf weet wie dit oppakt en waar de contactgegevens staan, zodat je niet in het moment zelf hoeft te zoeken.
Geldt dit ook voor chauffeurs en onderaannemers die geen personeel zijn?
Ja. Rijbewijskopieën, contracten en facturen met adresgegevens van zzp’ers en onderaannemers zijn ook persoonsgegevens waar jij verantwoordelijk voor bent. Juist in transport en logistiek is dit een vaak vergeten stapel.
Wij helpen regelmatig bedrijven in transport, logistiek en groothandel om dit soort blinde vlekken in kaart te brengen, zonder ingewikkeld verhaal en zonder onnodige paniek. Wil je weten hoe het er bij jou voorstaat? We denken graag met je mee.
