Geen hack, geen malware: hoe een envelop-fout de gegevens van 2.542 mensen blootlegde
BSN, bankrekeningnummer, type uitkering en betalingsspecificaties van mogelijk alle cliënten van een Brabantse sociale dienst zijn bij verkeerde ontvangers terechtgekomen
Geen cyberaanval, geen kwetsbaarheid — een fout in een fysiek verzendproces. Het incident laat zien dat datalekken niet altijd digitaal beginnen, en dat de gevolgen daardoor niet minder ernstig zijn.
Wat er is gebeurd
(cite index="17-1">De Intergemeentelijke Sociale Dienst (ISD) Brabantse Wal heeft de persoonlijke gegevens van mogelijk alle cliënten gelekt. Het gaat om naam, burgerservicenummer (BSN), type uitkering, bankrekeningnummer en betalingsspecificaties van mogelijk meer dan 2500 mensen.
(cite index="17-1">Het datalek deed zich voor bij de verzending van de uitkeringsspecificaties over de maand augustus. Bij het proces van het samenstellen van de poststukken, bestaande uit een uitkeringsspecificatie en een nieuwsbrief, deed zich een fout voor. Hierdoor zijn documenten in de verkeerde enveloppen terechtgekomen, waardoor cliënten en bewindvoerders mogelijk persoonsgegevens hebben ontvangen die betrekking hadden op andere cliënten van de ISD.
(cite index="21-1">Het datalek werd op 18 augustus 2026 door de gemeente Bergen op Zoom ontdekt.
De omvang: van "misschien enkelen" naar "iedereen"
Wat dit incident kenmerkt, is hoe de inschatting van de omvang groeide naarmate het onderzoek vorderde.
(cite index="18-1">De precieze omvang van het lek is niet bekend, waardoor er mogelijk gegevens van 2542 cliënten uit West-Brabant op straat liggen.
(cite index="17-1">"Omdat het datalek mogelijk betrekking heeft op de totale run van uitkeringsspecificaties kunnen er in theorie er maximaal 2.542 ISD-cliënten zijn betrokken", laat het college van Woensdrecht weten.
Het college trekt daaruit een conclusie die opvalt om zijn directheid: (cite index="14-1">"Omdat de precieze omvang van het datalek thans niet te achterhalen is wordt veiligheidshalve uitgegaan van een datalek van maximale omvang", schrijft het college.
Dit is een belangrijk principe voor elke organisatie die met een vergelijkbare situatie te maken krijgt: als u de omvang niet met zekerheid kunt vaststellen, is uitgaan van het slechtste scenario de enige verantwoorde keuze — niet uit voorzichtigheid alleen, maar omdat het de basis vormt voor een correcte melding en correcte communicatie naar betrokkenen.
Waarom dit een datalek is, ondanks dat er niets is "gehackt"
Er is een neiging om incidenten als dit anders te categoriseren dan een cyberaanval — het was immers geen digitale inbraak, geen malware, geen kwetsbare server. Dat onderscheid is begrijpelijk vanuit communicatieoogpunt, maar niet relevant voor de vraag of het een meldingsplichtig datalek is.
Onder de AVG is een datalek elke inbreuk op de beveiliging die leidt tot onbedoelde toegang tot, vernietiging van, of wijziging van persoonsgegevens — ongeacht of dit digitaal of fysiek gebeurt. Een verkeerd geadresseerde envelop met BSN en bankgegevens is qua impact voor de betrokkene niet anders dan een digitaal lek met dezelfde inhoud.
Dit is een belangrijk punt voor elke organisatie die met fysieke post werkt — gemeenten, zorginstellingen, verzekeraars, incassobureaus. Het proces van printen, samenvoegen en verzenden van gevoelige documenten is een aanvalsoppervlak, ook zonder dat er ooit een computer wordt gehackt.
De reactie: wat de ISD wel goed deed
(cite index="14-1">De ISD heeft een onderzoek ingesteld, maatregelen getroffen en vraagt cliënten die onterecht documenten ontvangen hebben, deze terug te sturen. De getroffen cliënten zijn geïnformeerd met een brief en hebben een retourenvelop gekregen waarin de documenten die niet voor hen bedoeld zijn teruggestuurd kunnen worden.
(cite index="21-1">Alle cliënten hebben inmiddels een persoonlijke brief van de ISD gehad. Daarin staat welke gegevens er mogelijk gelekt zijn, welke gevolgen dit kan hebben en waar men terecht kan met vragen.
(cite index="17-1">Naar aanleiding van het datalek heeft de ISD een aantal maatregelen genomen, waaronder het analyseren van het werkproces rondom het samenstellen, controleren en verzenden van uitkeringsspecificaties. Daarnaast wordt nader onderzoek uitgevoerd naar de achterliggende oorzaak van het incident. Daarbij wordt onder andere gekeken naar het werkproces rondom het samenvoegen en verzenden van documenten en de controlemaatregelen voorafgaand aan verzending.
Dit sluit direct aan bij de vijf lessen die de Autoriteit Persoonsgegevens beschreef in haar rapportage die we eerder behandelden in onze post over ransomware-incidenten: tijdig informeren van betrokkenen, en onderzoek doen naar het achterliggende proces in plaats van alleen het symptoom te herstellen.
Politieke controle volgt direct
(cite index="18-1">Inmiddels heeft raadslid Vincent Mast (D66 Bergen op Zoom) raadsvragen gesteld over het datalek. Zo wil hij van het college van de gemeente Bergen op Zoom weten hoe het gemeentebestuur het handelen van de gemeente en de ISD beoordeeld. Ook is hij benieuwd of alle wettelijke verplichtingen rondom de Algemene verordening gegevensbescherming (AVG) zijn nageleefd.
Dit patroon — een incident gevolgd door lokale of landelijke politieke vragen — zagen we eerder bij de datalekken bij Avans Hogeschool en het CJIB. Het bevestigt een trend: gemeenteraden en Kamerleden controleren in toenemende mate actief of overheidsorganisaties hun AVG-verplichtingen naleven, in plaats van te wachten op een oordeel van de Autoriteit Persoonsgegevens alleen.
De les voor uw organisatie: het fysieke proces verdient dezelfde aandacht als het digitale
Organisaties investeren doorgaans zwaar in digitale beveiliging — firewalls, MFA, patchmanagement, endpoint detection. Het proces waarbij fysieke documenten met gevoelige data worden samengesteld en verzonden krijgt vaak veel minder aandacht, ondanks dat de potentiële schade identiek is.
Praktische maatregelen die dit type incident hadden kunnen voorkomen of beperken:
Geautomatiseerde koppelcontrole
Bij het samenvoegen van documenten voor massaverzending moet een technische controle bevestigen dat elk document daadwerkelijk aan de juiste envelop of geadresseerde is gekoppeld — niet alleen een visuele steekproef.
Steekproefcontrole vóór verzending
Bij verzendingen van deze omvang (2.500+) is een statistisch onderbouwde steekproef vóór de daadwerkelijke verzending een basismaatregel, geen luxe.
Scheiding van gevoelige en niet-gevoelige documenten in het productieproces
Het combineren van een uitkeringsspecificatie (zeer gevoelig: BSN, bankgegevens) met een nieuwsbrief (niet gevoelig) in één verzendproces vergroot het risico onnodig. Waar mogelijk verdient scheiding van deze processen de voorkeur.
Documenteer en test het proces periodiek
Zoals de AP in haar ransomware-rapportage al aangaf: organisaties moeten weten welke persoonsgegevens zij verwerken en waar deze zich bevinden — dat geldt evengoed voor het fysieke verzendproces als voor digitale systemen.
Wat dit betekent onder de Cyberbeveiligingswet
Voor organisaties die onder de Cyberbeveiligingswet vallen — en gemeenten vallen daar nadrukkelijk onder, zoals we beschreven in onze post over de inwerkingtreding van de wet — is dit incident een relevante illustratie. De zorgplicht onder de wet beperkt zich niet tot digitale systemen; het gaat om het beheersen van risico's voor de netwerk- en informatiesystemen in brede zin, inclusief de processen waarmee gegevens uit die systemen worden verwerkt en verspreid.
Een organisatie die alleen haar digitale beveiliging op orde brengt maar het fysieke verzendproces ongemoeid laat, heeft een aantoonbare zorgplicht-lacune.
Bronnen
- (cite index="17-1">Security.NL – Brabantse sociale dienst lekt gegevens van mogelijk alle cliënten
- (cite index="14-1">Omroep Brabant – Datalek bij sociale dienst Brabantse Wal: mogelijk alle cliënten getroffen
- (cite index="18-1">ZuidWest Update – Datalek bij ISD Brabantse Wal: cliënten hebben mogelijk gegevens van andere cliënten ontvangen
- Autoriteit Persoonsgegevens – Meldplicht datalekken