CWO en KNWV, datalek of auteursrechtschending?

In een persbericht van 12 februari meldt de CWO dat zij een datalek heeft gemeld bij de Autoriteit Persoonsgegevens nadat bleek dat de volledige CWO-database zonder toestemming is opgenomen in een systeem in gebruik van het Koninklijk Nederlands Watersport Verbond (KNWV).

Volgens de stichting gaat het om persoonsgegevens van meer dan 66.000 gebruikers en informatie over ruim 99.000 watersportdiploma’s. De gegevens omvatten onder meer naamgegevens, geboortedata, behaalde diploma’s, leslocaties en unieke lidnummers.
Volgens de CWO is vastgesteld dat de volledige database zonder toestemming is opgenomen in een systeem van het KNWV. Bij vergelijking zouden de gegevens nagenoeg één-op-één overeenkomen met de officiële CWO-omgeving, inclusief unieke lidnummers.

Inloggen

De CWO ontdekte dit nadat een medewerker door het KNWV werd uitgenodigd om in te loggen in het betreffende systeem. Bij vergelijking van de daar getoonde gegevens met de officiële CWO-omgeving is vastgesteld dat zowel de online omgeving als de data nagenoeg één-op-één overeenkomen. Zelfs de unieke lidnummers die uitsluitend door de CWO worden toegekend, bleken identiek te zijn. De CWO heeft nooit toestemming gegeven voor het kopiëren, overnemen of gebruiken van de volledige database. Door een extern ICT-expert is vastgesteld dat sprake is van een datalek in het kader van de Algemene Verordening Gegevensbescherming (AVG). Direct na de ontdekking is noodzakelijkerwijs melding gedaan bij de Autoriteit Persoonsgegevens.

Juridische stappen

De CWO heeft daarnaast juridische stappen moeten ondernemen. De betrokken partijen (KNWV en de ICT-leverancier) zijn door een advocaat aangeschreven en aansprakelijk gesteld voor alle schade die voortvloeit uit het zonder toestemming gebruiken of laten gebruiken van de CWO-data. Daarbij is gesommeerd om het gebruik van de betreffende data per direct en blijvend te staken, de database te vernietigen en om schriftelijk te verklaren hoe deze situatie heeft kunnen ontstaan.

Integriteit

CWO hecht grote waarde aan de zorgvuldige omgang met persoonsgegevens en betreurt dat dit heeft kunnen gebeuren. “We zijn verbijsterd. Er is nu nog veel onduidelijk. Uiteraard hebben we direct de CWO-locaties geïnformeerd met wat we nu weten. Het is nog niet volledig bekend wanneer, hoe en door wie de overzetting heeft plaats gevonden. Dat is onderdeel van het onderzoek dat nu volop gaande is. Integriteit staat daarbij voorop; we moeten onze leden en hun instructeurs en cursisten beschermen. Consumenten hoeven echter op dit moment weinig te vrezen: de gegevens staan achter een inlog en zijn niet in de openbaarheid,” aldus Erwin Schippers, bestuurder bij de CWO.

Achtergrond

Aan het einde van het vaarseizoen vorig jaar maakte het KNWV bekend uit de CWO te treden en verder te gaan met het Nationaal Watersport Diploma (NWD). De CWO beheert al ruim dertig jaar een uniform diplomasysteem voor vaaropleidingen in Nederland. De kwestie rond de database speelt zich af binnen die nieuwe situatie. Verdere duidelijkheid zal naar verwachting volgen uit het lopende onderzoek en het juridische traject.

Reactie van het Watersportverbond

Het Watersportverbond reageerde op 13 februari en stelt zich niet te herkennen in de kwalificatie ‘groot datalek’. Volgens het KNWV zijn er geen gegevens openbaar geworden of vrij toegankelijk geweest voor onbevoegde derden. De informatie bevindt zich volgens het Verbond in een beveiligde digitale omgeving met toegangscontrole.
Het Watersportverbond stelt vast dat er toegang is verkregen door een medewerker van de CWO tot een omgeving van het Verbond waarvoor geen toestemming was verleend. “Wij onderzoeken de omstandigheden rondom deze toegang zorgvuldig en gaan hierover waar nodig in gesprek met de betrokken partijen. Voor het Watersportverbond staat voorop dat discussies over systemen en data op een transparante en respectvolle manier worden gevoerd, met oog voor elkaars verantwoordelijkheden.
De huidige situatie staat niet los van het bredere verschil van inzicht dat is ontstaan na het terugtreden van het Watersportverbond uit de CWO. Juist daarom vindt het Watersportverbond het belangrijk dat alle betrokken organisaties terughoudend en feitelijk communiceren, zodat onnodige onrust binnen de sector wordt voorkomen.”

Juridische duiding

Jurist Mr. Karel de Vries, die de Zeepostredactie af en toe mag bellen met een juridische vraag, geeft zijn oordeel desgevraagd: “Het zal niet heel makkelijk worden voor CWO om het datalek aan te tonen, tenzij het Verbond de database voor iedereen toegankelijk heeft gemaakt. Maar veel makkelijker is de zaak vanuit auteursrechtelijk perspectief te zien. Als een database het eigendom is van partij 1 en door partij 2 gebruikt wordt voor eigen gewin, dan is dat een misdrijf in de zin van de auteurswet.” Mr. de Vries wijst ons op de website van Maakadvocaten: “Bij inbreuk op auteursrecht kan de rechthebbende civielrechtelijk een verbod eisen, schadevergoeding vorderen en proceskosten verhalen. Bij ernstige inbreuken op het auteursrecht legt het Openbaar Ministerie strafrechtelijk een geldboete op tot € 90.000 of een gevangenisstraf tot vier jaar, vooral bij opzettelijke en grootschalige commerciële inbreuken. Auteursrechtinbreuk leidt tot verschillende juridische consequenties die zowel via de civiele als strafrechtelijke weg kunnen worden opgelegd. De rechthebbende beschikt over meerdere instrumenten om zijn rechten te handhaven, terwijl de overheid bij ernstige overtredingen strafrechtelijk kan optreden. De aard en hoogte van de sancties hangen af van de ernst, opzet en commerciële omvang van de inbreuk.”

Bronnen: persbericht CWO, Hiswa Vereniging, en het Watersportverbond.