Deskundigenonderzoek naar datalek bij Bitvavo alleen onder geheimhoudingsvoorwaarden

Rb. Amsterdam 15 oktober 2026, IT 5641; ECLI:NL:RBAMS:2026:10290 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). De rechtbank bepaalt dat een voorlopig deskundigenonderzoek naar een datalek bij cryptoplatform Bitvavo en de toegang van medewerkers tot klantaccounts pas mag plaatsvinden nadat partijen een geheimhoudingsovereenkomst hebben gesloten. De zaak betreft twee klanten van Bitvavo die vermoeden dat medewerkers zonder gerechtvaardigde reden hun accounts hebben ingezien en dat hun persoonsgegevens mogelijk betrokken zijn geweest bij een datalek in mei 2024. De rechtbank had bij tussenbeschikking van 21 mei 2026 al een voorlopig deskundigenonderzoek bevolen naar de vraag of hun gegevens bij het datalek betrokken waren en welke medewerkers tussen 1 januari 2024 en 1 september 2025 toegang tot hun accounts hadden gehad, wanneer en om welke reden. Bitvavo verzoekt de rechtbank haar eerdere feitelijke omschrijving aan te passen en voert aan dat bij het deskundigenonderzoek rekening moet worden gehouden met de privacy van haar medewerkers en de vereisten van noodzakelijkheid en proportionaliteit uit de AVG. De rechtbank ziet geen aanleiding om haar eerdere belangenafweging te wijzigen. Het belang van de verzoekers om te achterhalen welke medewerkers hun accounts hebben ingezien, weegt in dit geval zwaarder dan het privacybelang van de medewerkers. Daarbij acht de rechtbank vooral van belang dat fraudeurs die de verzoekers hadden benaderd, beschikten over zeer specifieke informatie, waaronder hun exacte cryptosaldi, de soorten cryptovaluta die zij bezaten en gegevens over hun beveiligingsmiddelen. Volgens de rechtbank onderscheidt deze informatie zich van gegevens die fraudeurs bijvoorbeeld via een datalek bij een derde zouden kunnen hebben verkregen.

Tegelijkertijd erkent de rechtbank dat bekendmaking van de persoonsgegevens van Bitvavo-medewerkers verstrekkende gevolgen kan hebben, omdat het deskundigenonderzoek ook betrekking heeft op medewerkers die om gerechtvaardigde redenen toegang tot de accounts hadden. Daarom acht zij een vertrouwelijkheidsregime passend. Partijen moeten voorafgaand aan het onderzoek een geheimhoudingsovereenkomst sluiten, waarin in ieder geval wordt vastgelegd dat de verzoekers de persoonsgegevens van medewerkers uitsluitend mogen gebruiken voor bewijsvoering in deze procedure en niet met derden mogen delen. Bitvavo moet binnen één week een voorstel voor deze overeenkomst doen. Indien partijen binnen vier weken geen overeenstemming bereiken, zal de rechtbank op verzoek over de geschilpunten beslissen. De rechtbank benoemt een deskundige die onder meer moet onderzoeken of de gegevens van de verzoekers bij het datalek betrokken waren, welke medewerkers toegang tot hun accounts hadden, wat de aanleiding en het doel van die toegang waren en welke categorieën gegevens daadwerkelijk zijn ingezien. Ook moet worden onderzocht of bij het datalek gegevens zoals wallettype, cryptosaldo, transactiehistorie en telefoonnummers zijn blootgesteld. Andere voorgestelde onderzoeksvragen, onder meer over de volledigheid van toegangsregistraties en de methode waarmee Bitvavo heeft vastgesteld welke klanten door het datalek waren getroffen, wijst de rechtbank af omdat deze te algemeen en te ruim zijn geformuleerd en daarmee neerkomen op een fishing expedition. Het deskundigenonderzoek kan pas beginnen nadat partijen geheimhouding zijn overeengekomen en het vereiste voorschot is betaald.

Geen geheimhouding medewerkers, wel vertrouwelijkheidsme

2.6.

Volgens Bitvavo moet de privacy van haar medewerkers worden beschermd. Zij meent dat de rechtbank bij het geven van een bewijsopdracht de vereisten van de AVG1 in acht moet nemen, onder meer waar het gaat om de noodzakelijkheid en proportionaliteit van de gegevensverwerking. Bitvavo verwijst hiervoor naar een uitspraak van 2 maart 2023 van het Europese Hof van Justitie.2 Volgens Bitvavo is het het bekend maken van de namen van haar medewerkers zonder beperkingen niet noodzakelijk voor het bereiken van het doel van het deskundigenonderzoek.

2.7.

De rechtbank ziet evenwel geen aanleiding om terug te komen op haar belangenafweging in de tussenbeschikking. Het vermoeden van [verzoeker 1] en [verzoeker 2] is dat sprake is geweest van ‘rekeninggluren’ door medewerkers van Bitvavo. De rechtbank heeft in alinea 4.6 van de tussenbeschikking geoordeeld dat het belang van [verzoeker 1] en [verzoeker 2] om te weten welke medewerker wanneer in hun rekeningen heeft gekeken zwaarder weegt dan het privacybelang van de medewerkers van Bitvavo. Vooral het uitzonderlijke karakter van de informatie waarmee de fraudeurs [verzoeker 1] en [verzoeker 2] hebben benaderd, maakt dat die belangenafweging in het voordeel van [verzoeker 1] en [verzoeker 2] uitvalt. [verzoeker 1] en [verzoeker 2] hebben onweersproken naar voren gebracht dat zij whales waren; grote en weinig handelende cryptobezitters. Zij bezaten, voordat de fraude werd gepleegd, veel crypto voor de lange termijn en waren daarmee een interessant doelwit voor fraudeurs. De fraudeurs waren bekend met het exacte saldo van de cryptotegoeden van [verzoeker 1] en [verzoeker 2] en wisten om welke crypto’s het ging. Ook waren de fraudeurs op de hoogte van het type ledger van [verzoeker 2] en van het toegangsprotocol van [verzoeker 1] . De bekendheid met deze zeer specifieke gegevens is niet vergelijkbaar met informatie die fraudeurs bijvoorbeeld zouden hebben gekregen via een datalek bij een derde.

2.8.

Niettemin onderkent de rechtbank dat bekendmaking van de persoonsgegevens van medewerkers van Bitvavo verstrekkende gevolgen heeft. Voor het deskundigenonderzoek zullen de persoonsgegevens van alle medewerkers van Bitvavo die om welke reden dan ook - dus ook als daarvoor een geëigende reden was - vanaf 1 januari 2024 tot en met 1 september 2025 toegang hebben gehad tot de rekeningen van [verzoeker 1] en [verzoeker 2] bekend worden. Hierin schuilt een publicitair risico voor Bitvavo en haar medewerkers, terwijl het [verzoeker 1] en [verzoeker 2] voor een eventuele aansprakelijkstelling slechts gaat om de persoonsgegevens van de medewerkers die zonder geëigende reden toegang hebben gehad. De rechtbank oordeelt daarom dat een vertrouwelijkheidsregime passend is. Dit zal worden beheerst door een door partijen af te stemmen geheimhoudingsovereenkomst. In de geheimhoudingsovereenkomst zal in ieder geval moeten worden opgenomen dat de persoonsgegevens van de medewerkers van Bitvavo door [verzoeker 1] en [verzoeker 2] niet voor een ander doel zullen worden gebruikt dan bewijsvoering in deze procedure en niet met derden zullen worden gedeeld. Het ligt op de weg van Bitvavo om binnen één week na deze beschikking een voorstel voor een geheimhoudingsovereenkomst aan [verzoeker 1] en [verzoeker 2] voor te leggen. Als partijen niet binnen vier weken tot overeenstemming komen over de inhoud van de geheimhoudingsovereenkomst, neemt de rechtbank op verzoek van de meeste gerede partij een beslissing over de geschilpunten tussen partijen. De deskundige zal geen partij hoeven worden bij enige geheimhoudingsoveereenkomst, omdat hij vanuit zijn hoedanigheid al tot geheimhouding is gehouden. Evenwel vindt het deskundigenonderzoek niet eerder plaats nadat partijen geheimhouding zijn overeengekomen. De rechtbank wijst erop dat het bevel tot een voorlopig deskundigenonderzoek zoals besloten in de tussenbeschikking, door deze beslissing niet wordt aangetast.