Voorlopig deskundigenonderzoek naar mogelijk datalek en ongeoorloofde inzage in Bitvavo-accounts toegestaan

Rb. Amsterdam 21 mei 2026, IEF 5360; ECLI:NL:RBAMS:2026:6951 ([verzoeker 1] en [verzoeker 2] tegen Bitvavo). Twee klanten van Bitvavo zijn slachtoffer geworden van helpdeskfraude waarbij gezamenlijk ruim € 2,7 miljoen aan cryptovaluta is buitgemaakt. De fraudeurs beschikten volgens hen over specifieke informatie, waaronder het type hardwarewallet, het actuele cryptotegoed, de soorten cryptovaluta en gegevens over de wijze waarop toegang tot de accounts werd verkregen. Omdat in mei 2024 bij Bitvavo een datalek had plaatsgevonden, vermoeden de slachtoffers dat de gebruikte informatie van Bitvavo afkomstig was en overwegen zij het cryptoplatform aansprakelijk te stellen. Zij verzoeken om een voorlopig getuigenverhoor van de voormalige en huidige head of legal van Bitvavo over onder meer het beleid rond datalekken, toegang tot klantgegevens en logging. Daarnaast verzoeken zij om een voorlopig deskundigenbericht naar de ICT-systemen van Bitvavo, het datalek en de vraag of hun persoonsgegevens daarbij betrokken waren. De rechtbank wijst het voorlopig getuigenverhoor af en wijst ook het deskundigenonderzoek af voor zover dit ziet op een algemeen onderzoek naar de ICT-systemen, het datalek in brede zin en eventuele andere datalekken. Deze verzoeken zijn zeer algemeen geformuleerd, onvoldoende op de verzoekers toegespitst en hun concrete belang daarbij is onvoldoende toegelicht. Zij hebben daarom het karakter van een zoektocht naar mogelijke verwijten, oftewel een ongeoorloofde fishing expedition, en leveren in zoverre misbruik van recht op.

De rechtbank beveelt wel een afgebakend voorlopig deskundigenonderzoek naar de vraag of de persoonsgegevens van de verzoekers betrokken waren bij het datalek van mei 2024 en of medewerkers van Bitvavo toegang hebben gehad tot hun accounts, met welke aanleiding en voor welk doel. De mededeling van Bitvavo dat hun gegevens niet bij het datalek betrokken waren en dat de geregistreerde inzages door medewerkers verklaarbare aanleidingen hadden, neemt hun belang bij onafhankelijk onderzoek niet weg. De verzoekers konden die mededelingen niet verifiëren, hadden geen beschikking over de logbestanden en hadden concrete feiten aangevoerd waaruit volgens hen kon volgen dat de fraudeurs over informatie beschikten die met hun Bitvavo-transacties verband hield. Het belang van de verzoekers om te weten welke medewerkers mogelijk zonder aanwijsbare reden toegang tot hun accounts hebben gehad, weegt volgens de rechtbank zwaarder dan het privacybelang van die medewerkers. Ter bescherming van andere klanten en bedrijfsgevoelige informatie vindt het onderzoek plaats in een afgeschermde omgeving, krijgt de deskundige geen toegang tot indicatoren voor transactiemonitoring of tot op grond van de Wwft beschermde FIU-informatie en mogen de namen van andere klanten niet openbaar worden gemaakt. De rechtbank stelt voor de periode van 1 januari 2024 tot en met 1 september 2025 te onderzoeken en de door verzoekers aangedragen cybersecuritydeskundige te benoemen, maar geeft partijen eerst gelegenheid zich uit te laten over de deskundige en de definitieve onderzoeksvragen. Iedere verdere beslissing wordt aangehouden.

4.6.  Voor zover de rechtbank Bitvavo zo moet begrijpen dat zij met het beroep op het belang van privacy van haar medewerkers bedoelt aan te voeren dat gewichtige redenen zich tegen toewijzing van het verzoek verzetten, faalt dit. Van bedrijfsgevoelige informatie is op dat punt geen sprake en daarnaast weegt het belang van [verzoeker 2] en [verzoeker 1] om te weten wie er mogelijk zonder aanwijsbare reden toegang heeft gehad tot hun klantgegevens zodat zij die perso(o)n(en) mogelijk daarover kunnen bevragen, zwaarder dan het belang van Bitvavo om de privacy van haar medewerkers te beschermen. De rechtbank onderkent de door Bitvavo ook aangevoerde belangen om de privacy van haar andere klanten te beschermen en dat geheimhouding wordt betracht over bepaalde bedrijfsgevoelige informatie en meent tegelijk dat deze zorg voldoende kan worden ondervangen door afbakening van het deskundigenonderzoek, zoals hierna in 4.9 uiteengezet wordt. Ook dit staat dus niet aan toewijzing van dit deel van het verzoek in de weg