Cybersecuritybedrijven verzamelen en verkopen gestolen persoonsgegevens om schade te voorkomen, maar juridische grenzen zijn onduidelijk door AVG en strafrecht.
Cybersecuritybedrijven verzamelen gestolen wachtwoorden en andere gegevens uit datalekken, bijvoorbeeld via het darkweb of Telegram, om deze doorzoekbaar te maken en informatie over gelekte accounts van medewerkers aan bedrijven te verkopen. Hoewel deze gegevens gestolen zijn en betrokkenen vaak niet weten dat hun gegevens worden verwerkt, kan dit volgens de AVG onder bepaalde voorwaarden toegestaan zijn.
Het strafrecht kent het begrip digitale heling, waarbij artikel 139g van het Wetboek van Strafrecht het verwerven, bezitten en verhandelen van niet-openbare gegevens verbiedt als men weet of moet vermoeden dat deze door een misdrijf zijn verkregen. Gegevens die al openbaar op internet staan vallen hier niet onder. Daarnaast is er een uitzondering als iemand te goeder trouw mocht aannemen dat het gebruik in het algemeen belang noodzakelijk was, bijvoorbeeld bij het waarschuwen voor beveiligingsincidenten, ook als daar een commercieel motief aan ten grondslag ligt.
De AVG erkent in overweging 49 expliciet dat netwerk- en informatiebeveiliging een gerechtvaardigd belang kan vormen, waardoor toestemming van iedere betrokken werknemer niet altijd vereist is. De verwerking moet echter noodzakelijk en proportioneel zijn. Zo is het waarschuwen van een werkgever over een gehackt zakelijk account toegestaan, maar het verstrekken van privégegevens zoals browsergeschiedenis en wachtwoorden niet.
Het Hof van Justitie heeft recent geoordeeld dat wie weet dat persoonsgegevens onrechtmatig zijn verzameld, zich niet kan beroepen op gerechtvaardigd belang voor het gebruik ervan. Dit oordeel zet commerciële handel in gestolen gegevens onder druk, omdat aanbieders weten dat deze data vaak via malware zijn buitgemaakt. Het verzamelen van deze gegevens door beveiligingsbedrijven met het doel anderen te beschermen maakt het hergebruik niet automatisch rechtmatig. Andere AVG-grondslagen voor systematische verzameling en indexering van complete datasets zijn niet snel van toepassing.
Anders ligt het bij werkgevers die eigen beveiligingslogs analyseren of meldpunten die op basis van door slachtoffers verstrekte informatie waarschuwen. Daar kan gerechtvaardigd belang nog steeds een passende grondslag zijn. De kern is dat cybersecurity een legitiem doel is, maar geen vrijbrief om volledige databases met gestolen persoonsgegevens te exploiteren. Het gaat niet alleen om de hoeveelheid benodigde gegevens om mensen te beschermen, maar vooral of deze gegevens überhaupt verzameld mogen worden.
