Gedupeerden dienen negen collectieve claims in tegen ID-scandienst IDScan

Negen rechtszaken tegen identiteitsverificatiedienst IDScan.net staan sinds woensdag op de rol van de federale rechtbank in New Orleans, na het lek waarbij 153 miljoen rijbewijsscans op het darkweb te koop stonden.

De inzet voor een Nederlandse afnemer zit in de route die de eisers kiezen. Zij stellen dat zij begunstigde derden zijn bij het contract tussen IDScan en zijn zakelijke klanten, en dat dat contract de leverancier verplichtte tot redelijke beveiliging. Daarmee is de verwerkersovereenkomst geen inkoopdocument meer, maar het stuk waarop een claim rust. In Nederland loopt die claim bovendien een andere kant op dan in de Verenigde Staten: artikel 82 AVG legt de aansprakelijkheid bij de verwerkingsverantwoordelijke, en dat is de verhuurder, de winkel of de bank die de scan liet maken, niet de leverancier die hem opsloeg.

Het lek kwam op 31 augustus aan het licht toen een darkwebdienst de scans te koop aanbood, waarna de FBI op 1 september een onderzoek opende naar een vermoedelijke inbraak bij idscan.net. Dat het bedrijf de bron is, staat nog steeds niet vast.

Vier grondslagen, en één die de keten raakt

De eerste vier zaken kwamen op woensdag 2 september binnen bij de U.S. District Court for the Eastern District of Louisiana, gevolgd door één op donderdag en vier op vrijdag. American Banker telde vrijdagochtend vijf voorgestelde class actions. Meerdere advocatenkantoren, waaronder Markovits, Stock & DeMarco en Hall Attorneys, zijn daarnaast begonnen aan onderzoeken naar bredere collectieve procedures, meldt BleepingComputer.

De aanklacht van Marc Rioux, zaaknummer 2:26-cv-01932, laat de constructie het duidelijkst zien. Rioux procedeert namens alle inwoners van de Verenigde Staten van wie persoonsgegevens bij het lek zijn getroffen en voert vier grondslagen aan: nalatigheid, schending van een wettelijke zorgnorm, ongerechtvaardigde verrijking en schending van een contract ten gunste van derden. Het belang van de zaak overstijgt 5 miljoen dollar, de drempel waarboven zo'n collectieve procedure bij de federale rechter thuishoort.

Die vierde grondslag is de interessante voor iedereen die identiteitscontrole inkoopt. IDScan sloot volgens de aanklacht contracten met zijn klanten voor identiteitscontrole, leeftijdscontrole en het scannen van documenten. Die contracten verplichtten het bedrijf tot redelijke beveiliging van de gegevens van de gescande mensen. Precies die mensen zijn volgens de eisers de beoogde derde-begunstigden van dat contract, en kunnen zich er dus zelf op beroepen. De aanklacht stelt verder dat IDScan beloofde gevoelige gegevens te verwijderen zodra het die niet langer nodig had. Van de rechter wil Rioux dat die het bedrijf opdraagt alsnog redelijke beveiliging te treffen voor de documentgegevens die het onder zich houdt.

De klantenlijst klopte niet

Ondertussen haalde IDScan delen van zijn eigen site weg. De pagina met partnerintegraties, waarop op 2 september nog Symitar stond, het kernsysteem dat Jack Henry aan kredietunies verkoopt, naast hotelboekingssysteem Sabre SynXis, leidt nu door naar het contactformulier, met een oproep aan wie denkt dat zijn gegevens bij een beveiligingsincident betrokken zijn. Ook de klantenlijst waarmee KrebsOnSecurity mogelijk geraakte bedrijven kon benoemen is verdwenen, constateert American Banker. Jack Henry laat aan datzelfde vakblad weten dat IDScan het heeft geïnformeerd dat Jack Henry niet is geraakt.

Hoe weinig zo'n lijst waard is, bleek bij Caesars Entertainment. Het casinoconcern stond op de vertrouwenspagina van IDScan als klant, maar liet KrebsOnSecurity op 2 september weten dat het geen klant is en sinds februari 2025 geen VeriScan meer gebruikt, en dat het IDScan geen toestemming had gegeven gegevens uit zijn accounts te bewaren. Dat een leverancierslijst niet klopt is geen schoonheidsfoutje: aansprakelijkheid volgt uit de gegevens die feitelijk verwerkt worden, niet uit de lijst die je op papier hebt.

De Nederlandse route is smaller, maar hij bestaat

Artikel 82 AVG geeft iedereen die materiële of immateriële schade lijdt door een inbreuk recht op vergoeding, maar verdeelt de aansprakelijkheid ongelijk. De verwerkingsverantwoordelijke is aansprakelijk voor schade door verwerking die de verordening schendt, terwijl een verwerker dat alleen is wanneer hij de specifiek voor verwerkers geldende plichten schond of buiten de instructies van zijn opdrachtgever handelde. Voor een Nederlands bedrijf dat de scan uitbesteedt betekent dat: de meldbrief komt bij jou, en de claim in beginsel ook. Een stappenplan voor de eerste 72 uur nadat je IT-leverancier is gehackt verandert die verdeling niet.

Hoe zo'n claim hier afloopt, laat de collectieve actie rond het GGD-datalek zien. De rechtbank Amsterdam wees op 9 juni 2026 de resterende vorderingen van Stichting ICAM af wegens onvoldoende belang, nadat ze eerder al had geoordeeld dat schadevergoeding alleen toekomt aan mensen die door de inbreuk daadwerkelijk schade hebben geleden en niet aan iedereen die vreest dat zijn gegevens ergens terecht zijn gekomen. Een Nederlandse massaclaim komt dus minder makkelijk van de grond dan een Amerikaanse class action. Weg is de route niet, ze loopt alleen via het contract en via aantoonbare schade.

Precies daar zit het werk, zegt Tim Rawlins, directeur beveiliging bij NCC Group. Een contract met een verificatieleverancier moet expliciet zijn over logging, datascheiding, bewaartermijn, verwijdering, incidentmelding, toegang tot bewijs, auditrechten en onafhankelijke toetsing, zei hij tegen American Banker, en het zwakke punt is de handhaving: bewaarregels die op papier goed ogen, staan vaak niet zo in de systemen ingesteld. "Een rijbewijs is nooit ontworpen om als wachtwoord te werken", aldus Rawlins. "Een klant kan een wachtwoord resetten. Zijn gezicht, geboortedatum en documenthistorie niet."

Dat zulke clausules ontbreken is eerder regel dan uitzondering. Uit een onderzoek van advocatenkantoor Jones Walker onder 125 bankbestuurders bleek dat 23 procent van de kleinere en middelgrote Amerikaanse banken een clausule heeft die de leverancier aansprakelijk maakt voor een datalek.

Of het gelekte bestand echt bij IDScan vandaan komt, is juridisch nog altijd niet vastgesteld. Het bedrijf bevestigt niets, de FBI onderzoekt nog, en de aanklachten steunen op vermoedens en tijdstempels. Waar de procedures wel al de vinger leggen, is niet de inbraak maar het archief dat er lag: zes beelden per document, jaren bewaard, bij een partij die de klant aan de balie nooit heeft gezien. Zolang een geslaagde controle een bestand oplevert in plaats van alleen een uitkomst, blijft de aansprakelijkheid liggen bij wie de scan liet maken.