Welke meldplicht geldt er bij misbruik van je bedrijfsnummer?

Een meldplicht bij misbruik van je bedrijfsnummer geldt in twee concrete situaties: wanneer er een datalek bij komt kijken, en wanneer je zelf telecomaanbieder bent. Bij een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Als telecomaanbieder meld je bij het Ministerie van Economische Zaken en Klimaat. Buiten deze twee situaties bepaal je zelf welke stappen je zet, en die stappen zijn minstens zo belangrijk.

Meldplicht datalekken: wanneer klantgegevens zijn betrokken

De meldplicht datalekken onder de AVG treedt in werking zodra het misbruik van je bedrijfsnummer gepaard gaat met een datalek, bijvoorbeeld omdat klantgegevens zijn buitgemaakt en gebruikt om gesprekken overtuigender te maken. Je meldt dit binnen 72 uur bij de Autoriteit Persoonsgegevens. Dit geldt voor elke organisatie die persoonsgegevens verwerkt, ongeacht of je zelf telecomaanbieder bent.

Meldplicht beveiligingsincidenten: wanneer je zelf telecomaanbieder bent

De meldplicht beveiligingsincidenten onder de Telecommunicatiewet geldt specifiek voor aanbieders van elektronische communicatienetwerken en -diensten, dus telecomproviders zelf. Meldingen gaan naar het Ministerie van Economische Zaken en Klimaat, onder toezicht van de Rijksinspectie Digitale Infrastructuur. Gebruik je als bedrijf simpelweg een 085 of 088 nummer zonder zelf provider te zijn, dan ligt deze plicht niet bij jou.

Praktische stappen bij pure nummerspoofing

Bij pure nummerspoofing, waarbij fraudeurs jouw nummer laten verschijnen op het scherm van iemand anders zonder dat er klantgegevens zijn gelekt, val je buiten beide meldplichten. Drie stappen zijn dan wel praktisch verstandig.

Meld het misbruik bij je eigen provider. Die kan technische maatregelen nemen en heeft belang bij een compleet beeld van misbruikgevallen. Doe aangifte bij de politie, want spoofing en identiteitsmisbruik zijn strafbare feiten. En informeer je klanten proactief als zij doelwit zijn geworden van nepgesprekken onder jouw naam, dat versterkt het vertrouwen op het moment dat het nodig is.

Wat verandert er met de nieuwe anti-spoofingwetgeving?

Nederland werkt aan een wetsvoorstel dat providers verplicht om nummerherkenning strenger te controleren, zodat het lastiger wordt om een bestaand nummer te vervalsen. Dat verschuift een deel van de verantwoordelijkheid naar de infrastructuur van providers, waardoor misbruik van bedrijfsnummers naar verwachting lastiger wordt. Zodra deze wetgeving definitief is, verandert dat mogelijk ook de meldstructuur, dus het is de moeite waard dit te blijven volgen.

Veelgestelde vragen

Moet ik misbruik van mijn bedrijfsnummer melden bij de ACM?
Niet standaard. De ACM kan wel ingrijpen bij misbruik, bijvoorbeeld door een nummer in te trekken, maar er is geen wettelijke plicht voor een gewone nummergebruiker om spoofing daar actief te melden.

Wanneer moet ik wel naar de Autoriteit Persoonsgegevens?
Zodra er persoonsgegevens zijn betrokken bij het misbruik, bijvoorbeeld gelekte klantgegevens die zijn gebruikt om een phishinggesprek geloofwaardiger te maken. Dan geldt de meldplicht datalekken binnen 72 uur.

Is mijn provider verplicht mij te informeren als mijn nummer wordt misbruikt?
Er is geen wettelijke plicht die dit specifiek voorschrijft, maar een betrouwbare provider deelt dit soort signalen doorgaans wel proactief met klanten.

Twijfel je of jouw situatie een melding vereist?

Loop je tegen misbruik van je bedrijfsnummer aan en weet je niet zeker welke stappen nodig zijn? Neem contact op met Sound of Data, dan kijken we samen naar jouw situatie en de mogelijkheden om je bedrijfsnummer beter te beschermen.

Dit artikel geeft algemene informatie en is geen juridisch advies. Twijfel je over jouw specifieke situatie, raadpleeg dan een jurist of compliance-specialist.