Albert Heijn heeft tot nu toe geen aangifte gedaan bij de politie naar aanleiding van een cybersecurityincident. Zowel de politie als het Openbaar Ministerie ziet op dit moment geen aanleiding om zelf een opsporingsonderzoek te beginnen. Dat bevestigt de supermarktketen na vragen over de kwestie.
Het incident trof de systemen van Albert Heijn, maar volgens het bedrijf zijn er geen gevoelige gegevens van klanten buitgemaakt. De supermarkt zegt dat klantdata niet in verkeerde handen zijn gevallen. Verdere details over de aard en omvang van het incident heeft Albert Heijn niet naar buiten gebracht.
De politie kan pas een onderzoek starten als er een aangifte ligt. Omdat die er nog niet is, blijft het vooralsnog bij de vaststelling dat er een melding is gedaan, maar dat er geen strafrechtelijk onderzoek loopt. Het Openbaar Ministerie ziet evenmin reden om ambtshalve een onderzoek in te stellen. Daarmee ligt de bal voorlopig bij Albert Heijn zelf.
Het uitblijven van een aangifte betekent niet dat er niets aan de hand is. Cyberincidenten bij grote bedrijven kunnen variëren van een poging tot datadiefstal tot een storing of een aanval op de bedrijfsystemen. Zolang er geen aangifte is en er geen onderzoek loopt, is het lastig vast te stellen wat er precies is gebeurd en wie daarachter zit. Ook is onduidelijk of er sprake is van een strafbaar feit of van een technisch probleem.
Albert Heijn is een van de grootste supermarktketens van Nederland en verwerkt dagelijks gegevens van miljoenen klanten, onder meer via het bonuskaartsysteem en de online bezorgdienst. Een incident waarbij klantgegevens op straat komen te liggen, kan grote gevolgen hebben voor consumenten en voor het vertrouwen in het bedrijf. Dat het bedrijf benadrukt dat er geen gevoelige data zijn buitgemaakt, is dan ook een belangrijk signaal.
De gang van zaken roept de vraag op hoe bedrijven omgaan met cyberincidenten. In Nederland zijn organisaties niet altijd verplicht om aangifte te doen, maar bij datalekken geldt wel een meldplicht bij de Autoriteit Persoonsgegevens als er persoonsgegevens zijn gelekt. Of daarvan sprake is, is niet duidelijk. Albert Heijn heeft daar tot nu toe geen uitspraken over gedaan.
Voor de politie is een aangifte vaak het startpunt van een onderzoek. Zonder aangifte kan de politie weliswaar zelf een onderzoek beginnen als er een vermoeden is van een ernstig strafbaar feit, maar in de praktijk gebeurt dat niet snel bij incidenten waarbij geen aangifte wordt gedaan. Het Openbaar Ministerie toetst of er voldoende aanleiding is voor een opsporingsonderzoek. Beide instanties laten nu weten dat die aanleiding er vooralsnog niet is.
Het is niet bekend of Albert Heijn van plan is alsnog aangifte te doen. Het bedrijf heeft ook niet gezegd of er aangifte is gedaan bij andere instanties, zoals de Autoriteit Persoonsgegevens. Zolang er geen duidelijkheid komt over de precieze toedracht, blijft het incident vooral een interne kwestie voor het bedrijf.
De kwestie past in een bredere trend waarbij bedrijven en overheden steeds vaker te maken krijgen met cyberaanvallen en digitale storingen. De impact kan groot zijn, van financiële schade tot reputatieschade en het verlies van klantvertrouwen. Voor consumenten is het belangrijk om te weten of hun gegevens veilig zijn. Albert Heijn stelt dat dit het geval is, maar onafhankelijke bevestiging daarvan ontbreekt vooralsnog.
Voorlopig blijft het bij de mededeling dat er geen aangifte is gedaan en dat politie en justitie geen onderzoek starten. Mocht er later alsnog een aangifte komen of mochten er nieuwe feiten opduiken, dan kan dat veranderen. Tot die tijd is het incident vooral een zaak tussen Albert Heijn en de betrokken instanties.