We ontvangen een herinneringsmail van een site die we niet herkennen, we klikken zonder na te denken, en drie dagen later is een bankrekening gecompromitteerd. Dit scenario, alledaags in 2026, illustreert hoe de bescherming van persoonlijke gegevens niet langer alleen in de privacy-instellingen van een browser speelt. De AVG regelt nog steeds de verzameling en verwerking van informatie door bedrijven, maar de bedreigingen aan de gebruikerskant zijn van aard veranderd.
Infostealers en geavanceerde phishing: de echte risico’s voor uw gegevens in 2026
Concurrenten beschrijven uitvoerig de werking van de AVG of de verplichtingen van bedrijven. We beginnen aan de andere kant: wat een internetgebruiker concreet bedreigt wanneer hij ‘s ochtends zijn computer opent.
Het ENISA Threat Landscape 2026-rapport, gepubliceerd op 15 september 2026, identificeert phishing als de belangrijkste techniek van sociale engineering die is waargenomen in de incidenten die in 2025 zijn geanalyseerd. Phishingkits “as-a-service” zijn toegenomen, waardoor aanvallers zonder technische vaardigheden geloofwaardige campagnes in enkele uren kunnen opzetten.
De andere opkomende bedreiging zijn de infostealers. Deze malware beperkt zich niet langer tot het stelen van een wachtwoord. Volgens hetzelfde ENISA-rapport extraheren ze nu ook inloggegevens, browsegegevens, multi-factor authenticatietokens (MFA) en sessiecookies. Concreet betekent dit dat zelfs met een sterk wachtwoord en geactiveerde dubbele authenticatie, een geïnfecteerd apparaat al uw accounts kan compromitteren.
We hebben een aanvullend dossier gepubliceerd over persoonlijke gegevens op dubraz.com via Blognet News dat de verplichtingen van sites met betrekking tot verzameling en toestemming in detail beschrijft.
Wat dit dagelijks verandert: het bijwerken van het besturingssysteem en de applicaties is geen algemeen advies, het is de eerste verdedigingslinie tegen infostealers. Het gebruik van een wachtwoordbeheerder beperkt ook de blootstelling, omdat je je inloggegevens niet meer in een potentieel besmet formulier typt.
CNIL-controles in 2026: werving, algoritmen en wat dit betekent voor gebruikers
We spreken vaak over de CNIL als een verre toezichthouder die grote platforms bestraft. In 2026 raken haar prioritaire controlethema’s sectoren die direct van invloed zijn op particulieren in hun dagelijks leven.
Onder de thema’s die dit jaar zijn geselecteerd, zijn onder andere werving en het unieke kiesregister. In de praktijk betekent dit dat de CNIL controleert hoe werkgevers de gegevens van kandidaten verzamelen en bewaren, en hoe de kiesbestanden op algoritmisch niveau worden beheerd.
Voor een internetgebruiker die online solliciteert, is de consequentie direct: je kunt een recruiter vragen welke gegevens hij bewaart, op welke juridische basis, en hoe lang. Het recht op toegang en het recht op verwijdering zoals voorzien door de AVG zijn ook van toepassing op CV’s die drie jaar geleden op een wervingsplatform zijn ingediend.
Oefen je recht op toegang uit zonder te wachten op een lek
De meeste internetgebruikers ontdekken hun rechten pas na een incident. Je kunt proactief handelen. Elke organisatie die persoonlijke gegevens verwerkt, moet binnen een door de AVG vastgesteld tijdsbestek op een verzoek om toegang reageren.
Enkele situaties waarin deze aanpak een concreet effect heeft:
- Controleren welke informatie een voormalige werkgever of uitzendbureau nog in zijn bestanden heeft, meerdere jaren na het einde van een contract.
- Een e-commerce site vragen om de volledige lijst van gegevens die aan uw account zijn gekoppeld, inclusief browsegeschiedenis en advertentievoorkeuren.
- Verlangen naar verwijdering van gegevens op een advertentiesite waar je al lange tijd niet meer actief bent.
Als de organisatie niet reageert of zonder geldige reden weigert, kan de CNIL rechtstreeks worden ingeschakeld via haar online klachtenformulier.
Toestemming voor cookies en trackers: wat er echt is veranderd
We klikken reflexmatig op “Alles accepteren”. Het probleem is dat deze actie vaak tientallen advertentietrackers toestaat om browsegegevens, locatiegegevens en koopprofielen te verzamelen.
Het privacybeleid van een site moet het doel van elke verwerking en de gebruikte juridische basis (toestemming, legitiem belang, uitvoering van een contract) in detail beschrijven. In de praktijk variëren de reacties hierover: sommige sites tonen conforme banners maar verwijzen naar privacybeleid dat in moeilijk te begrijpen jargon is geschreven.
Het weigeren van niet-essentiële cookies mag nooit moeilijker zijn dan accepteren. Dit is een principe dat de CNIL regelmatig herinnert. Als een site meer klikken vereist om te weigeren dan om te accepteren, is het mogelijk in overtreding.
Drie reflexen om tracking in het dagelijks leven te beperken
- De browser configureren om cookies automatisch te verwijderen bij het sluiten, wat de meeste persistente trackers neutraliseert zonder de normale navigatie te blokkeren.
- De open sessies op gevoelige diensten (bank, e-mail, gezondheid) na elk gebruik af te sluiten, vooral op een gedeeld apparaat. Dit is de meest directe bescherming tegen het stelen van sessiecookies door een infostealer.
- Verschillende e-mailadressen gebruiken voor kritieke diensten en inschrijvingen voor nieuwsbrieven of promoties, om de risico’s te compartimenteren in geval van een lek.
Multi-factor authenticatie: nuttige maar niet onfeilbare bescherming
Overal wordt aangeraden om dubbele authenticatie in te schakelen, en dat is een goede reflex. Multi-factor authenticatie blokkeert de meeste pogingen tot ongeautoriseerde toegang met een gestolen wachtwoord.
Het ENISA 2026-rapport brengt een technische nuance aan: zogenaamde Adversary-in-the-Middle-aanvallen zijn in staat om sessietokens in realtime te onderscheppen, waardoor de MFA-bescherming wordt omzeild. Dit type aanval blijft geavanceerder dan klassieke phishing, maar wordt toegankelijker via dezelfde “as-a-service” kits.
MFA blijft noodzakelijk, maar vervangt niet de waakzaamheid ten aanzien van links die per e-mail of SMS worden ontvangen. Een phishinglink die naar een kwaadaardige proxy leidt, kan het MFA-token vastleggen op het moment dat de gebruiker zich legitiem authenticeert.
De beste aanvulling op dubbele authenticatie blijft de combinatie van een wachtwoordbeheerder (die weigert een formulier in te vullen op een onbekend domein) en een bijgewerkt besturingssysteem (dat de installatie van infostealers beperkt). Geen enkele afzonderlijke maatregel is voldoende: het is de opeenstapeling van beschermingslagen die het risico van compromittering van uw persoonlijke gegevens daadwerkelijk vermindert.
