Gebruikt je sportclub, personeelsvereniging of vrijwilligersorganisatie het ledenadministratiesysteem AllUnited? Dan liggen de namen, adressen, geboortedata en bankrekeningnummers van je leden sinds 9 november 2026 mogelijk op straat, en moet het bestuur dat zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). Meer dan 350 clubs deden dat al voor woensdag, en dat aantal loopt nog op.
Wat is er precies gebeurd
Een aanvaller misbruikte maandagavond 9 november een fout in een inschrijfformulier op een clubwebsite om bij een server van AllUnited binnen te komen, meldt het bedrijf zelf op zijn incidentpagina. Vandaar kopieerde hij gegevens uit de database. AllUnited ontdekte het lek op dinsdag 10 november en dichtte de fout dezelfde dag. Volgens het bedrijf gaat het om gegevens van alle verenigingen, bonden en communities die het systeem gebruiken: ongeveer 1.500 clubs en 35 aangesloten sportbonden, waaronder de KNVB, KNHB en KNLTB, meldt NL Times. Niet elke bond gebruikt AllUnited overigens voor de eigen ledenadministratie; de atletiekunie werkt met een los systeem en bleef buiten schot.
Gestolen kunnen zijn: namen, adressen, e-mailadressen, telefoonnummers, geboortedatum en -plaats, IBAN-rekeningnummers en, bij een eigen AllUnited-account, inloggegevens. Het exacte aantal getroffen personen is nog niet bekend. "De omvang is groot, maar we hebben geen exacte cijfers", zei een woordvoerder tegen NL Times.
Waarom jouw club zelf moet melden, en niet alleen AllUnited
AllUnited is de verwerker van de gegevens, maar de club of bond blijft wettelijk de verwerkingsverantwoordelijke voor de gegevens van zijn eigen leden. Dat betekent dat elke getroffen vereniging in principe zelf een melding moet doen bij de AP, binnen 72 uur nadat ze van AllUnited hoorden van het lek. RTL Nieuws meldde woensdag dat ruim 350 clubs dat al hadden gedaan en dat de AP een verdere toename verwacht.
Om niet elke club apart te belasten, biedt AllUnited een gezamenlijke melding aan: een bestuurslid geeft toestemming via een formulier, en het bedrijf meldt dan namens de club bij de AP en informeert de leden met een bericht dat aan de eisen van de AP voldoet. Die toestemming moest uiterlijk vrijdag 13 november 10:00 uur binnen zijn. Een club die liever zelf meldt, moet dat voor vrijdag 13 november 19:15 uur bij de AP hebben gedaan. Is je club nog niet bij AllUnited of de AP langs geweest, dan is dat de eerste actie van vandaag.
| Stap | Wie doet het | Deadline |
|---|---|---|
| Toestemming geven voor gezamenlijke melding door AllUnited | Bevoegd bestuurslid | 13 november, 10:00 uur |
| Zelf melden bij de AP via het meldformulier | Bestuur van de club of bond | 13 november, 19:15 uur |
| Leden informeren over welke gegevens mogelijk zijn gestolen | Bestuur, of AllUnited bij gezamenlijke melding | Zo snel mogelijk |
Wat dit voor leden en ouders betekent
Met namen, adressen en rekeningnummers in handen kunnen criminelen geloofwaardige phishingmails of valse betaalverzoeken maken, bijvoorbeeld voor contributie of een boete, die aanvoelen als een echt bericht van de club. Cyberexpert Koen Sandbrink van het Nationaal Cyber Security Centrum adviseert in De Telegraaf om direct de digitale beveiliging op orde te brengen, onder meer door tweestapsverificatie in te stellen voor e-mail. Had je bij AllUnited zelf een inlogaccount, verander dan dat wachtwoord en elk ander account waar je hetzelfde wachtwoord gebruikt.
Privacy-expert Brenno de Winter waarschuwt in dezelfde krant dat een datalek niet routine moet worden, ook al lijkt het inmiddels wekelijks nieuws: "Bij elk nieuw bericht over een datalek denken daardoor nu veel mensen: 'daar gaan we weer' (...) Maar zo makkelijk moeten we er niet over denken." Controleer dus elk betaalverzoek dat zogenaamd van je club komt zelf telefonisch of via een los kanaal, voordat je betaalt.
Wat je nu doet
- Check als bestuurslid of je vereniging AllUnited gebruikt en of je al bericht hebt gehad; staat er niets in je mail, neem dan zelf contact op via de incidentpagina van AllUnited.
- Kies voor de gezamenlijke AP-melding via AllUnited als dat nog kan, of vul het meldformulier zelf in vóór 13 november 19:15 uur: die wettelijke termijn staat los van wat AllUnited doet.
- Informeer leden en ouders van jeugdleden actief, met de concrete waarschuwing dat betaalverzoeken via e-mail voorlopig extra controle verdienen.
- Pas je wachtwoord aan als je een AllUnited-account had, en zet waar mogelijk tweestapsverificatie aan.
- Twijfel je of je club de meldplicht goed oppakt, of gaat het om een groter datalek met juridische gevolgen, schakel dan een jurist in die gespecialiseerd is in privacyrecht.
Veelgestelde vragen
Moet mijn club zelf melden bij de AP, ook als AllUnited dat al doet?
Alleen als je als bestuur toestemming hebt gegeven voor de gezamenlijke melding van AllUnited, mag je ervan uitgaan dat die namens je club gebeurt. Heb je geen toestemming gegeven of niets gehoord, dan blijft de meldplicht bij je eigen bestuur liggen, met de deadline van 72 uur na het bericht van AllUnited.
Mijn gegevens stonden in het systeem, maar ik heb nog niets gehoord. Wat doe ik?
Neem zelf contact op met je vereniging of bond, niet via een link in een mail die je toevallig ontvangt. Vraag of jouw gegevens in de getroffen database stonden en verander voor de zekerheid wachtwoorden die je ook elders gebruikt.
Kan ik AllUnited aansprakelijk stellen voor schade door het lek?
Dat hangt af van wat er in de verwerkersovereenkomst tussen je club en AllUnited staat en van de daadwerkelijke schade die je kunt aantonen, bijvoorbeeld geld dat via een valse betaallink is afgeschreven. Zonder die overeenkomst erbij te halen, kun je als bestuurslid niet goed inschatten of een claim kans maakt. Dat is dus een vraag voor een jurist die verwerkersovereenkomsten en aansprakelijkheid kent, niet iets wat je zelf aan de keukentafel beoordeelt.
