Albert Heijn-cyberincident: vraag om inzage en beperkte gegevenswissing

Verzoek om inzage en beperkte gegevenswissing na het cybersecurity-incident

Sanne de Vries
Lindelaan 18
3511 BV Utrecht
sanne.devries@example.nl

14 oktober 2026

Albert Heijn B.V.
Afdeling Klantenservice
Provincialeweg 11
1506 MA Zaandam
Nederland

Onderwerp: Verzoek om inzage en beperkte gegevenswissing na het cybersecurity-incident

Geachte heer/mevrouw,

Ahold Delhaize heeft op 12 oktober 2026 meegedeeld dat het na een cybersecurity-incident voorzorgsmaatregelen nam en sommige systemen offline haalde. In de update van 13 oktober 2026 staat dat het onderzoek nog loopt en dat er op dat moment geen aanwijzing was dat klant- of medewerkersgegevens waren meegenomen. Ik stel daarom niet dat mijn gegevens zijn meegenomen. Ik vraag u om voor mijn gegevens te bevestigen wat u op dit moment kunt vaststellen.

Mijn e-mailadres van het Albert Heijn-account is sanne.devries@example.nl.
Bonuskaartnummer 9821 4567 1234 5678
Klant- of ordernummer Order 2026-104582

Ik richt dit verzoek aan Albert Heijn B.V. als verwerkingsverantwoordelijke voor de persoonsgegevens die Albert Heijn verwerkt in verband met zijn Nederlandse winkels, websites, webwinkels, apps en andere diensten. Dit verzoek is gericht aan Albert Heijn B.V. en niet aan Ahold Delhaize N.V. of andere groepsmerken.

Op grond van artikel 15, lid 1, van de Algemene verordening gegevensbescherming (AVG) verzoek ik u om:
1. te bevestigen of u persoonsgegevens over mij verwerkt;
2. mij inzage te geven in die persoonsgegevens;
3. mij de informatie over de verwerkingsdoeleinden, categorieën van persoonsgegevens, ontvangers, bewaartermijn of criteria daarvoor, bron, eventuele geautomatiseerde besluitvorming en mijn verdere rechten te geven;
4. te bevestigen of uw onderzoek naar het cybersecurity-incident of de genomen voorzorgsmaatregelen betrekking kan hebben gehad op mijn persoonsgegevens, voor zover u dat kunt vaststellen; en
5. aan te geven welke concrete categorieën en velden u over mij hebt gecontroleerd.

Artikel 15, lid 1, AVG bepaalt: "De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:"
Artikel 15, lid 3, AVG bepaalt: "De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt." Ik verzoek u daarom om een kopie van mijn persoonsgegevens in een gangbare elektronische vorm als dat mogelijk is.

Op grond van artikel 17, lid 1, AVG verzoek ik u om mijn persoonsgegevens te wissen voor zover een grond voor gegevenswissing van toepassing is en geen uitzondering van artikel 17, lid 3, AVG geldt. Dit verzoek ziet in het bijzonder op persoonsgegevens die niet langer nodig zijn voor het doel waarvoor u ze verzamelde of verwerkte, of die onrechtmatig zijn verwerkt. Ik vraag niet om gegevens te wissen die u op grond van een wettelijke verplichting, een taak van algemeen belang, archivering, onderzoek, statistiek of een rechtsvordering moet bewaren.

Artikel 17, lid 1, AVG bepaalt: "De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:" Artikel 17, lid 3, AVG bepaalt: "De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is: a) voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie; b) voor het nakomen van een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend; c) om redenen van algemeen belang op het gebied van volksgezondheid overeenkomstig artikel 9, lid 2, punten h) en i), en artikel 9, lid 3; d) met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen; e) voor de instelling, uitoefening of onderbouwing van een rechtsvordering." Als u gegevens niet wist, vraag ik u per categorie het doel, de rechtsgrond, de bewaartermijn of de criteria daarvoor en de concrete uitzondering toe te lichten.

Wilt u mij volgens artikel 12, lid 3, AVG onverwijld en in ieder geval binnen één maand na ontvangst van dit verzoek informeren over het gevolg dat u eraan geeft? Als u de termijn met nog eens twee maanden verlengt, wilt u mij dan binnen de eerste maand informeren over de verlenging en de redenen voor de vertraging?

Artikel 12, lid 3, AVG bepaalt: "De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen één maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging, met vermelding van de redenen voor de vertraging."

Als u redelijkerwijs twijfelt aan mijn identiteit, kunt u volgens artikel 12, lid 6, AVG om aanvullende informatie vragen die nodig is om mijn identiteit te bevestigen. Laat in dat geval concreet weten welke informatie nodig is en via welke veilige route ik die kan geven. Ik voeg bij dit verzoek geen identiteitsbewijs of andere documenten.

Wilt u de ontvangst bevestigen en uw antwoord sturen naar sanne.devries@example.nl?

Met vriendelijke groet,

Sanne de Vries