Wat doxing is, waarom het sinds 1 januari 2024 strafbaar is, en wat je als werkgever en als slachtoffer kunt doen. Met het handelingskader van de Rijksoverheid als leidraad.
Bij doxing verzamelt iemand persoonsgegevens van een ander en verspreidt die, met de bedoeling om die persoon angst aan te jagen, ernstig te hinderen of het leven zuur te maken. Denk aan een huisadres in een besloten groep, een telefoonnummer onder een filmpje, of de naam van de school van iemands kinderen.
Het onderscheidt zich van andere vormen van agressie doordat het buiten je gezichtsveld gebeurt en niet ophoudt als de dienst erop zit. De medewerker staat niet meer tegenover één boze bezoeker, maar tegenover iedereen die dat bericht ziet. Juist daarom raakt het beroepsgroepen met een publieke rol het hardst: zorgverleners, handhavers, onderwijspersoneel, ambtenaren en bestuurders.
Tot 2024 was doxing lastig aan te pakken: het verspreiden van iemands adres is op zichzelf geen bedreiging. Sindsdien is er een eigen strafbepaling. Strafbaar is het zich verschaffen, verspreiden of anderszins ter beschikking stellen van persoonsgegevens van een ander, met het oogmerk die persoon vrees aan te jagen, ernstige overlast aan te doen of hem in de uitoefening van zijn ambt of beroep ernstig te hinderen.
De maximumstraf is twee jaar gevangenisstraf of een geldboete van de vierde categorie. Dat bedrag wordt periodiek geïndexeerd, dus reken niet met een vast getal uit een ouder artikel.
Twee dingen zijn de moeite waard om te onthouden. Het draait om het oogmerk: gegevens delen is niet strafbaar, gegevens delen om iemand bang te maken wel. En het hinderen van iemand in zijn ambt of beroep staat al in de delictsomschrijving zelf. Doxing van een medewerker vanwege zijn werk is dus geen randgeval, maar precies waar deze bepaling voor is gemaakt.
Openbaar Ministerie: richtlijn voor strafvordering doxing ↗De Rijksoverheid publiceerde een handelingskader doxing voor werkgevers, ontwikkeld binnen de Taskforce Onze Hulpverleners Veilig. Het is bewust generiek gehouden, zodat elke werkgever het naar de eigen werksituatie kan vertalen. De hoofdindeling is die van elk agressiebeleid: voorkomen, handelen, nazorg.
Kijk kritisch naar wat je als organisatie zelf online zet: volledige namen op de website, foto's met naambordjes, persoonlijke e-mailadressen, LinkedIn-profielen die de werkplek prijsgeven. Spreek af hoe medewerkers zich naar buiten toe bekendmaken, bijvoorbeeld met alleen een voornaam en een functienummer. Maak duidelijk dat de organisatie achter iemand gaat staan als het misgaat, want dat bepaalt of iemand het meldt.
Laat de medewerker niet zelf de reactie voeren. Leg eerst bewijs vast met schermafdrukken inclusief URL, datum en tijd, want berichten worden vaak verwijderd zodra er aandacht voor komt. Verzoek daarna om verwijdering bij het platform. Doe aangifte, en houd er rekening mee dat de werkgever dat kan doen namens de medewerker. Beoordeel of er acute veiligheidsmaatregelen nodig zijn, bijvoorbeeld als een woonadres is gedeeld.
Het gevoel dat je gegevens ergens rondzwerven blijft langer hangen dan het bericht zelf. Behandel doxing daarom als een volwaardig incident in je nazorg: contact houden in de weken erna, aandacht voor het gezin dat vaak meelijdt, en tijdig doorverwijzen naar de bedrijfsarts of professionele hulp. Zie ook waar iemand terechtkan na een incident.
Rijksoverheid: handelingskader doxing voor werkgevers ↗Ja, sinds 1 januari 2024 via artikel 285d van het Wetboek van Strafrecht. Strafbaar is het verschaffen, verspreiden of beschikbaar stellen van persoonsgegevens van een ander met het oogmerk die persoon vrees aan te jagen, ernstige overlast aan te doen of hem in zijn ambt of beroep ernstig te hinderen. De maximumstraf is twee jaar gevangenisstraf of een geldboete van de vierde categorie.
Nee. Het draait om het oogmerk. Persoonsgegevens delen is op zichzelf niet strafbaar; het wordt strafbaar wanneer het gebeurt om iemand bang te maken, ernstig te hinderen of ernstige overlast te bezorgen. Dat oogmerk moet blijken uit de omstandigheden, bijvoorbeeld uit de context waarin de gegevens worden geplaatst.
Ja. Net als bij andere vormen van agressie tegen medewerkers kan de werkgever aangifte doen, wat de last bij de individuele medewerker weghaalt. In sommige sectoren is dat inmiddels ook cao-afspraak. Leg vooraf in het agressieprotocol vast wie dat doet en wanneer, zodat er op het moment zelf niet over hoeft te worden onderhandeld.
Bewijs vastleggen. Maak schermafdrukken inclusief de URL, datum en tijd voordat berichten worden verwijderd. Laat de medewerker niet zelf reageren op de plaatsing. Verzoek daarna om verwijdering bij het platform, doe aangifte en beoordeel of er directe veiligheidsmaatregelen nodig zijn wanneer bijvoorbeeld een woonadres is gedeeld.
De protocol-generator maakt een agressieprotocol op maat van je sector, inclusief afspraken over melden, aangifte en nazorg.