Een klant van hotelketen Starwood heeft na een juridische strijd van ruim een jaar toestemming gekregen Accenture aansprakelijkheid te stellen voor een groot datalek. Door dat datalek zijn tussen 2014 en 2018 gegevens van bijna 500 miljoen gasten in handen van criminelen gekomen. Het is een Amerikaanse rechtszaak over de vraag wat van een partij waaraan is uitbesteed mag worden verwacht.
Accenture blij met opdracht van Starwood
In 2010 was groot nieuws. Accenture haalde een opdracht van ruim $250 miljoen binnen. Voor dat bedrag zou het de hele IT van de Starwood hotels gaan beheren. Ontwikkeling van apps, testen, server- en opslagmanagement, data center management, end-user computing, netwerkmanagement en service desk management. Echt alle IT kwam bij de consultants terecht en dat voor meerdere jaren. Die waren terecht blij. Een grote klant in deze sector binnenhalen zou wel eens tot veel meer aanvragen kunnen leiden. Het verliep iets anders, want in 2015 werd Starwood door Marriott overgenomen. Accenture was daardoor in een keer binnen bij de grootste hotelketen ter wereld.
Datalek
In 2018 bleek dat klantgegevens (inclusief de social security en creditcard nummers) te koop werden aangeboden. Al snel bleek dat de IT security van Starwood niet op orde was. En dat was geen recente fout, sinds2014 waren er meerdere fouten gemaakt. Er was dus ook geen sprake van een datalek. Meerdere jaren waren de databases door meerdere groeperingen en zelfs staatshackers te raadplegen en kopiëren.
Rechtszaken
Klanten van het hotel, vertegenwoordigd door claimadvocaten, sleurden Marriott als eigenaar van Starwoord voor de rechter. De eerste rechtszaken gingen najaar 2019 van start. Veel minder in het nieuws gekomen is dat niet alleen Marriott werd aangeklaagd. In andere procedures zijn het hotel en Accenture gedaagd.
In die laatste zaken leek het goed uit te pakken voor Accenture. Maar eind oktober is dat veranderd. De rechter in een van de zaken heeft een hotelklant toestemming gegeven ook tegen Accenture te procederen. De consultants hebben tevergeefs gepoogd dat te voorkomen. Zij vreesden – naar nu blijkt terecht – dat de zorgplicht (“Duty of care”) die normaal geldt tussen klant (hotel) en leverancier (Accenture) wordt opgerekt. Dat is nu dus gedaan door de reuchter tot een zorgplicht die gaat tot en met de eindklant, een zogenaamde “third party”.
Vertaling voor Nederlandse markt
De affaire Starwood-Accenture heeft een punten die ook voor de Nederlandse markt van belang zijn. Het begint er mee dat ook persoonsgegevens van Nederlanders zijn gelekt. IT ondernemers en consultants kunnen met deze zaak in het achterhoofd de eigen business nog eens goed doornemen. Een van de redenen waarom Accenture zich namelijk uit alle macht verzette tegen dit vonnis is iets dat ook in Nederland kan voorkomen: het bedrijf is niet verzekerd voor “third party” schadeclaims van een datalek.
