Iemand gebruikt een gestolen creditcard in uw winkel. De kaarthouder komt erachter, doet aangifte bij de politie en stuurt u een schriftelijk verzoek: stuur mij alstublieft kopieën van de transactiegegevens van de frauduleuze aankoop. U hebt 30 dagen om ze kosteloos te overhandigen. Niet 30 werkdagen. Niet 30 dagen nadat uw advocaat daar zin in heeft. Dertig dagen na ontvangst, volgens federale wet — en "privacyredenen" is geen excuus, want de wet zegt dat expliciet.
Dat is de regel die Amazon zo grondig heeft geschonden dat de Federal Trade Commission in juni 2026 een civiele boete van $2,25 miljoen tegen het bedrijf wist veilig te stellen, de hoogste boete ooit onder die bepaling. En de bepaling geldt voor uw bedrijf precies zoals ze voor Amazon gold. Als u goederen of diensten verkoopt tegen vergoeding — dat wil zeggen, als u een bedrijf runt — dan wijst Section 609(e) van de Fair Credit Reporting Act u al aan.
Wat Amazon precies verkeerd deed
Eerst een correctie die de moeite waard is, omdat verschillende samenvattingen van deze zaak het mis hadden: de boete had niets te maken met achtergrondchecks bij personeel of met kredietbeoordeling. Amazon werd beboet op grond van FCRA Section 609(e), het deel van de wet dat slachtoffers van identiteitsdiefstal het recht geeft op de aanvraag- en bedrijfstransactiegegevens achter fraude die in hun naam is gepleegd.
Volgens de klacht die het Department of Justice namens de FTC indiende bij de federale rechtbank in Washington, D.C., schond Amazon de wet "wetens". Consumenten die contact opnamen met het bedrijf over fraude op hun rekeningen of betaalkaarten kregen van klantenservicemedewerkers te horen dat de gegevens niet verstrekt konden worden om "veiligheids"- of "privacyredenen". In wat de directeur van het Bureau of Consumer Protection van de FTC een "kafkaëske beproeving" noemde, eiste Amazon dat slachtoffers eerst de dief identificeerden die hun gegevens had gestolen voordat het gegevens zou vrijgeven — in één geval kreeg een consument te horen dat het geen gegevens over een frauduleus account kon delen tenzij de consument de naam op het account raadde, de naam die de identiteitsdief had gebruikt. De consument probeerde het 30 keer en slaagde niet. Amazon weigerde ook gegevens aan wetshandhavingsinstanties die de fraude onderzochten.
Twee details uit de zaak zouden elke eigenaar van een klein bedrijf aan het denken moeten zetten. Ten eerste hadden FTC-medewerkers de advocaten van Amazon al in juni 2023 gewaarschuwd om de naleving van precies deze bepaling te herzien, na ontvangst van een klacht van een consument. De schendingen gingen door. Ten tweede had Amazon tot begin 2025 helemaal geen schriftelijke procedure voor het afhandelen van deze verzoeken — pas nadat het had vernomen dat de FTC een onderzoek had geopend. Het ontbreken van een proces was geen verweer; het maakte deel uit van het verhaal. Als onderdeel van de schikking moet Amazon een openbare kennisgeving op zijn website plaatsen waarin wordt uitgelegd hoe slachtoffers van identiteitsdiefstal gegevens kunnen opvragen.
Met meer dan 1,1 miljoen meldingen van identiteitsdiefstal bij de FTC in 2024, en 2025 op weg naar een hoger aantal, is een verzoek van een slachtoffer in uw inbox een kwestie van wanneer, niet van of. Dit is wat de wet van u vereist wanneer dat gebeurt.
De 30-dagenregel die elk bedrijf zou moeten kennen
Section 609(e) is kort en opvallend eenvoudig voor een federale wet:
Wie wordt bestreken. Elke bedrijfsentiteit die krediet heeft verstrekt aan, goederen of diensten heeft verkocht aan, betaling heeft aanvaard van, of anderszins een commerciële transactie tegen vergoeding is aangegaan met iemand die naar verluidt de identiteit van een ander zonder toestemming heeft gebruikt. Let op "naar verluidt": u hoeft niet te beoordelen of identiteitsdiefstal echt heeft plaatsgevonden voordat u voldoet. De claim van een slachtoffer, onderbouwd met de hieronder beschreven documentatie, activeert uw plicht.
Wat u moet verstrekken. Een kopie van de aanvraag en de bedrijfstransactiegegevens waarover u zeggenschap hebt die de vermoedelijk frauduleuze transactie aantonen — of u die gegevens nu zelf bijhoudt of iemand anders ze namens u bijhoudt. Denk aan ordergegevens, accountaanvragen, facturen, bonnen, betalingsautorisaties, verzendadressen gekoppeld aan de transactie. De wet omvat uitdrukkelijk gegevens die door een ander namens u worden bijgehouden, wat in de moderne praktijk betekent dat de gegevens in uw betaalverwerker, ecommerceplatform of kassasysteem voor dit doel als de uwe gelden.
Wie ze mag ontvangen. Het slachtoffer, elke federale, staats- of lokale wetshandhavingsinstantie of -functionaris die het slachtoffer in het verzoek noemt, of een wetshandhavingsinstantie die de diefstal onderzoekt en die het slachtoffer heeft gemachtigd de gegevens te ontvangen. De weigering van Amazon om met wetshandhaving te delen was een afzonderlijke schending.
De termijn. Niet later dan 30 dagen nadat u het verzoek hebt ontvangen.
De prijs. Niets. De wet bepaalt dat de gegevens "zonder kosten" aldus moeten worden verstrekt.
De vorm van het verzoek. Het moet schriftelijk zijn, per post verzonden naar een adres dat u hebt aangewezen als u er een hebt aangewezen — nog een reden om nu een contactpunt aan te wijzen in plaats van nadat een verzoek binnenkomt. Als u daarom vraagt, moet het slachtoffer relevante informatie over de transactie opnemen om u te helpen die te vinden: de datum, een account- of transactienummer, of andere identificerende details, maar alleen als het slachtoffer die kent of gemakkelijk kan verkrijgen. Lees die beperking zorgvuldig: "als gekend" doet echt werk. U mag om hulp vragen bij het lokaliseren van de gegevens. U mag het vermogen van het slachtoffer om details te verstrekken niet tot voorwaarde maken, en u mag zeker niet eisen dat zij de dief noemen, zoals Amazon deed.
Wat het slachtoffer u moet tonen
De wet laat uw deur niet wijd openstaan. Voordat u iets overhandigt, moet het slachtoffer twee dingen verstrekken, in de vorm die u kiest:
-
Bewijs van identiteit. Naar uw keuze: een door de overheid uitgegeven identiteitskaart, persoonlijk identificerende informatie van hetzelfde type dat de ongeautoriseerde persoon u heeft gegeven, of het soort identificerende informatie dat u doorgaans vraagt aan nieuwe aanvragers of voor nieuwe transacties.
-
Bewijs van de claim van identiteitsdiefstal. Naar uw keuze: een kopie van een politierapport dat de claim aantoont plus een correct ingevulde gestandaardiseerde affidaat inzake identiteitsdiefstal — het soort dat wordt gegenereerd via het IdentityTheft.gov-proces van de FTC — of een andere verklaring van feiten die u aanvaardbaar vindt.
De enige uitzondering: als u al een hoge mate van zekerheid hebt dat u weet wie het slachtoffer is, mag u de verificatie overslaan. Vraag in de praktijk elke keer om het standaardpakket en bewaar een kopie van wat is ontvangen naast het verzoek zelf. Een consistente checklist beschermt in beide richtingen: ze weerhoudt u ervan gegevens te verstrekken aan een bedrieger, en documenteert dat elke verzoeker dezelfde behandeling kreeg.
De excuses die niet werken
De zaak van Amazon is juist nuttig omdat ze, tegen een prijs van $2,25 miljoen, aantoont welke weigeringen falen:
"Privacy en veiligheid beletten ons te delen." De wet voorziet deze tegenwerping en verwerpt haar vooraf: bepalingen inzake financiële privacy die normaal het verstrekken van klantgegevens aan derden beperken, kunnen niet worden gebruikt om verstrekking aan het slachtoffer te weigeren. Het Congres heeft in 2003 besloten dat het recht van het slachtoffer om gegevens te zien over fraude die in hun naam is gepleegd, zwaarder weegt dan de privacyreflexen van het bedrijf. Train iedereen die klantene-mails of telefoontjes beantwoordt specifiek op dit punt, want "ik kan geen accountgegevens delen om privacyredenen" is anders precies de juiste reflex.
"Vertel ons eerst wie uw identiteit heeft gestolen." Het slachtoffer is, bijna per definitie, de persoon die niet weet wie hun identiteit heeft gestolen. Verstrekking afhankelijk maken van het identificeren van de dief verandert een 30-dagenplicht in een onmogelijke plicht, en daarom beschreven toezichthouders het zoals ze deden.
"We hebben meer tijd nodig." Dertig dagen na ontvangst is de termijn. Chargebacks, geschillen met de verwerker en interne fraudebeoordelingen lopen op hun eigen klok; geen ervan pauzeert deze.
"Er is een vergoeding voor de gegevens." De kopieën zijn gratis. Geen onderzoekskosten, geen kopieerkosten, geen administratieve kosten.
"Onze verwerker houdt die gegevens bij, niet wij." Gegevens die door een ander namens u worden bijgehouden, vallen er uitdrukkelijk onder. Als uw transactiegegevens in Stripe, Square, Shopify of het merchantportaal van uw bank staan, is het ophalen ervan uw taak.
Wanneer u nee mag zeggen
De wet is niet absoluut, en de grenzen kennen is even belangrijk als de plicht kennen. Een bedrijf mag te goeder trouw weigeren wanneer de bepaling niet daadwerkelijk verstrekking vereist, wanneer de identiteit van de verzoeker het bedrijf na beoordeling van de verificatiematerialen nog steeds zonder hoge mate van zekerheid laat, wanneer het verzoek berust op een feitelijke onjuistheid, of wanneer het gevraagde materiaal internetnavigatiegegevens zijn — browsegeschiedenis over iemands bezoek aan een website of onlinedienst — in plaats van transactiegegevens.
Er is ook een uitdrukkelijk verweer in de wet opgenomen: als het tot een handhavingsactie komt, kunt u de claim weerleggen door aan te tonen dat u een redelijk zorgvuldig onderzoek hebt gedaan naar uw beschikbare bedrijfsgegevens en dat de gevraagde gegevens niet bestaan of niet redelijkerwijs beschikbaar zijn. Merk op wat dat verweer beloont: een oprecht onderzoek, gedocumenteerd. "We hebben nooit gezocht" en "we hebben geen proces om te zoeken" zijn het tegenovergestelde.
Twee schilden beschermen bedrijven die te goeder trouw voldoen. Ten eerste kan geen enkel bedrijf civielrechtelijk aansprakelijk worden gesteld op grond van enige wet voor een verstrekking te goeder trouw onder deze bepaling — dus de privacyzorg wijst precies de verkeerde kant op. Voldoen is beschermd; weigeren wordt bestraft. Ten tweede schept de bepaling geen nieuwe bewaarplicht: ze vereist niet dat u gegevens verkrijgt, bewaart of bijhoudt die u niet anderszins in de normale gang van zaken of op grond van andere wetgeving zou bewaren. Ze regelt alleen gegevens die u al hebt.
Bouw uw proces voordat een verzoek binnenkomt
De meest overdraagbare les van Amazon is de goedkoopste: schrijf de procedure nu op. Een proces van één pagina verslaat een improvisatie van $2,25 miljoen. Het uwe moet op zijn minst het volgende omvatten:
- Een aangewezen adres en verantwoordelijke. Publiceer waar schriftelijke verzoeken naartoe gaan — een postadres of een bewaakte inbox — en benoem de persoon die verantwoordelijk is voor de afhandeling. De wet laat u het adres specificeren waarnaar verzoeken moeten worden gestuurd, maar alleen als u er daadwerkelijk een hebt gespecificeerd.
- Een verificatiepakket. Een door de overheid uitgegeven foto-ID, een politierapport en een ingevulde affidaat inzake identiteitsdiefstal, elke keer op dezelfde manier opgevraagd.
- Een klok van 30 dagen. Noteer de datum waarop elk verzoek binnenkomt en houd de deadline bij. Kalenderdagen, geen werkdagen.
- Een ophaalkaart. Schrijf systeem voor systeem op waar uw transactiegegevens staan: dashboard van de verwerker, ecommercebackend, POS-export, boekhoudbestand. De ophaalkaart is wat een paniekerige worsteling verandert in een taak van tien minuten.
- Een responslogboek. Wat werd gevraagd, wat werd geverifieerd, wat werd verzonden, wanneer en aan wie. Als een toezichthouder ooit vraagt, is dit logboek uw bewijs van redelijke zorgvuldigheid.
- Een regel zonder voorwaarden. Geen kosten, geen eis dat het slachtoffer de dief identificeert, geen "privacy"-weigering aan het geverifieerde slachtoffer of hun aangewezen wetshandhaving.
Herzie de pagina jaarlijks, zoals u uw back-uproutine herziet. Het aantal gevallen van identiteitsdiefstal blijft stijgen, en de FTC heeft nu aangetoond dat ze een 609(e)-zaak helemaal tot een recordboete zal doorzetten.
Uw boeken zijn uw compliance-dossier
Hier is het deel dat uw boekhouding direct raakt: de ophaalkaart hierboven is slechts zo goed als uw onderliggende gegevens. Een 609(e)-verzoek vraagt u elk gegeven te produceren dat een specifieke transactie aantoont — wat betekent dat uw transactiegegevens maanden later doorzoekbaar moeten zijn op order, account, klant en datum. Bedrijven waarvan de boeken een schoenendoos vol uitbetalingen van verwerkers zijn zonder verwijzing naar individuele orders, kunnen niet binnen 30 dagen antwoorden, hoe bereidwillig ze ook zijn.
Dit is een van de stille argumenten om uw eigen grootboek bij te houden in plaats van het dashboard van de verwerker als uw boeken te beschouwen. Wanneer elke verkoop wordt vastgelegd met het ordernummer en het kanaal als metadata, is het opvragen van het volledige dossier van een betwiste transactie één zoekopdracht in plaats van een opgraving. In Beancount doet transactiemetadata precies dit werk:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDMet het ordernummer op zowel de verkoop als de latere chargeback, brengt één zoekopdracht het volledige papieren spoor aan het licht — de verkoop, de terugboeking, de data, de bedragen — binnen enkele seconden. Dat is de vorm die een 609(e)-klaar dossier aanneemt: elke transactie herleidbaar tot het brondocument, elke terugboeking gekoppeld aan het origineel. Als uw huidige boeken dat niet kunnen, is de oplossing een boekhoudproject met een compliance-opbrengst, niet andersom. Lezers die de mechanica willen kennen, vinden de querydocumentatie onder /docs/.
Een andere FCRA-plicht: achtergrondchecks bij personeel
Omdat deze zaak zo vaak verkeerd wordt beschreven, een korte verduidelijking voor werkgevers die achtergrond- of kredietchecks uitvoeren bij sollicitanten: dat is een echte FCRA-plicht, maar ze ligt in een ander deel van de wet en werkt heel anders dan Section 609(e). Volgens de gezamenlijke werkgeversrichtlijnen van de FTC en EEOC moet u, voordat u een rapport opvraagt bij een bedrijf dat achtergrondinformatie verzamelt, de sollicitant een duidelijke schriftelijke kennisgeving geven — in een afzonderlijk document — dat een rapport kan worden opgevraagd, en schriftelijke toestemming verkrijgen. Als u vervolgens een nadelige maatregel neemt op basis van het rapport, zoals het niet aannemen van de sollicitant, moet u eerst een kennisgeving vóór de nadelige maatregel verstrekken met een kopie van het rapport en een samenvatting van de FCRA-rechten, een redelijke periode wachten en vervolgens een definitieve kennisgeving van de nadelige maatregel sturen met de contactgegevens van het rapporterende bedrijf en een verklaring van de betwistingsrechten van de sollicitant.
Twee plichten, één wet, tegengestelde richtingen: Section 609(e) gaat over gegevens die u verstrekt aan fraudeslachtoffers; de werkgeversbepalingen gaan over rapporten die u ontvangt over sollicitanten. Voldoe niet aan de ene door naar de andere te verwijzen.
Fouten om te vermijden
- Het verzoek van een slachtoffer behandelen als een klacht van een klant. Het is een verzoek op grond van federale wet met een termijn van 30 dagen, geen supportticket. Stuur het de dag dat het binnenkomt naar de aangewezen verantwoordelijke.
- Frontlinemedewerkers zelf het antwoord laten improviseren. "We kunnen dat niet delen om privacyredenen" is de natuurlijke reactie en de onrechtmatige. Geef medewerkers een script: bevestig, vraag het verificatiepakket op, noteer de datum.
- Alleen in uw eigen systemen zoeken. Gegevens van verwerkers, platforms en kassasystemen die namens u worden bijgehouden, vallen eronder. Uw ophaalkaart moet ze omvatten.
- Verzoeken van wetshandhaving laten liggen. Een door het slachtoffer aangewezen of gemachtigde instantie treedt in de plaats van het slachtoffer. Hen weigeren is het slachtoffer weigeren.
- Aannemen dat kleine bedrijven zijn vrijgesteld. Niets in Section 609(e) hangt af van de bedrijfsgrootte. De buurtwinkel die kaarten accepteert, heeft dezelfde plicht als de biljoenendollar-retailer — die dit keer degene is die heeft betaald om het te demonstreren.
Uw laatste nuttige stap is een kleine: open een lege pagina, schrijf de zes punten uit de procesrubriek op met de werkelijke namen en adressen van uw bedrijf ingevuld, en bewaar ze waar u ze zult vinden wanneer de envelop arriveert. Dertig dagen beginnen bij ontvangst, en de bedrijven die worstelen zijn nooit degenen die zich hebben voorbereid.
