De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur zijn officieel een onderzoek begonnen naar het datalek bij telecomprovider Odido. De toezichthouders richten zich op mogelijke overtredingen rond de bewaartermijn van klantgegevens en de beveiliging van het klantsysteem.
Te lang bewaren van klantdata onder de loep
De aanleiding voor het onderzoek is een cyberaanval die vorige maand plaatsvond bij Odido. Hierbij werden de persoonlijke gegevens van miljoenen klanten en oud-klanten gestolen. Honderden mensen meldden zich bij de Autoriteit Persoonsgegevens (AP) omdat ze ontdekten dat hun gegevens waren gelekt, terwijl ze al lange tijd geen klant meer waren bij Odido.
Volgens de AVG mogen persoonsgegevens niet langer bewaard worden dan strikt noodzakelijk. De AP onderzoekt nu of Odido zich aan die regel heeft gehouden. Odido beweerde eerder dat data na twee jaar werd verwijderd, maar uit de gelekte dataset blijkt iets anders. Zo stonden ook gegevens van klanten die al jaren weg waren nog in het systeem. RTL bevestigde die bevindingen.
De AP heeft al informatie opgevraagd over de bewaartermijnen bij Odido en besloot na die eerste verkenning om een formeel onderzoek te starten. "Wat er niet is, kan ook niet worden gestolen," zegt AP-vicevoorzitter Monique Verdier over het belang van het onderzoek.
Beveiliging van klantensysteem onder vuur
Niet alleen de bewaartermijnen staan ter discussie. De Rijksinspectie Digitale Infrastructuur (RDI) onderzoekt samen met de AP of Odido de beveiliging van het klantsysteem goed geregeld had. De hackersgroep ShinyHunters wist via een gephisht account toegang te krijgen tot het systeem, dat gebaseerd is op Salesforce.
Daarmee konden ze data van ruim 6,5 miljoen personen en 600.000 bedrijven buitmaken.
De RDI bekijkt of Odido voldeed aan de eisen van de Telecommunicatiewet en de Regeling veiligheid en integriteit telecommunicatie. Al kort nadat het lek bekend werd, begon de inspectie met het verzamelen van feiten rond het incident. De vraag is nu of Odido voldoende maatregelen had genomen om een dergelijke hack te voorkomen.
Dat Odido de hackers geen losgeld betaalde, maakte het lek uiteindelijk openbaar. De aanvallers eisten eerst ongeveer een miljoen euro, maar zakten later naar 500.000 euro. Na weigering publiceerden ze de data in meerdere delen.
Impact en mogelijke sancties
Het datalek veroorzaakte veel maatschappelijke onrust. De AP kreeg een stortvloed aan klachten binnen. Zo veel dat de toezichthouder zelfs mensen opriep om te stoppen met melden, omdat ze de stroom moeilijk aankon. De AP houdt de situatie scherp in de gaten en eist dat Odido klanten zo snel en volledig mogelijk informeert.
Het onderzoek kan resulteren in hoge boetes. De AP kan tot 20 miljoen euro of vier procent van de jaaromzet aan straffen opleggen, afhankelijk van hoe ernstig de overtredingen zijn. Ook andere sancties, zoals een berisping of dwangsom, zijn mogelijk.
De geschiedenis van Odido met privacy en beveiliging speelt mee. Als blijkt dat de telecomprovider al langere tijd de regels overtrad, is een zware boete waarschijnlijker dan een milde waarschuwing.
Wat betekent dit voor Odido en de sector?
Deze zaak legt de focus op hoe telecombedrijven met privacy en cybersecurity omgaan. Het lek laat zien dat zelfs grote spelers kwetsbaar zijn, vooral als phishing hun systemen kan omzeilen.
Klanten leren dat hun gegevens soms langer bewaard worden dan verwacht, wat ze aantrekkelijk maakt voor hackers. Voor de sector is het een waarschuwing om bewaartermijnen strikt te volgen en de beveiliging te verbeteren.
Dat zowel de AP als de RDI samen onderzoeken, valt op. Het incident gaat niet alleen over privacy, maar ook over technische beveiliging en de integriteit van telecommunicatie.
De uitkomsten van het onderzoek zijn nu cruciaal. Odido moet bewijzen dat het de privacy van klanten serieus neemt en zijn systemen beter beschermt tegen hackers.
Related Articles
- DNB kiest Europese Stackit-cloud van Schwarz Digits
- Scanauto’s schrijven jaarlijks een half miljoen onterechte parkeerboetes uit: gemeenten vertrouwen blind op AI
- Drie beveiligingslessen na schietincident in Hilton tijdens Trump‑diner
De AP en RDI houden het onderzoek naar Odido nauwlettend in de gaten, met mogelijk grote gevolgen voor de telecomprovider. Het lek kan een precedent vormen voor strengere controles in de sector.
Dit artikel is gemaakt met behulp van AI.
