Odido houdt na datalek hand op de knip: zeker niet automatisch schadevergoeding

In dit artikel:

Telecomaanbieder Odido is verantwoordelijk voor het tot nu toe grootste bekende datalek in Nederland: van naar schatting 6,2 miljoen (huidige en voormalige) klanten zijn persoonsgegevens buitgemaakt bij een cyberaanval. De gestolen informatie zou ook gegevens betreffen die met identiteitsbewijzen samenhangen, waardoor slachtoffers vrezen voor identiteitsfraude en financiële misbruik.

Odido benadrukt echter dat er geen scans van paspoorten of rijbewijzen ontvreemd zijn en dat volgens het bedrijf alleen beperkte identificatienummers zijn gelekt; inloggegevens van MijnOdido zouden niet getroffen zijn. Die stelligheid staat tegenover reconstructies van media (o.a. NOS en NRC) waaruit blijkt dat aanvallers langere tijd data uit systemen konden halen. Of die periode van datadiefstal neerkomt op nalatigheid van Odido en daarmee op een schending van de AVG, moet nog blijken na onderzoek.

Sommige getroffenen hebben uit voorzorg een nieuw identiteitsdocument aangevraagd en willen de kosten (ruim €50) op Odido verhalen. De provider wijst zulke claims af: als er geen scans zijn gelekt, ziet zij geen grond voor vergoeding. Algemeen recht op schadevergoeding is bovendien lastig te winnen; onder de AVG is een datalek op zich nog geen bewijs van aansprakelijkheid — daarvoor moet worden aangetoond dat de leverancier tekort is geschoten in de beveiliging.

Een extra risico ontstaat als de gestolen data op het dark web te koop wordt aangeboden. Dergelijke openbaarmaking kan onder bepaalde omstandigheden leiden tot verplichte schadevergoedingen zonder dat individuele schade bewezen hoeft te worden; verwijzingen naar een uitspraak van de Duitse hoogste rechter worden genoemd, maar of die jurisprudentie in Nederland navolging krijgt, is onduidelijk.

Het artikel waarschuwt verder voor voorbarige oproepen op sociale media om massale claims te starten — zulke acties zijn prematuur zolang nalatigheid niet is aangetoond — en geeft praktische adviezen: wees extra alert op phishing via e-mail, sms en telefoontjes; klik niet op verdachte links; stop verdachte gesprekken; neem bij onduidelijkheid zelf contact op met de betrokken instelling en controleer bankafschriften op onbekende incasso’s. Klanten melden ook een toename van nep‑mails sinds kort, maar een directe koppeling met het Odido‑datalek is nog niet vastgesteld.