Odido waarschuwt klanten: reken niet op automatische compensatie voor datalek

Odido waarschuwt klanten dat ze geen automatisch recht op compensatie hebben naar aanleiding van het datalek eerder deze week. Het bedrijf zegt dat criminelen in de praktijk niet automatisch identiteitsfraude kunnen plegen met de gestolen data. Ook denkt Odido niet dat schade door phishing kan zijn ontstaan door het datalek.

Dat schrijft Odido in een bijgewerkte pagina met informatie over het datalek dat eerder deze week plaatsvond. In de FAQ heeft Odido nu twee vragen en antwoorden opgenomen waarin wordt verwezen naar compensatie, of beter gezegd, hoe klanten daar in de praktijk niet op hoeven te rekenen. In een van die vragen wordt bovendien verwezen naar 'experts op Tweakers', al is onduidelijk waar die claim vandaan komt. De redactie van Tweakers heeft nog geen experts bevraagd over compensatie, al wordt er in de reacties onder het nieuws en op het forum wel door gebruikers onderling over compensatie gediscussieerd.

"Ik zie adviezen van cybersecurityexperts dat ik recht heb op compensatie (bv. Tweakers). Ik wil die compensatie nu graag krijgen. Wat is jullie compensatiebeleid?" schrijft Odido. Daar antwoordt de provider zelf op. "Een datalek geeft geen automatisch recht op compensatie. Onze inspanningen zijn er momenteel op gericht om juist te voorkomen dat klanten op enige manier schade zouden ondervinden als gevolg van dit incident. We hebben klanten proactief geïnformeerd zodat zij extra alert kunnen zijn op eventueel verdachte signalen."

Extra controles nodig voor identiteitsfraude

Odido verwijst daarbij ook naar een advies van het Centraal Meldpunt Identiteitsfraude. Dat is onderdeel van de Rijksdienst voor Identiteitsgegevens. De instantie waarschuwt voor met name het risico op gerichte phishingaanvallen, maar zegt ook dat het met de gelekte gegevens van Odido 'niet zomaar een lening, bankrekening of telefoonabonnement kan worden afgesloten'. "Ook kan er geen nieuw identiteitsdocument mee worden aangevraagd. Daarvoor zijn extra controles nodig, zoals een fysiek identiteitsdocument, je DigiD of de inloggegevens van je bank." Tegelijkertijd waarschuwt de instantie ook dat sommige instanties niet altijd om die extra controles vragen. "Er bestaat daarom een risico dat wanneer zulke controles niet (zorgvuldig) worden uitgevoerd, gegevens toch misbruikt kunnen worden."

Ook klanten die denken dat ze gephisht zijn en daardoor schade hebben ondervonden, krijgen nul op het rekest. Dat schrijft Odido als antwoord op de vraag: "Ik heb schade door een incident, bijvoorbeeld door phishing. En ik heb hier concreet bewijs van. Kunnen jullie mij helpen dit ongedaan te maken? En kan ik compensatie krijgen?"

Odido antwoordt daarop: "Vervelend om te horen dat je kennelijk schade hebt ondervonden door een incident. Op grond van de op dit moment bij Odido beschikbare informatie hebben we nog geen aanleiding om te denken dat de eventuele schade het gevolg is van het datalek bij Odido. Voor zover je door Odido bent geïnformeerd over het datalek, verwijzen we je graag naar deze informatiepagina voor alle tips die we op dit moment geven aan onze klanten."

Reacties (223)

[dev-random]

Ik blijf me verbazen over de mensen die dit datalek (ook hier op Tweakers) goed blijven praten.

"Je kunt het nooit 100% veilig krijgen",

"Dit kan de beste gebeuren",

"Iets met de zwakste schakel",

En andere BS.

Als we hier maatschappelijk niet zwaarder aan gaan tillen gaat er nooit iets veranderen.

Het gaat tot nu toe vooral over individuele schade, de meest vervelende soort. Maar dit heeft natuurlijk ook impact op de bedrijven waar criminelen frauderen met de gestolen identiteiten. Wat zouden de totale maatschappelijke kosten van deze blunder kunnen zijn?

[Reactie gewijzigd door dev-random op 15 februari 2026 10:28]

[Rogf]

Ik verbaas mij over mensen die denken dat 100% veilig bestaat voor zaken die met het internet zijn verbonden.

Leer er maar mee leven dat er altijd slimmeriken zijn die om de beveiliging heen werkt.

Meestal mogelijk door menselijk falen

[dev-random]

Je mist het punt, men gebruikt het als excuus voor wat er gebeurt is. Informatie beveiliging is geen binaire ding dat wel of niet goed zit. Het zijn de juiste mensen, die de juiste processen volgen, ondersteund door de juiste techniek.


Als Odido hier niet over beschikt denk ik niet dat ze de verantwoordelijkheid over 6+ miljoen persoonsgegevens hadden mogen dragen.

Als Odido hier wél over beschikt heeft er ergens in de keten iemand onverantwoorde risico's geaccepteerd.

In beide situaties mogen er van mij consequenties aan verbonden zijn voor de eindverantwoordelijke(n).

[Rogf]

Je mist mijn punt.Er werken grofweg 2000 mensen bij odido.

Ik weet niet wat voor werk jezelf doet.

Maar in mijn organisatie hebben we veel aandacht voor phishing mails.Worden we doorlopend op getest.Ook elk jaar instructie cursussen over te volgen protocollen.Maar je hoeft je geen illusie te maken.Het zal heus nog wel een keer zo zijn dat een medewerker zich niet aan de instructies houd.

[punishedbrains]

Er zijn tal van andere oplossingen te bedenken waarbij je niet overal apart ale je data steeds hoeft neer te leggen bijv. Echt een beetje oplossings-gericht denken is niet aan de orde soms heb ik het idee (oftewel, zal teveel geld en moeite kosten).

[SirMemeAlot]

Er is een heeel groot gat tussen 100% veilig en verstandig om gaan met data. Met jouw retoriek kunnen we net zo goed allemaal in een post hier al onze gegevens delen, dan hebben de hackers ook geen werk meer en is het probleem opgelost.

Je moet zorgen door goed om te gaan met data dat lekken zo minimaal mogelijk zijn en daar zijn hier zeker lessen uit te trekken.

[tedades]

Als bedrijf maak je toch zelf de keuze verantwoordelijke te zijn voor de gegevens die je wilt gaan verwerken van je klanten. Als klant bij Odido krijg ik niet de optie om minder gegevens te delen voor het afnemen van een service. Dan moet je als consument er dus op vertrouwen dat het bedrijf er alles aan doet om jouw gegevens veilig te bewaren. En vanzelfsprekend bestaat er altijd een kans dat er wel iets mis gaat. Het is de reactie daarop die niet consistent is voor mijn gevoel.

Neem bijvoorbeeld iemand die met zijn auto betrokken raakt in een ongeluk met een fietser of voetganger. Daar zeggen we: als bestuurder van een auto maak je de keuze om de verantwoordelijkheid van eventuele ongelukken op je te nemen met andere verkeersdeelnemers uit een lagere klasse (fietsers, brommers, voetgangers). Ook al was die andere persoon de veroorzaker. Want jij maakt die keuze zodra je die auto gaat besturen.

Waarom is die logica er wel voor iemand die in een auto gaat rijden, dat je verantwoordelijk bent voor eventuele schade die je daarmee veroorzaakt, maar niet voor een bedrijf die de verantwoordelijkheid neemt over het veilig houden van klantgegevens?

Odido had ook een verzekering kunnen nemen voor de eventuele schade die er zou zijn bij een hack waarmee ze hun klanten kunnen compenseren. Net zoals bestuurders van een auto zo'n verzekering hebben. Zodra je dat niet doet moet je de schade zelf betalen.

[Devian]

Was het niet vorig jaar dat de eigenaar van Have I Been Pownd in een phishing mail getrapt was?

Dat zegt toch voldoende?

[alka]

Helemaal mee eens. Laat men eerst eens beginnen met het bedrijf te verplichten compensatie te betalen aan gedupeerden en daarnaast een miljoenenboete te geven omdat het bedrijf zijn zaken niet goed op orde had

[YGDRASSIL]

Banken worden ook van fysiek geld beroofd door ingenieus gegraven gangen en weet ik wat. Als ze alles op orde hebben is dat ook niet opeens hun schuld. Als Odido alles op orde had qua cybersecurity vind ik het wat anders dan als alles zo lek was dat elke scriptkiddie er bij kon.

[ro8in]

Er zou echt een wet moeten komen voor dit dat je per defintie automatisch wel recht hebt op compensatie. Providers hanteren bijna gevoeligere gegevens dan banken zelf en toch gooien ze elke keer weer er met de pet naar. Er wordt gewoon gerommeld en het intresseert ze totaal niets. Het is niet de eerste keer en of de laatste keer dat dit gebeurt. Ik ben er wel een beetje klaar mee. En ja je kan er 100 procent garantie op hebben dat de komende tijd je weer gebombadeerd gaat worden met rare mails, telefoontjes en smsjes. En je moet maar gewoon beter opletten vind Odido. Wel prachtig hoe een bedrijf jou even gaat vertellen dat je beter moet opletten wie zojuist net alle gegevens heeft laten lekken. Het is te belachelijk voor woorden. Laat die aandeelhouders maar even in hun zakken graaien eens een keer, ja jammer voor ze, maar dat is het risico van investeren in bedrijven.

[The Chosen One]

Kosten vergoeden van aanvragen nieuw paspoort etc.

[Sleurhutje]

Waarom een nieuw paspoort/ID-kaart? Ze hebben alleen het nummer van het paspoort/de ID-kaart. Daar kun je niets mee. Ze hebben geen BSN en geen foto, die zijn afgeschermd bij het maken van de kopie. Ze hebben ook adres gegevens, dus ook maar een ander huis?

[provista30]

Ze hebben helemaal het paspoort of ID kaart nummer niet buit gemaakt en WEL het BSN. Dus geen informatie geven hier als je niet weet waar je over praat. Je creëert alleen maar onrust hiermee.


Om welke informatie gaat het?

Onderzoek tot nu toe laat zien dat de gelekte informatie mogelijk het volgende bevat:

• Je volledige naam
• Je klantnummer
• Je adres en woonplaats
• Je telefoonnummer
• Je e-mailadres
• Je IBAN (rekeningnummer)
• Je geboortedatum

Wat niet is gelekt:

• Identificatiegegevens: nummer en geldigheid van je paspoort of rijbewijs
• Je wachtwoord van ‘Mijn Odido’
• Je belgegevens – gegevens over wie je hebt gebeld of wanneer
• Je locatiegegevens – waar je was
• Je factuurgegevens
• Scans van identiteitsbewijzen

[marsian]

Dat is per persoon verschillend, in mijn mail stond:

Onderzoek tot nu toe laat zien dat de gelekte informatie mogelijk het volgende bevat:

• Je volledige naam
• Je klantnummer
• Je adres en woonplaats
• Je telefoonnummer
• Je e-mailadres
• Je IBAN (rekeningnummer)
• Je geboortedatum
• Identificatiegegevens: nummer en geldigheid van je paspoort of rijbewijs

Wat niet is gelekt:

• Je wachtwoord van ‘Mijn Odido’
• Je belgegevens – gegevens over wie je hebt gebeld of wanneer
• Je locatiegegevens – waar je was
• Je factuurgegevens
• Scans van identiteitsbewijzen

[Tweakez]

En ik heb een mail ontvangen dat identificatiegegevens dus WEL onder het "wat is gelekt" valt. Dus ze hebben zelfs in kaart welke groep wel en welke groep niet :)

[HeelErgEdwin]

Bij sommige mensen wel.

[badillus]

odido spreekt zichzelf tegen...

op hun website odido/veiligheid staat juist dat "Identificatiegegevens: nummer en geldigheid van je paspoort of rijbewijs" WEL gelekt zijn.

[Sleurhutje]

Het nummer van je identificatiebewijs is iest anders dan je BSN. Elk identitetsbewijs heeft ook een nummer, een combinatie van diverse gegevens en controlegetallen wat uiteindelijk het nummer oplevert. Dat nummer is waardeloos om iets mee te kunnen doen, maar Odido of welke andere partij dan ook kan bij geschillen wel aantonen dat jij je gelegitemeerd hebt.

[Rogers]

Voor zo ver ik weet is er niks afgeschermd bij de Mediamarkt toen ze de kopie maakte van mijn ID.

[HKLM_]

Waarom maakt de Mediamarkt een kopie van je ID?

[Rogers]

Dat is een vereiste van Odido voor het afsluiten van een mobiel abbonement.

[Jensw19]

Nee, alleen documentnummer en geldigheidsdatum, niet je hele ID kaart, in dit geval vind ik het slecht van MediaMarkt..

[Rogers]

Ze maken een foto van het ID voor het systeem van Odido.

[Sleurhutje]

Als het goed is dan schermen ze foto en BSN af, en laten ze je dat ook zien op het scherm. Dat is in ieder geval de procedure. Er is geen enkele reden om alle gegevens te kopiëren en je zou dat ook moeten weigeren.

[robertwebbe]

Ze hebben daar van die privacy mallen voor. Daar doe je de id in en worden bepaalde zaken zwart afgedekt. Die zouden ze standaard moeten gebruiken. Maar ja, misschien was die even kwijt op die dag.

[Rogers]

Die hebben ze niet gebruikt.

[The Chosen One]

Gaat over algemeen, niet perse dit geval. En logischerwijs is een paspoort vervangen praktischer dan een huis. En is ook makkelijker te misbruiken. En een huisadres kunnen ze in theorie zonder datalek ook al gebruiken.

[Reactie gewijzigd door The Chosen One op 15 februari 2026 10:35]

[nnndoh]

BSN nummer staat op ieder blauw envelope die je ontvangt. die zouden ze ook kunnen onderscheppen met jouw adres

[Jerie]

Goed punt dat ga ik binnenkort doen. Ik moet mijn paspoort toch eind dit jaar vervangen. Dat kan ik nu wel wat vooruit schuiven. Binnenkort naar de kapper!

[punishedbrains]

Wat zou moeten gebeuren is dat geen enkel bedrijf, behalve misschien overheids-diensten (waar ook genoeg fout is) uberhaupt deze gegevens opslaat of nodig heeft. Er zou gewoon een gestandaardiseerde controler moeten plaatsvinden bij afsluiten van iets, waarbij een vertrouwde (I know tricky) dienst zegt "groen!" of "rood!" en dat zou voldoende moeten zijn.

[La1974]

Zoiets als Itsme bedoel je?

Lijkt me een goede stap ja.

[robertwebbe]

Daar hebben we in Nederland toch al iDIN voor?

[nervwrecker]

Helemaal eens, ik vraag me of er een provider is die dit echt beter aanpakt een KPN ofzo bijvoorbeeld, ik zou dan zeker wel overwegen om over te stappen en zelfs meer te betalen als ik weet dat mijn gegevens beter beveiligd worden.

[jp]

Ik weet dat vroeger xs4all wel je naam, maar niet je geslacht opsloeg omdat ze dat niet nodig hadden voor hun administratieve verwerking. Post was dus altijd gericht aan Dhr/Mw Achternaam.


Eeuwig zonde dat ze opgeslokt werden.

[Marctraider]

Ja hoor, net als die mooie wet een duppie per dag dat je internet eruit ligt. In de praktijk betekend dat 0 euro, zeker als je te maken hebt met stoplicht internet.

(wat vooral voorkomt bij oude technologie zoals DSL of Coax)

#NietWerkendeWetgeving

[Reactie gewijzigd door Marctraider op 15 februari 2026 11:36]

[HooksForFeet]

“We vinden het allemaal heel erg voor onze klanten die onze topprioriteit zijn, maar ook weer niet zó erg.”

[Recursio]

De mails van Odido die ik tot nu toe gezien heb waren volledig vanuit henzelf geredeneerd, en gericht op de eigen schade beperken. Geen enkele vorm van empathy richting / voor klanten gezien. Dit bericht borduurt verder op die Odido-strategie.

[huntedjohan]

het viel me zelfs op dat het mailtje wat mijn vrouw kreeg, geeneens een persoonlijke aanhef had. misschien ligt het aan mij, maar als je klant op deze manier een mogelijk probleem kan hebben, dan had ik toch echt wel even moeite genomen om die mail oprecht over te laten komen, en geen algemene aanhef.

[willieverhoef]

Hà natuurlijk niet alle persoonlijke gegevens waren gestolen 😇

[rob12424]

Ligt er ook aan hoe die aanhef er komt. Soms is er een algemene tool voor die uit het klantenbestand. De klant naam plukt en deze er automatisch boven zet.


In de huidige situatie zou ik als Odido was die tool voor de zekerheid op het moment uitschakelen.

[Tomramaker]

Ik heb zelf nog helemaal geen mal gehad. Klant geweest met huis aansluiting en al jaren mobiele klant. Geen idee, ga er wel van uit, of ze gelekt zijn.

[silverchaoz]

"Lullig dat het gebeurt is, maar boeie, onze aandeelhouders zijn belangrijker"

[Mushroomician]

En ze hadden de beursgang net voor de publicatie uitgesteld op 11 februari.
nieuws: Reuters: Odido stelt beursgang uit na negatieve signalen

[Reactie gewijzigd door Mushroomician op 15 februari 2026 10:46]

[Jerie]

Ja, dat viel me ook op, helaas wilde de redactie daar in hun bericht van 12 feb niet aan refereren, terwijl dat m.i. wel degelijk met elkaar in verband lijkt te staan (voldoende aannemelijk om te vermelden, bovendien is het gerelateerd aan het bedrijf).

In de nacht van 7 op 8 Feb heeft 'de hack' plaatsgevonden. Wat gek is want de 2FA code moet eerder zijn ontfutseld. Immers zoiets werkt maar tijdelijk (in geval van TOTP). Ook dat ze er niet zeker van zijn of en zo ja, welke data er is gelekt. Hebben ze geen fatsoenlijke logging of zo? Het betreft toch het account van één medewerker? Je wilt toch weten welke medewerker welke records raadpleegt? Moet je dat niet loggen vanwege ISO27k1?

Er zijn wat mij betreft te veel vraagtekens die ik zet bij dit bedrijf. En dat begint al bij het feit dat ze nog steeds geen IPv6 hebben uitgerold. Ik zou graag weg willen (naar KPN, niet Vodafone) maar die vind ik nogal duur. Letterlijk 2 keer zo duur als mijn huidige mobiel abonnement bij Odido.

[AOC]

En tegelijkertijd de beursgang even op on-hold gezet ivm 'negatieve signalen'

nieuws: Reuters: Odido stelt beursgang uit na negatieve signalen

[familyman]

Nog los daarvan dat uw data gestolen is, terwijl u al meer dan 10 jaar geen zaken met ons doet en wij ze dus al lang verwijderd hadden moeten hebben.

Ik zit ernstig te denken of ik daar melding van moet maken.

[redslow]

Het zijn niet alleen de klanten maar ook oud klanten die zijn getroffen.

Tijd dat dit in de wet word verankerd en dat er gewoon standaard schadevergoedingen plus eventuele nevenschade worden uitgekeerd. Dit is de enige manier om bedrijven verantwoordelijk te maken.

[TheDudez]

Ze vinden het niet erg. Want het had makkelijk voorkomen kunnen worden met 2factor authicatie. Dit is gewoon laksheid.

[lometje]

Wat ik las zijn 2fa codes met social engineering achterhaald. Dus het was er wel... Helaas, maar "Rietje" dacht dat ze echt iemand sprak van de IT afdeling.

*Rietje is in dit geval een fictieve naam 😁

[Zorg]

Rietje haar gegevens zijn gewoon bekend en allemaal opvraagbaar. Rietje was zelf namelijk ook klant bij odido
je leest gewoon dat dit is opgemaakt door juristen met maar één doel, schade minimaliseren voor odido!

En welke straf krijgen ze voor dit alles? Niks denk ik. Ze zullen zich juridisch vast wel hebben ingedekt door alle werknemers een phishing fimpje te hebben laten zien en een paar simpele vragen te stellen met een minimale score van 70% binnen 20 pogingen te behalen ofzo.... spijtig gewoon standaard.

[NeuroTechie]

Perfect voorbeeld van iemand die niks heeft gelezen van dit onderwerp maar alsnog gaat reageren

[nemsiz]

Schuif de ‘schuld’ maar door… Je hoort iets, controleert het niet en herhaalt het vervolgens? Ik ben benieuwd waar precies werd beweerd dat 2FA niet geactiveerd was. Want ik kan dat nergens terugvinden…

[Marctraider]

Ze vinden het gewoon niet erg.

Alleen bad publicity vinden ze erg. Dit noemen ze in Nederland ook wel een bedrijf, of onderneming. Vaak met winst als oogmerk.

Snappie?

[Reactie gewijzigd door Marctraider op 15 februari 2026 11:34]

[joverb]

Odido heeft geen ethisch geweten klaarblijkelijk. Empathie o.o heel veel mensen zullen heel veel stress hebben omdat alle gegevens op straat liggen en niet kunnen slapen. Vooral de scan paspoort gegevens is levensgevaarlijk BSN nummer hebben ze ook. Identiteirsfraude dan heb je echt geen leven meer. Een x iemand ontmoet die dit meemaakte je raakt alles kwijt. Ja en niemand die je verder kan helpen, nieuw bsn nummer krijg je niet. 6 miljoen mensen zometeen ziek van de stress, kan er ook nog een hartaanval van krijgen etc. Dank je wel Odido voor de bescherming!!! En dank je wel dat wij geen nieuw paspoort krijgen in zo n levensgevaarlijke situatie!!!!!

[Frits1980]

Ik vind dat Odido de zaak best makkelijk bagatelliseert. Identiteitsfraude hoeft niet te gebeuren, dat klopt. Maar mijn ID nummer ivm met de rest van de gegevens hebben ze niet voor niets buitgemaakt. De intentie van de hackers mag dan misschien niet bij fraude / misbruik van mijn gegevens liggen. Maar nu dat mijn gegevens dus op straat liggen (dankzij onkunde van Odido) moet ik er dus vanaf nu wel vanuit gaan dat het dus wel elk moment kan gebeuren.

in hun brief plaatsten ze ook de zin “Helaas komen cyberincidenten zoals deze steeds vaker voor en is geen enkele organisatie immuun.” Dat mag zo zijn, maar om dat nu direct in je eerste brief te communiceren vind ik een beetje laf. Daarnaast is later gebleken dat de manier waarop het fout is gegaan ook best wel algemeen bekend is en daarom had ik ook verwacht dat een organisatie als Odido hierop wel voldoende zou zijn voorbereidt.

Maar nogmaals, dit is mijn mening.

[Thalaron]

Em wat ik vooral bijzonder vond, is de hoebeelheid data die gelekt is. Dat ook allemaal in plain tekst en niet encrypted zover ik begrijp?…

ik werk bij een bedrijf waarbij klanten die bellen zich moeten identificeren middels een ID-check. Bijvoorbeeld een combinatie van postcode/ huisnummer, geboortedatum, e-mail adres, laatste 3 cijfers rekeningnummer, telfoonnummer dat opgegeven is (als ze daar niet al mee bellen).


Het énige dat hier niet is gelekt dat wij kunnen vragen zo ongeveer, zijn gegevens van ons eigen product, eventueel anderen op diens polis en het polisnummer…

Nu kan er verder niet heel veel dramatisch gebeuren met de informatie die ik kan verstrekken verder, gelet op andere checks wanneer iemand iets wil afkopen, maar er zullen vast klanten zijn die zich daar wél zorgen over maken.

[La1974]

Volgens mij is het via webscraping gedaan. Dat verklaard waarom het niet encrypted is.


Wel vreemd dat het systeem niet signaleerde dat er in korte tijd zoveel klanten werden geraadpleegd.

[downtime]

Naar ik begreep weet Odido niet eens hoeveel er gelekt is. Totdat de datasets op het Darkweb verschijnen weten we niet of er van die 6 miljoen klanten honderden, duizenden of miljoenen getroffen zijn.

[Alfa1970]

Ik ben benieuwd of een rechter het eens zal zijn met deze uitspraak van Odido.
Het is heel duidelijk dat dit een uitspraak is om schade claims te voorkomen.
Maar of ze juridisch gezien ook een poot om op te staan hebben is nog maar zeer de vraag.

Ik vraag mij ook ten zeerste af hoe Odido mij een e-mail gaat sturen, ze hebben hun e-mail dienst meerdere jaren geleden, net na de overname, opgeheven vanwege bezuinigingen.

En, en ondanks hun mooie stukje op hun website staat er een feitelijke onjuistheid op hun website aangaande deze hack:

We hebben klanten proactief geïnformeerd zodat zij extra alert kunnen zijn op eventueel verdachte signalen.

Zij hebben niemand proactief geïnformeerd, zij waren reactief, pas 5 dagen na de eerste indicatie is er een melding gedaan bij de AVG, en nog later dan dat is die website in de lucht gegooid met deze teksten.

Dit soort uitspraken van bedrijven zijn bedoeld om mensen in slaap te sussen en ervoor te zorgen dat er zo min mogelijk claims worden ingediend. Odido is wel degelijk juridisch aansprakelijk te stellen voor alle schade die aantoonbaar het gevolg is van misbruik van data uit dit incident.

Aangezien bij eigen admissie dat de eerste signalen van misbruik zijn ontdekt op 7 februari, en de meldplicht bij de AVG op maximaal 72 uur staat én het feit dat de feitelijke melding pas gedaan is op 12 februari, vraag ik mij af of Odido op welke wijze dan ook een juridische poot om op te staan heeft om schadeclaims te voorkomen door het soort uitspraken dat zij op hun website hebben gezet.
Ik ben geen advocaat en dit is geen juridisch advies, maar een uitspraak als "wij hebben u proactief geïnformeerd" is aantoonbaar onjuist zelfs met de teksten uit hun eigen schrijven. Ze waren reactief, en ze hebben 5 dagen gewacht en dat is zwart op wit te lezen.

[TijsZonderH]

FAQ met Tijs Hofmans:

Q: In dit artikel staat: "De redactie van Tweakers heeft NOG geen experts bevraagd over compensatie." Komt dat nog?

A: Ja, dat lijkt me een interessant artikel!

[Floort]

Neem dan ook graag wat context mee over de AP die mensen lijkt te pushen om schadeclaims in te dienen. Ze plaatsen er na kritiek tegenwoordig wel nuance bij. Maar als je ook de AP erover bevraagd zou ik wel willen weten waarom ze de druk op de verwerkingsverantwoordelijken die wel transparant zijn over een lek willen vergroten door schadeclaims, maar niet zichtbaar handhaven op de verwerkingsverantwoordelijken die lekken en dit onrechtmatig geheim houden voor betrokkenen.

edit:
Wat achtergrond over mijn opmerking hier https://www.computable.nl...erhaal-schade-na-datalek/

[Reactie gewijzigd door Floort op 15 februari 2026 09:47]

[cmegens]

Vraag dan ook meteen waarom zij deze gegevens zo lang bewaarden. Welk nut heeft het om deze gevoelige gegevens te bewaren van je abonnees nadat ze een contract met je zijn aangegaan, jij ze gescreend hebt en het contract is gesloten? Dan kan dat toch prima daarna verwijderd worden? Niets staan dan toch een werkende levering van het abonnement meer in de weg wanneer je deze gegevens niet meer hebt?

Je kunt de klant een token geven welke jij ook bewaard. Als ze moeten bewijzen dat ze een abo hebben bij jou is dat token genoeg!

[frisbie]

Helemaal eens

Mijn partner is al zo'n 8 jaar weg bij odido en kreeg ook nog een mail (tmobile)

Hebben ze nog nooit van bewaartermijnen gehoord?

In mijn ogen worden de AVG regels daar aan de laars gelapt

[loki504]

die zou volgens hun mail al lang geen gegevens meer moeten hebben...

Tot 2 jaar na beeindiging van het contract en overstap naar een andere aanbieder jouw contactgegevens. Omdat jij minder dan 2 jaar geleden overgestapt bent, stonden jouw gegevens nog in het systeem en daarom heb je email ontvangen.

Nu vind ik 2 jaar niet extreem lang. maar 8 jaar is wel andere koek ja.....

[Bass500]

Ik zat lang geleden bij Tele2 en heb deze e-mail ook gekregen. Inclusief het "2 jaar" verhaal, terwijl ik veel langer dan 2 jaar geleden bij Tele2 zat.

[loki504]

Dan klopt daar inderdaad geen snars van.... mooie puinhoop is het daar...

[Minoesh]

Als dit echt het geval is wil ik jou/ jullie aanmoedigen hier officieel een klacht over in te dienen bij de correcte instantie (AP?). Dat is wel iets wat onderzocht dient te worden vind ik.

[TijsZonderH]

Ja dat vraag ik me ook wel af... Ze zeggen zelf dit:

Om fraude te voorkomen bij het bij het afsluiten van een mobiel abonnement controleren we altijd je identiteit en registreren we daarom het nummer van je identiteitsbewijs. Zo weten we zeker dat jij degene bent die het abonnement afsluit en kunnen we aantonen dat jij het was. Op deze manier voorkomen we ook dat contracten, abonnementen of telefoontoestellen bij de verkeerde persoon terechtkomen. Wanneer je een toestelkrediet hebt afgesloten bij Odido Finance, is Odido wettelijk verplicht je identiteit te controleren. Het nummer van het identiteitsbewijs waarmee je je hebt geïdentificeerd, moeten wij vastleggen en bewaren tot 5 jaar na afloop van je toestelkrediet.

Maar ja, dat is geen antwoord op de vraag.

[Heedless]

Je zou denken dat ze op een gegeven moment nadat een abbo afgelopen is je persoonlijke data kunnen hashen, dat opslaan en de rest deleten. Mocht je dan nog iets van ze willen dan kan je die info geven, zij hashen het opnieuw en zien dat je inderdaad klant bent geweest. Maar als die hash gestolen wordt is er niets uit te halen voor de dieven.

[TijsZonderH]

Eens, ik vind het ook wel raar dat ze een FAQ doen waarbij ze geen A op een van de Q's doen, want hier staat nergens waaróm ze het dan zo lang bewaren...

[Aldy]

Hadden jullie niet als kop kunnen gebruiken:

"Odido laat massaal hun (ex) klanten in de stront zakken"?

Deze reactie heb ik bewust niet in de GR geplaatst omdat dit geen correctie of aanval op de redactie is, maar op de manier waarop Odido met haar (ex) klanten omgaat.

[Sleurhutje]

Veel klanten hebben niet alleen een abonnement, maar ook een toestel. En voor dat toestel wordt een lening afgesloten. En voor die overeenkomst geldt een veel langere bewaarplicht, minimaal 7 jaar.

[Barfman]

Het kan nog gekker, ze zijn verplicht om alle data van klanten 2 jaar te bewaren ondanks dat je geen klant meer bent. Ik was 1 1/2 jaar geleden klant, en kreeg dus ook een mail.

[R4gnax]

Dan hoop ik dat ook de recente uitspraak van 4 september 2025 van de Vierde Kamer v/h Europees Hooggerechtshof ter sprake komt:

https://infocuria.curia.e...=first&part=1&cid=3394677

Dit is een uitspraak van de ECJ inzake prejudiciële vragen ter verduidelijking van de AVG/GDPR, en daarmee dus binded voor alle lagere Europese hoven.

En hierin wordt expliciet door het Hof de conclusie getrokken dat in de kwestie schadevergoeding voor immateriële schade onder de AVG/GDPR, het begrip immateriële schade ook vrees voor misbruik of ergernis omvat. En dat bij de beoordeling voor het toekennen van deze schadevergoeding de daadwerkelijke mate van schuld van de verwerkingsverantwoordelijke buiten beschouwing dient te worden gelaten.

Dit betekent voor zover ik kan beoordelen (IANAL - zeggen ze dan) dus ook dat je niet hoeft te bewijzen materiële schade te hebben geleden. Enkel het feit dat je na de berichtgeving van dit lek bij Odido met een bult stress zit - zou al voldoende moeten zijn.

[Reactie gewijzigd door R4gnax op 15 februari 2026 11:00]

[mkef]

Ook al ik maar kort abonnement geweest, vind ik dit wel een ramp in wording.


Hopelijk komt er een collectieve claim, die gaan zorgen dat Odido op zijn minst paspoort, identiteitsbewijs of rijbewijs vergoed bij vervanging.

[SunnieNL]

Daar heb je totaal niets aan om die te vervangen. Ze hebben immers alleen het nummer van de ID gelekt en daar sluit je idd helemaal niets mee af. Daarnaast lost het vervangen van je ID het grootste probleem niet op. Met de gegevens die zijn buitgemaakt kun je je voordoen als bankmedewerker, kun je andere bedrijven bellen en je voordoen als jouw.
Heb jij ooit een bedrijf gebeld waarbij ze je vroegen om je ID nummer door te geven ter verificatie? Nee dat is altijd postcode, geboortedatum, laatste x cijfers bankrekening.

Compensatie heb je niets aan. Vervangen van je ID ook niet. Wat wel zou kunnen helpen is een verzekering die je meehelpt als je last krijgt van het datalek. Die je helpt met de juridische gevolgen als iemand de gegevens misbruikt om je voor te doen als jezelf of als je per ongeluk in phishing of een telefoontje trapt.

[mfkne]

Odido beperkt zijn verantwoordelijkheid in de algemene voorwaarden tot maximaal 500 EUR per klant per gebeurtenis maar maximaal 225.000 EUR bij meerdere getroffen klanten.

Aangezien er sprake is van 6,2 miljoen klanten heeft iedereen dus maximaal recht op 3 cent compensatie.


Bron: Artikel 12 uit https://assets.odido.nl/x/5beeab7baf/20241014-algemene-voorwaarden-abonnee-consument.pdf

[Thekilldevilhil]

Tjah, je kan alles in je algemene voorwaarde zeggen. De vraag is of het wettelijk ook juist is om je verantwoordelijkheid weg te schuiven. We gaan het zien, ik ga in ieder geval compensatie eisen...

[Dragonheart-03]

Als iemand met ervaring in AVG zaken - tot aan bij de rvs aan toe - ik zou de jurisprudentie van het Hof van de afgelopen jaren er eens op naslaan, wat is nl je exacte schade die je in NL dient te kunnen opbouwen via een onrechtmatige daad constructie.
Je zult de schade voldoende moeten onderbouwen om bij de rechter gelijk te halen. En stel dat je de schade eerst schikt voor 500 euro - ik noem maar iets onder stilzwijgen (en sluitend) - stel dat dat gebeurt en over 5 jaar gebeurt er daadwerkelijk iets waar je flink veel last van hebt (met feitelijke schade groter dan 50k) , wat ga je dan doen. Je hebt immers reeds geschikt.
Ik zou compensatie verzoeken en onderbouwen en dan naar de rechter gaan (in plv eisen).
M.a.w. gaat het je om het principe of om de feitelijke praktijk.

[Floort]

Aanvullend: onder artikel 82 AVG zal je ook moeten onderbouwen dat de schade is veroorzaakt als gevolg van een overtreding van de AVG. Gehackt worden is op zichzelf geen overtreding. De overtreding van de AVG is als individu lastiger te bewijzen dan de schade. Ik heb voor dit incident nog niet eens goed onderbouwde claims gezien van overtredingen van de AVG.

[Arunia]

Niemand gaat hard kunnen maken hoeveel schade ze hebben of gaan hebben hierdoor.
Heb mijn schoonmoeder gewaarschuwd voor spam berichten, telefoontjes en mails. Want dat is de schade die je uiteindelijk gaat krijgen. Dat je bovenstaande met zekerheid naar je toe krijgt. Trap je erin, dan is dat je schade, maar dat ga je van Odido waarschijnlijk nooit terug krijgen omdat je er zelf in bent getrapt.

[chrisboers]

Probleem is dat je dan wel hard moet kunnen maken dat je ook echt schade hebt gehad. Een juridisch grijs gebied, want dan begeeft je je in 'verlies van zelfbeschikking over persoonlijke data' en dergelijke. Niet elke rechter gaat daar in mee.

[THETCR]

Het openbaar maken van je privégegevens is volgens de rechtbank al een vorm van schade. Kijk bijvoorbeeld naar eerdere incidenten omtrent doxing.

[Jimster]

Maar hoe ga je bewijzen dat jouw gegevens zijn gelekt? Zelfs Odido weet niet van welke klanten de gegevens gelekt zijn. En daarnaast, hoe bewijs je dat de gegevens afkomstig zijn van Odido.

[THETCR]

Odido is verplicht je hiervan op de hoogste stellen. We hebben hiervoor ook nog de Autoriteit Persoonsgegevens die onderzoek kan afdwingen.

Wanneer jij niet meer kan achterhalen van welke klanten de gegevens precies gestolen zijn moet je er vanuit gaan dat ze allemaal gelekt zijn.

Uiteindelijk zal de totale lading aan gegevens ook op het internet komen te staan.

De wet is hier compleet ondubbelzinnig over. De verantwoordelijkheid ligt bij Odido. Niet bij de consument om maar te bewijzen dat hun gegevens daadwerkelijk zijn gelekt.

[Mark87]

Begin met overal een ander mail adres gebruiken. Dat zou al een hele stap zijn in het aannemelijk maken waar bepaalde gegevens mogelijk zijn gelekt. Dat dat wat werk is en mogelijk met het oog op de toekomst het handig kan zijn je mail op een eigen domeinnaam onder te brengen met een provider die catch all ondersteund is dan iets waar je mogelijk wat geld voor over moet hebben.

[3sjah]

Dat is precies wat ik nu doe inderdaad. Ik maak gebruik van aliassen. Het emailadres wat ik bij odido heb gebruikt, gebruik ik nergens anders. Dus zou prima kunnen aantonen ahv dit emailadres dat een eventuele phishing campagne die binnenkomt op dit emailadres komt door hun datalek.

[anboni]

Zelfs Odido weet niet van welke klanten de gegevens gelekt zijn

Hoezo zouden ze dat niet weten? Zoals ik het lees, hebben de aanvallers het klantsysteem gescraped via gephishte medewerker accounts. Dan zou het een koud kunstje moeten zijn om in de audit logs na te gaan welke klantrecords die medewerkers hebben opgevraagd. Nog een klein stapje verder kun je ook naar patronen van opvraging kijken en medewerkers eruit vissen waarvan je nog niet eens wist dat ze gephisht zijn...

[DdeM]

Odido weet wel van wie er gegevens zijn gelekt dat hebben ze eerst uitgezocht, daarom dat ze pas vanaf deze week mail stuurde naar alle mensen van wie er gegegevens gelekt zijn.

[memphis]

Die schade komt later als je doodgegooid wordt met spam in je mailbox of 24/7 telefoontjes ontvangt van scammers en mensen die je terug bellen omdat ze een gemiste oproep met jouw nummer hebben gehad. Dat is erg vervelend kan ik je uit eigen ervaring zeggen.

[Recursio]

Vraag is of een rechter deze clausule houdbaar acht.

[Mar9]

Waarom niet? Daarom altijd de voorwaarden lezen maar ja dat doet niemand dus eigenschuld.

[THETCR]

Clausules mogen nooit conflicteren met de wet, zo ook niet omtrent wat een "billijke vergoeding" is.

[ShadLink]

Omdat voorwaarden niet boven de wet staan in Nederland. Heel simpel, Odido heeft de wet (AVG) overtreden en die wet schrijft voor wat er dan zou moeten gebeuren. Ze kunnen van alles in hun voorwaarden zetten, maar dat maakt het nog niet juist of legaal.

[WouterL]

Dat is wel een vrij voorbarige conclusie. Op basis waarvan stel je dat Odido de wet heeft overtreden?


Het enkele feit dat er sprake is van een datalek betekent namelijk niet automatisch dat de AVG is overtreden. Een organisatie is niet wettelijk verplicht om “waterdicht” te zijn: dat is in de praktijk ook onmogelijk.


Waar het juridisch om draait, is of de beveiliging passend was gelet op de stand van de techniek, de risico’s en de aard van de gegevens (artikel 32 AVG), en of aan eventuele meldplichten is voldaan.

Pas als uit onderzoek blijkt dat de beveiligingsmaatregelen onvoldoende waren of dat verplichtingen niet zijn nageleefd, kun je spreken van een overtreding. Het idee dat ieder datalek op zichzelf al een AVG-schending is, is een hardnekkig maar onjuist misverstand.

Het te lang bewaren van klantgegevens zou trouwens ook nog tot een overtreding kunnen leiden.

[Reactie gewijzigd door WouterL op 15 februari 2026 11:07]

[sniker]

Dat iets in de voorwaarden staat maakt het nog niet rechtsgeldig. De wet gaat altijd boven voorwaarden. Onredelijk bezwarende of onwettigge claisules worden met regelmaat door de rechter ongeldig verklaard.

[pBook]

Uiteindelijk maakt het allemaal niets uit voor Odido. Weekje slechte PR, een enkeling die opzegt, en verder geen echte schadepost in de vorm van compensatie. Er zou bij wet geregeld moeten worden dat compensatie verplicht is, en dat er mensen binnen het bedrijf persoonlijk aansprakelijk gesteld kunnen worden. Waarschijnlijk krijg ik honderd redenen tegen te horen, maar anders gaat er echt nooit iets veranderen.

[sympa]

Hier heb je roch boetes voor? De causaliteit is bovendien heel moelijk vast te stellen. Zijn deze gegeven van het lek bij Odido of bij LinkedIn?

[ro8in]

Ik denk dat deze heel goed vast te stellen is. Compensaties zijn voor allerlei dingen wettelijk bepaald ook al kunnen die per casus verschillen. Gewoon een wet die bepaald dat je klanten moet compenseren voor x bedrag afhankelijk van welke gegevens zijn gelekt waar bij identiteits document heel hoog zouden moeten staan en dan kijken bedrijven wel beter uit. Waarom moet dit in de vorm van een boete? Waarom moet de overheid hier inkomsten van hebben terwijl het de klanten zijn die dupe zijn? Het gaat mij niet om de eerlijkheid, het gaat erom dat er een afschrikkende werking moet zijn voor bedrijven om hier daadwerkelijk te investeren. Het is nu denk ik al 1 miljoen keer gebleken dat het het huidige systeem dat niet doet. 2 ton boete aan de AVG betalen is gewoon te laag, elke klant waarvan de gegevens gelekt zijn een bedrag van 500 euro betalen tikt toch wel heel anders aan. Dan gaan bedrijven misschien bijvoorbeeld gegevens opdelen en niet alles op 1 hoop in 1 database bijvoorbeeld. Reken maar dat als je compensatie per klant moet betalen dat je als bedrijf opeens heel anders gaat nadenken over beveiliging in het voordeel van de consument, maar 1 of 2 ton boete tegenover de miljoenen die het kost om dit gewoon goed te doen is gewoon geen incentive voor deze bedrijven. En dat ze het beste met de klant voor hebben is natuurlijk gewoon altijd 1000% een leugen.

[Dragonheart-03]

elke klant waarvan de gegevens gelekt zijn een bedrag van 500 euro betalen tikt toch wel heel anders aan
--> dit zou niet werken.
wat doe je als je schade veel groter is ? Of hebben we dan geaccepteerd dat het afgekocht is en dat je eigen grotere schade buiten de boot valt ?

[jaaoie17]

Maar wel een serieuze compensatie. Niet een paar tientjes.

[Zorg]

En deels betaald door management, persoonlijk bestuurders aansprakelijk maken is vele malen effectiever. Misschien dat ze het dan wel serieus beginnen te nemen. Hoeveel draait niet nog op oude meuk / technology debt omdat het in hun ogen toch niet zo belangrijk is. Het draait toch?

[Caelorum]

Persoonlijk aansprakelijk zou ik niet doen tenzij bij grove nalatigheid, maar automatische compensatie zou er wel voor zorgen dat het vanuit bedrijfsvoering een stuk interessanter is om daadwerkelijk je dataveiligheid goed op orde te hebben.

Ik heb gewerkt bij een bedrijf die een aantal jaren geleden hier op tweakers en nu.nl e.d. kwam te staan met een datalek. Het exacte probleem was niet bekend, maar we wisten al wel dat de veiligheid niet goed was. Bij aankaarten was het altijd "ja, maar eerst dit project wat geld oplevert". Ik zie het nog niet echt verbeterd bij de meeste bedrijven. De gevolgen bij datalekken zijn gewoon nog te minimaal en inconsistent. Elk bedrijf denkt ermee weg te komen. Of ze doen het ook nog echt.

[HooksForFeet]

Eens. Odido zou verplicht moeten zijn voor iedereen een nieuw identiteitsbewijs te vergoeden.


Helaas gaat dat niet gebeuren zolang we maar op partijen blijven stemmen die uit angst voor het investeringsklimaat niet willen doen om consumenten te beschermen.

[BounceMeister]

Dan zit je met de huidige partijen helemaal goed, die helpen het investetingsklimaat in Nederland helemaal om zeep.

[punishedbrains]

Leg uit, want ik heb het vermoeden dat het geen zaken zijn die voor consumenten enigzins eerlijk zijn. :)

[latka]

Er gaan ieder jaar mensen dood door ontbrekende veiligheidsmaatregelen ondanks dat dit vastgelegd is in arbowetgeving. Zolang het goedkoper is om net genoeg te doen en geen stap meer blijft dit probleem ontstaan. Imho is een groot probleem hierbij dat een bedrijf een eigen rechtsvorm is die je wel aansprakelijk kan willen stellen maar het zijn de mensen die de beslissingen maken die het probleem veroorzaken en zelf buiten schot blijven. Boetes e.d. kun je gewoon terughalen bij je klanten. De ceo kielhalen lijkt me een beter model dan blijven klooien met boetes.

[vdtweak]

Op basis van hoe Odido omgaat met de hack, ga ik eens babbelen met mijn rechtsbijstand.

Ik mag nu extra opletten en zaken in de gaten houden, en Odido lijkt bizar weinig zelf reflectie toe te passen. Daarbij vind ik ook dat dit reden mag zijn het contract vroegtijdig te beëindigen.

Op zijn minst wil ik dat Odido de kosten van een nieuw ID vergoed.

Ik ga hier serieus werk van maken en kijken wat mogelijk is. Ik ben er klaar mee.

[Reactie gewijzigd door vdtweak op 15 februari 2026 10:14]

[spokje]

Ik heb met exact deze vraag gebeld met de helpdesk. Kreeg uiteraard 0 op het rekest en meneer greep het allemaal zeer persoonlijk aan terwijl ik er juist op hamerde dat het niet persoonlijk is maar ik wil weten waar ik als klant aan toe ben. Geen compensatie mogelijk en ik kon m'n lopende contract ook niet opzeggen (werd me verteld door de tweede partij die ik aan de lijn kreeg, afdeling opzeggen abonnement). Was allemaal een zeer nare ervaring aan de telefoon. Het klonk ook allemaal erg chaotisch op de achtergrond. Net of er een paar 100 telefonisten waren ingevlogen en die met z'n allen in één hok waren gezet. Ik kon degene die ik aan de lijn had nauwelijks verstaan.

Ik heb tot augustus een abbo bij ze lopen en daarna zal ik nooit weer terugkeren bij Odido, hoe goed de aanbieding ook is. Dat doet ze absoluut geen pijn maar de laconieke houding van deze partij stoort me enorm.

[Warri]

Wat de rechtsbijstand gaat doen is je verzoeken om op eigen kosten een aangetekende brief te sturen naar ODIDO om daar de claim neer te leggen.

Wanneer ODIDO de claim afwijst of niet reageert, zal de rechtsbijstandverzekeraar je naar alle waarschijnlijkheid de kosten vergoeden. Je rechtsbijstandverzekeraar gaat niet procederen omdat de kosten niet opwegen tegen de baten.

[punishedbrains]

Rechtsbijstand is alleen niet de beste hierin, ik heb vaker gemerkt dat als het een tikkie spannender wordt ze vaak terugtrekken. Je kan beter een aparte advocaat gebruiken, duur maar meer kans. Voor zover de rechtsstaat. :)