RTL Group meldt hack van intranet, maar impact voor RTL Nederland lijkt klein

Mediabedrijf RTL Group is slachtoffer geworden van een hack. Daarbij zijn personeelsgegevens gestolen. De impact op de Nederlandse tak lijkt relatief klein: volgens een woordvoerder zijn ongeveer 300 e-mailadressen en een klein aantal telefoonnummers buitgemaakt.

Het incident deed zich voor op het intranet van RTL Group, bevestigt een woordvoerder van RTL tegen Tweakers. Hackers hebben gegevens van dat platform gestolen. Op het intranet stonden nog 'verouderde' persoonsgegevens van RTL Nederland, bevestigt de woordvoerder. RTL Nederland is vorig jaar overgenomen door DPG Media en is daardoor geen onderdeel meer van RTL Group.

Het zou gaan om ongeveer 250 tot 300 e-mailadressen van Nederlandse RTL-medewerkers en 'in enkele gevallen' ook telefoonnummers. Het bedrijf benadrukt dat er geen wachtwoorden of andere persoonsgegevens zijn gelekt en dat het 'preventieve maatregelen' neemt om eventuele misbruikpogingen te voorkomen. Medewerkers van wie gegevens zijn gestolen, worden daarvan op de hoogte gesteld.

De impact bij de rest van RTL Group lijkt groter. Hackers claimden op donderdag dat zij gegevens van in totaal ruim 27.000 RTL Group-medewerkers hebben gestolen, hoewel de woordvoerder dat aantal niet bevestigt. Daaronder vallen dus ook de andere takken van RTL, zoals die in België, Duitsland en Frankrijk. Er zijn geen concrete details over de hack of de oorzaak daarvan.

Het kantoor van RTL Nederland in Hilversum. Bron: RTL

Reacties (23)

[NicoHF]

"Op het intranet stonden nog 'verouderde' persoonsgegevens van RTL Nederland"


Wanneer leren organisaties nou eens om een delete knop te gebruiken.
Data wat er niet is, kan ook niet gestolen worden!

[locke960]

Het feit dat RTL Nederland verkocht is betekent niet dat je ineens niets meer met elkaar te maken hebt. Als jij van baan verandert verwijderd je oude werkgever ook niet de dag erna al je gegeven. Er zijn nog wettelijke en wederzijdse verplichtingen waarvoor die gegevens nodig zijn.

Ik vind het veel opvallender dat ze het over "intranet" hebben. Privé persoonsgegevens horen in een HR systeem thuis, en nergens anders. In mijn beleving kun je de definitie van intranet niet zover oprekken dat een HR systeem daar ook onder valt.

Het suggereert dat de gegevens op de een verkeerde plek werden bewaard. Maar het kan net zo goed zijn dat het HR systeem is gehackt en dat de berichtgeving vaag is.

[metalmania_666]

Bij meerdere bedrijven waar ik gewerkt hebt, stond op het intranet een soort telefoon/smoelenboek met daarin naam, emailadres, telefoonnummer zakelijk (en vaak ook privé mobiel als gebruikers daar toestemming voor gegeven hadden) en dan de afdeling.

Dus ik ben het niet eens met je.

[NicoHF]

Volgens het artikel betrof het verouderde gegevens en geen actuele, deze zouden dus verwijderd moeten zijn en hebben daar helemaal niks te zoeken op een intranet.

[wiseger]

RTL Nederland is de werkgever, niet de RTL Group. De medewerkers behouden dan ook gewoon hun bestaande arbeidscontract bij RTL Nederland, ook na de overname door DPG Media. Er is dus geen sprake van een oude werkgever.

[locke960]

In dat geval is de vraag waarom RTL Group überhaupt over die gegevens beschikte, want dan was er voor die tijd ook al geen relatie. En de reden die voorheen gelde, geld nu misschien nog steeds. Of misschien deden ze altijd al iets verkeerd.

Kern is: we weten er het fijne niet van, maar wat we wel weten is dat de verknopingen tussen dergelijke bedrijven in een concern heel complex kunnen zijn en dat je niet zomaar even contact gegevens kunt verwijderen omdat je nog allerlei verplichtingen hebt.

[CPM]

Je hebt deels gelijk. Een Intranet kan ook een koppeling hebben met een HR systeem, of HR met AD of bedenk maar iets. Gegevens worden dan opgeslagen in meerdere databases. Of dat gewenst is laat ik even in het midden. Dan heb je mogelijk een soort adresboek en als je die gaat scrapen heb je ook gegevens. En waar staat dat het om prive gegevens gaat? Kunnen ook zakelijke nummers zijn.

En als er geen fatsoenlijke koppeling is dan is dat ook meteen een verklaring waarom er oude gegevens in staan. Goed informatie management dan, not.

[Reactie gewijzigd door CPM op 19 februari 2026 18:36]

[Alfa1970]

Je kan niet zomaar roepen dat gegevens verwijdert zouden moeten worden.
Er bestaan wetten die bedrijven verplichten om sommige data te bewaren.
Sommige data moet wettelijk zelfs "oneindig" bewaard blijven.
Ons helpdesk systeem heeft geen delete knoppen, het enige dat kan worden gedaan is een account deactiveren. Sommige informatie is zelfs niet veranderbaar zonder tussenkomst van de ontwikkelaars, en zelfs wanneer er toestemming voor wordt verleend om gegevens aan te passen is er altijd een administratief spoor beschikbaar waar de originele informatie achterhaalbaar is, inclusief wie toestemming heeft gegeven en wie de uitvoering heeft gedaan alsmede de mutatie en de originele informatie.

Dus het is vaak niet zo makkelijk om maar te roepen je moet die delete knop gebruiken.

Je hebt gelijk met je opmerking dat data die er niet is niet gestolen kan worden.
Maar op die fiets kan je ook zeggen:
Je kan vanaf het internet niet inbreken op een systeem dat niet aan het internet hangt.

[NicoHF]

Dan mogen jullie je systemen wel eens gaan updaten om te voldoen aan de AVG wetgeving.
Want het uitgangspunt is dat data niet langer bewaard blijft dan strikt noodzakelijk of om te voldoen aan de wettelijke termijnen waar je dan oa aan kan denken zijn de fiscale termijnen van de belastingdienst.


Er is maar weinig data wat permanent bewaard dient te worden, bv bij een juridische geschil of archiefwet.

• Het uitgangspunt van de wet is dat u persoonsgegevens zo kort mogelijk bewaart. Kunt u de bewaartermijn nog aanscherpen?

https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacy-en-persoonsgegevens/bewaren-van-persoonsgegevens

[wiseger]

Je mist mijn inziens de kern van de zaak, de medewerkers werken bij RTL Nederland en dat onderdeel is een jaar geleden verkocht aan DPG Media. RTL Nederland heeft te maken met juridische bewaar termijnen van gegevens van haar medewerkers, de RTL Group niet want de medewerkers zijn daar helemaal niet in dienst geweest. Dus een handig telefoonlijstje op het Intranet bij de RTL Group had gewoon bijgewerkt moeten worden na de verkoop.

[PolarBear]

Er staan bij ons wat gegevens op uit de Active Directory Entra maar dat is Naam, emailadres, telefoonnummer, allemaal zakelijk. En als iemand uit dienst gaat verdwijnt het direct.

[jigalvh]

Wanneer leren organisaties nou eens om een delete knop te gebruiken.
Data wat er niet is, kan ook niet gestolen worden!

Waarom zouden ze? Van alle datalekken de afgelopen tijd heb ik nog niets gezien van serieuze gevolgen voor de betreffende bedrijven/organisaties. Experts zeggen voordurend dat criminelen weinig kunnen met de gegevens die ze buit maken, maar toch blijft data gestolen worden. Slachtoffers moeten maar zien te bewijzen dat het specifiek afkomstig is van een bepaald datalek en vervolgens ook aantonen hoe groot de schade precies is.

[wiseger]

Exact. RTL Nederland was verkocht dus er was geen enkele reden meer waarom het oude bedrijf RTL Group nog gegevens van medewerkers van het verkochte RTL Nederland in haar systemen had staan.

[The-Source]

Nou ik werk met regelmaat met vpn oplossingen en dan ook met accounts bij klanten.
Recentelijk een klant die had geboortedatum als verplicht veld voor het aanmaken van een remote access account.
Vervolgens gewezen op de AVG en dataminimalisatie beginsel maar kon echt niet anders... daarbij werd overigens uiteindelijk vermeld dat ze niet controleren of de datum klopt (dus tja waarom vraag je het dan... )

[bussie66]

Wat doen persoonsgegevens op een Intranet?

[PlasticPimple]

In het artikel wordt gesproken over e-mailadressen en telefoonnummers. Veel organisaties hebben wel iets van een intern telefoonboek via intranet waarmee je dan rechtstreeks iemand van bijv. juridische zaken kunt bellen.

[ThaStealth]

Dit kunnen ook nieuwsartikelen zijn, een aankondiging dat iemand bezig is met een bepaald project, en als je meer informatie wil kun je contact opnemen met mail x of telefoonnummer y.

die nieuwsberichten zijn onmogelijk allemaal eraf te halen en bij te houden of de persoon nog in dienst is

[gpon]

Welke software gebruiken ze?

[pctje]

https://intranet.rtl.com/rtl-group/login

[fsfikke]

Daaronder vallen dus ook de andere takken van RTL, zoals die in België, Duitsland en Frankrijk.

Ik had op z'n minst Luxemburg ook in dat lijstje verwacht, gezien waar de afkorting RTL voor staat

[PacinoAllstars]

Tjongejonge, weer zo’n klassiek “verouderde data” verhaal… RTL Nederland is al sinds juli 2025 van DPG Media, dus die 250-300 mailtjes en telefoonnummers lagen gewoon nog te verstoffen op het oude Group-intranet in Luxemburg. Lekker overzichtelijk na al die jaren.

Dit ruikt echt naar het wanbeleid van John de Mol na het compleet mislukken van die fusie met Talpa. Hij wilde per se dat megabedrijf, ACM zei in januari 2023 keihard nee (te veel macht in de reclame), en toen werd het snel verkocht aan DPG. Achteraf blijft de rotzooi gewoon liggen.

Meer achtergrond:

•  Mislukte fusie: https://deadline.com/2023/01/rtl-suffers-blow-dutch-regulators-stop-talpa-merger-1235243994/

•  Verkoop aan DPG afgerond: https://company.rtl.com/en/media/overview/press-releases-and-news/RTL-Nederland-transaction-closed/

•  Hackers claimen trouwens 27.000 medewerkers + samples (namen, werkadressen, functietitels, ook privé-telefoons): https://cybernews.com/security/rtl-group-data-breach-employees-leaked/

En dan komt dit weer van Tweakers… de linkse liberale techsite die het allemaal keurig netjes brengt 😉 Maar feiten zijn feiten, grote mediabedrijven moeten hun legacyshit echt beter opruimen voordat de volgende hack komt.

Ik voorspel dat we meer van dit soort “oh het was maar oude data” verhalen gaan zien door al die (mislukte) fusies en overnames.

[Rob]

Waarom is dit wanbeleid van John de Mol na het mislukken van de fusie met RTL Nederland? De hack was bij de RTL Group niet bij RTL Nederland

[bloetoet]

Uhmmm...er wordt niks vermeld of data intern of extern wordt gehost. Mijn vermoeden, externe hosting. Ja, ook je intranet kan je bij een externe SaaS / Cloud/ etc. -partij onderbrengen.


En dan:
ongeveer 300 e-mailadressen en een klein aantal telefoonnummers buitgemaakt

paar sentences verder dan weer:
Op het intranet stonden nog 'verouderde' persoonsgegevens van RTL Nederland, bevestigt de woordvoerder

Heel verwarrend duidelijk