AP en RDI doen officieel onderzoek naar Odido-datalek

De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur zijn een onderzoek begonnen naar Odido. De toezichthouders op privacy en de Telecommunicatiewet kijken voornamelijk naar de vraag of Odido een bewaartermijn hanteerde die in strijd was met de AVG en of het bedrijf de beveiliging op orde had.

Dit nieuws in het kort:

• Twee toezichthouders onderzoeken het Odido-datalek van eerder dit jaar.
• Odido bewaarde data mogelijk langer dan nodig.
• Gezien de impact van het datalek is een forse straf denkbaar.

Het onderzoek richt zich op twee vermeende overtredingen.

De Autoriteit Persoonsgegevens kijkt naar de bewaartermijn van gegevens. Al snel nadat de hackers data publiceerden, kwamen er signalen naar buiten waaruit bleek dat Odido gegevens veel langer bewaarde dan het zelf zei. Odido zei gegevens na twee jaar te verwijderen, maar ook klanten die al jaren weg waren, zeiden in de dataset voor te komen. RTL bevestigde dat later.

De AP zegt dat zij nu informatie heeft opgevraagd bij Odido over de bewaartermijnen van gegevens. "De AP ziet aanleiding om tot formeel onderzoek over te gaan", schrijft de toezichthouder.

Beveiliging

De RDI kijkt naar de beveiliging van het klantsysteem van Odido. Odido gebruikte Salesforce als klantcontactsysteem, wat de aanvallers wisten te misbruiken om de gegevens te stelen. Ook daar leken al problemen te ontstaan. De NOS merkte bijvoorbeeld op dat de criminelen met slechts een gephisht account data van zowat alle klanten konden binnenhalen.

De RDI kijkt of Odido de beveiliging voldoende op orde had. Mogelijk overtrad de provider de Telecommunicatiewet en de Regeling veiligheid en integriteit telecommunicatie.

De twee instanties zeggen het incident serieus te nemen. "Het incident bij Odido heeft tot veel maatschappelijke discussie geleid", schrijft de Autoriteit Persoonsgegevens. "De AP ontving honderden klachten van mensen die aangaven dat hun gegevens uitgelekt waren, terwijl ze al lange tijd geen klant meer waren bij Odido."

Wat kan er gebeuren?

Dat de AP een onderzoek start, is niet verrassend. Gezien de impact van het datalek was het onvermijdelijk dat de AP zou kijken of Odido mogelijk de wet overtrad. De AP riep nota bene op om te stoppen met klachten indienen, omdat zij er al zo veel kreeg.

Wat wél opvallend is, is dat naast de AP ook de RDI betrokken is. Dat is niet uniek, maar uitzonderlijk.

Als de AP een AVG-onderzoek start, kan zij kijken naar alle overtredingen van de AVG. Dat kan leiden tot een boete, al zijn er ook andere sancties mogelijk. Voorbeelden zijn een berisping of een last onder dwangsom, ofwel een voorwaardelijke boete waarbij Odido wordt gedwongen om zijn beveiliging aan te passen. De AP kijkt onder andere naar de geschiedenis. Als blijkt dat Odido al lang de wet overtrad, is een boete aannemelijker dan alleen een tik op de vingers.

De hoogte van een AVG-boete kan oplopen tot maximaal 20 miljoen euro of vier procent van de jaaromzet van een bedrijf, maar zo'n maximumboete is nog nooit opgelegd. De AP kijkt altijd naar de omstandigheden, onder andere naar de ernst van het lek, de manier waarop een bedrijf meewerkt aan een onderzoek en welke maatregelen het heeft genomen om het lek te voorkomen. Het is nu nog moeilijk te zeggen wat dat in het geval van Odido betekent.

Ook is nog onduidelijk wanneer het onderzoek is afgerond. Dat kan lang duren; de AP is zwaar onderbezet. Aan de andere kant is de maatschappelijke impact dermate groot, dat het ook aannemelijk is dat de AP het onderzoek met prioriteit oppakt.

Krijg je ook een schadevergoeding als de AP een boete uitdeelt?

Bij een overtreding van de AVG gaat de boete naar de Nederlandse schatkist. Slachtoffers krijgen bij een AVG-overtreding niet automatisch een schadevergoeding. Daarvoor moeten ze in de eerste plaats via een rechter kunnen aantonen dat ze schade hebben geleden.

Juristen denken echter dat een schadeclaim onder voorwaarden mogelijk is. Als de AP na een onderzoek concludeert dat Odido inderdaad gegevens te lang bewaarde, is het makkelijker voor slachtoffers om een verband aan te tonen tussen het datalek en hun schade.

Reacties (39)

[Ethnic]

Ik ben ondertussen direct bezig geweest met Odido om mijn contract te ontbinden. Hier deden ze eerst moeilijk over, maar sinds vorige week is het veel positiever. Ik heb een e-mail gekregen waarin staat dat ik gelijk had en dat mijn contract binnenkort wordt opgezegd. Verder heeft een medewerker aan de telefoon gezegd dat dat waarschijnlijk deze week gaat gebeuren, dus ik ben benieuwd. Mocht iemand zelfde intenties en twijfels hebben: geef niet op!

Edit:

Voor de gene die een vergelijkbaar e-mail willen/kunnen gebruiken:
Mailen naar: [e-mail] - [e-mail] (1 van deze 2 werkt niet, maar kan mij niet meer herinneren welke dat was)


Geachte directie,

Middels deze brief stel ik u formeel in kennis van de directe ontbinding van mijn huidige mobielabonnement met nummer XXX.

Grondslag voor ontbinding De reden voor deze voortijdige beëindiging is een ernstige toerekenbare tekortkoming in de nakoming van de overeenkomst (artikel 6:265 BW) en een schending van de Algemene Verordening Gegevensbescherming (AVG). De tekortkoming is gebaseerd op de volgende feiten:

Datalek: Mijn NAW persoonsgegevens zijn door een tekortkoming in uw beveiliging gelekt. Als provider bent u wettelijk verplicht om passende technische en organisatorische maatregelen te nemen om mijn gegevens te beschermen. Dit lek vormt een directe inbreuk op het vertrouwen en de contractuele veiligheidseisen.

Ongeautoriseerde data-export: Ik heb vastgesteld dat de door u geleverde router analyticsdata doorstuurt naar een Turkse AI-bedrijf zonder mijn expliciete, voorafgaande toestemming. Gezien de strikte regelgeving omtrent data-export naar landen buiten de EER (Schrems II-uitspraak), beschouw ik dit als een grove schending van mijn privacyrechten en uw zorgplicht. Daarnaast wijs ik u op uw verplichtingen onder Artikel 5, lid 1 f en Artikel 32 van de AVG. Het structureel exporteren van telemetrie- en analyticsdata naar een derde land (Turkije) ten behoeve van AI-training, zonder mijn uitdrukkelijke toestemming, vormt een grove schending van de privacy-by-design principes. Gezien de recente handhavingsrichtlijnen van de Autoriteit Persoonsgegevens met betrekking tot grensoverschrijdende datastromen, beschouw ik uw handelen als een onrechtmatige daad die de voortzetting van deze overeenkomst onmogelijk maakt. Zie bijlage.

Eis tot kosteloze beëindiging en nummerbehoud Gezien de ernst van deze feiten is de vertrouwensbasis onherstelbaar beschadigd. Ik accepteer geen verdere nakoming van het contract. Ik eis daarom het volgende:

Directe ontbinding van het contract per XXX, zonder dat hiervoor een afkoopsom of boete voor de resterende maanden in rekening wordt gebracht.

Onmiddellijke vrijgave van mijn telefoonnummer XXX voor nummerbehoud, zodat ik zonder belemmering kan overstappen naar een andere provider.

Bevestiging van deze ontbinding en de kosteloze afwikkeling binnen 14 werkdagen na dagtekening van deze brief.

Ik wijs u er nadrukkelijk op dat ik van u verwacht dat u mijn nummerbehoud zonder enige vertraging faciliteert. Mocht Odido de overstap naar een andere provider blokkeren, dan beschouw ik dit als het onterecht vasthouden van een klant (ook wel bekend als 'slamming'). In dat geval zal ik direct een aanvullende klacht indienen bij de Autoriteit Consument & Markt (ACM) om handhaving op uw acceptatie van deze ontbinding af te dwingen. Indien u niet meewerkt aan deze ontbinding, zie ik mij genoodzaakt de zaak voor te leggen aan de ACM (Autoriteit Consument & Markt), de Autoriteit Persoonsgegevens en de Geschillencommissie Telecommunicatiediensten.

In afwachting van uw spoedige schriftelijke bevestiging.

Met vriendelijke groet,

XXX

[Reactie gewijzigd door Ethnic op 26 maart 2026 15:30]

[Jaldea]

Hoelang duurt je contract nog en wat zou het bedrag zijn als je die afkoopt? (de volledige duur van het contract in 1 betaling)

[Ethnic]

Nog bijna 1,5 jaar. Ik moest volledige resterend bedrag betalen dus een unlimited abonnement van 30 p/m x 18 (give or take).

[ruay001]

Dus moet je die afkoopsom wel of niet betalen?

[Ethnic]

Nope!

[ruay001]

Tijd om 3 abbonamenten en een thuis pakket op te zeggen

[pim1896]

stap je eerst over incl nummerbehoud (en wacht je op bericht over de afkoopsom) of stuur je eerst deze mail?

[Ethnic]

Eerst mailen, daarna druk erop zetten met telefoontjes en daarna een telefoontje vanuit odido afwachten (dit is de laatste stap die nodig is. Niet iedere afdeling mag zomaar laten ontbinden dus je hebt iemand van higher up nodig). Zodra er een vaste datum is geprikt voor ontbinding kan je je overstap regelen bij de nieuwe provider.

[Quintiemero]

Gewoon de opzegafdeling die dit kan hoor. Er komt niemand van higher up aan te pas. 2 drukken op de knop en afkoopsom annuleren. Of dat je dat je de Teamleider aan de lijn kreeg?;)

[xxs]

Ik ben sinds het bekend worden van het lek (geen klant meer) al aan het proberen mijn gegevens verwijderd te krijgen. Ik krijg van die leugenachtige organisatie alleen een standaard mail terug dat het wat langer kan duren.

[CPV]

Dat wordt een flinke inkomstenklap voor Odido: 20 M boete van de AP en een grote groep gebruikers, die hun contract boetevrij kunnen beëindigen.
Leuk voor de aandeelhouders.

[Quintiemero]

Dat er een datalek heeft plaatsgevonden, zegt nog niksover dat de beveiliging wel/niet passend is. Dus dat argument is nog niet heel sterk.

[Ethnic]

Doet er niet toe eerlijk gezegd. Het is puur een kwestie van wie je kan bereiken en wie je probeert te overtuigen. Je hoeft maar 1 odido medewerker te overtuigen die bevestigt dat je abo wordt ontbonden, thats it. Als dat lukt dan komt de rest goed.

[Ethnic]

Wat is dat nou voor een rare reactie.

Onderbuikgevoelens? Verre van. De logs liegen niet kerel, die router pompt gewoon data naar een mij onbekende AI bedrijf in Turkije zonder dat ik daar ooit toestemming voor heb gegeven. Dat is technisch een feit en juridisch valt het onder schrems 2 gewoon een schending, daar komt weinig emotie bij kijken.

Hoe Odido het uiteindelijk afhandelt boeit me niet zo zolang die ontbinding maar geregeld wordt op basis van diezelfde feiten. En ja een dossiertje opbouwen inclusief opnames is bij dit soort grote clubs gewoon nodig alhoewel ik dat niet heb gedaan, maar wel slim als je ergens wilt komen. Heeft weinig met "zo iemand zijn" te maken, maar meer met weten hoe dit soort processen werken

[Quintiemero]

Heb het niet over het router-stuk.

[Houtenklaas]

Deze regel in het artikel gemist?

De NOS merkte bijvoorbeeld op dat de criminelen met slechts een gephisht account data van zowat alle klanten konden binnenhalen.

[R4gnax]

Oh? Staat er wel degelijk hoor. Dat wordt gewoon onder "passende technische en organisatorische maatregelen" gedekt:

Datalek: Mijn NAW persoonsgegevens zijn door een tekortkoming in uw beveiliging gelekt. Als provider bent u wettelijk verplicht om passende technische en organisatorische maatregelen te nemen om mijn gegevens te beschermen.

[Quintiemero]

Staat niet toegelicht welke tekortkoming dat is. Jij benoemt inderdaad een (mogelijke) tekortkoming. Maar OP benoemt in zijn brief niet welke tekortkoming dat dan is en waarom Odido's maatregelen niet passend beveiligd zijn. Het enkele feit dat er een datalek is, is niet voldoende.

[turkeyhakan]

Fijn dit onderzoek en ik hoop dat Odido een flinke boete krijgt bij het overtreden van de regels.

[twkr18526]

Ik hoop in ieder geval een duidelijk signaal en verandering bij Odido.

Odido heeft maar op 1 verzoek gereageerd. Mijn verzoek om de gegevens in te zien, negeren ze. Ik heb eerst een verzoek ingediend om mijn gegevens in te zien, aangezien ik al jaren geleden geen T-Mobile klant bent. Geen reactie, toen een verzoek tot verwijdering gevraagd. En wat later, wel een reactie dat ze m’n gegevens gaan verwijderen. Nogmaals verzoek gestuurd vorige week voor inzage gegevens, maar geen reactie gekregen.

• Verzoek tot inzage gegevens: geen reactie
• Latere verzoek tot verwijdering gegevens: bevestiging ontvangen

Handig he?

[xxs]

Ik krijg maar geen bevestiging van ze m.b.t. het verwijderen van gegevens. Alleen een standaard reply dat het "wat" langer kan duren.

[Jaldea]

Hopelijk.
De hoogte van die boete kan alleen impact hebben als het A, alle geleden klanten compenseert, waardoor de hoogte van de boete direct invloed had op de getroffen mensen en daarmee hoog uitvalt in dit geval.
Of een percentage op de omzet/winst, en niet een bedrag die teniet valt in de omzet van het bedrijf.

En voor iedereen die zegt, dan valt Odido en ODF om, ja dat kan, maar daar had Odido dan vooraf naar alle waarschuwingen moeten luisteren die er zijn gedaan.
Als die bedrijven zich gewoon aan de regels houden omtrent gegevens bewaking, is het ook een directe waarschuwing voor alle anderen waarbij het kan gebeuren, maar dan beperk je de schade.

[Quintiemero]

Boete en compenstie valt onder compleet andere wetgeving.

[feico.de.boer]

Eigenlijk vind ik het belangrijker dat net als bijvoorbeeld bij de Onderzoeksraad voor veiligheid lering wordt getrokken uit de zaak (naast verantwoordelijkheid natuurlijk) en dat hiermee regelgeving en handhaving verbeterd wordt.

Wat de boete betreft, de bestemming daarvan heb ik ook een mening over ...

[feico.de.boer]

"Bij een overtreding van de AVG gaat de boete naar de Nederlandse schatkist."

Dat zou naar een waarborgfonds moeten gaan waar gedupeerden schade kunnen verhalen.

[Jaldea]

Dat staat in dit principe los van de gedupeerden.
Dit onderzoek is eerst om aan te tonen of Odido uberhaupt schuldig is.
Daarvoor worden ze dan beboet, als dat blijkt, zal er daarnaast nog aanklacht kunnen worden gedaan via een rechter met bewijzen.

Als de AP na een onderzoek concludeert dat Odido inderdaad gegevens te lang bewaarde, is het makkelijker voor slachtoffers om een verband aan te tonen tussen het datalek en hun schade.

[Ruben26]

Naast straf met boete vraag ik me af hoeveel klanten dit Odido kost en gaat kosten?

Wij zijn paar jaar geleden overgestapt van KPN naar Odido en zat al bij Ben, maar laatstgenoemde heb ik opgezegd en ben naar andere aanbieder. Qua internet thuis overweeg ik KPN weer...

[SunnieNL]

Ik gok niet zo heel erg veel klanten. Het gras is aan de overkant ook niet veel groener, dus ik zie er het nut ook niet van in om hiervoor weg te gaan. De set die odido aan gegevens heeft gelekt bevatte ook niet heel veel zaken die toch al niet gelekt waren van mij uit andere bronnen en vast al samengevoegd waren.

[Cheap Apps]

Fijn dat het AP hier onderzoek naar doet. Persoonlijk was het me ook al opgevallen dat Odido meer gegevens had dan wat bij mij bekend was. Op basis hiervan heb ik een inzageverzoek gestuurd welke ik nog niet terug gekregen heb. Ik ben benieuwd naar wat er uit het onderzoek naar voren zal komen.

[Gwaihir]

Jammer dat de instanties niet gelijk ook de bizarre tracking via de eigen modem meenemen in het onderzoek.

[bapemania]

Waarschijnlijk omdat het niets met deze hack en de overschreden bewaartermijn van gegevens te maken heeft. In een andere Odido hack kwam dit ook aan bod, daar werden ook passages uit de overeenkomst getoond waarin Odido het doorgeven van gegevens aangeeft, hier ben je als gebruiker in principe gewoon mee akkoord gegaan. Dan ziet een AP dit ook als kansloos om er onderzoek naar te doen natuurlijk, als consument heb je ook gewoon een verantwoordelijkheid als je een overeenkomst aangaat.

[Reactie gewijzigd door bapemania op 26 maart 2026 16:14]

[Gwaihir]

Dat zie ik als een mogelijke conclusie, geen uitgangspunt. Het lijkt me, nu ze toch bezig zijn Odido door te lichten, goed als hier ook naar gekeken wordt. Het gaat door de koppeling van MAC adressen aan een huishouden om gevoelige informatie. En het gaat om het mogelijk vervolgens doorverkopen ervan, tenminste voor training van een AI.

Daarvoor gelden stevige eisen onder AVG. Begraven in een policy lijkt mij onvoldoende. Ik hoop dat er wettelijk voor zoiets een expliciete opt-in vereist is. Een vrijwillige, dus niet eentje met consequenties voor de dienstverlening. En het is mijn beeld dat er niet eens een opt-out is.

Sowieso zouden we er met z'n allen baat bij hebben duidelijk te horen waar de grenzen liggen.

[Reactie gewijzigd door Gwaihir op 26 maart 2026 16:38]

[squareware]

Klant is voornamelijk de dupe, de boete dieOodido krijgt wordt uiteindelijk door de klant betaald, dus word je als klant eigenlijk dubbel-gepakt.

Als klant van Odido zou je de huisarts moeten benaderen en je ervaring delen waaronder: slecht slapen, zorgen maken, constant op je hoede zijn voor fraude, uitval op je werk... dat doet wel wat met je als mens en daar mag jij en eventueel werkgever best voor gecompenseerd voor worden als vast staat dat een bedrijf de zaken niet op orde heeft met betrekking tot wet en regelgeving (bewaar termijn) en beveiliging en je gezondheid daardoor achteruit gaat.

[kabelmannetje]

Ik zit nog even mijn abonnement uit en dan zeg ik het mét motivatie op. En die is het niet communiceren, niet willen communiceren en het niet serieus nemen van mijn privegegevens.

Verder lost dit onderzoek niks op voor de gedupeerden. Een boete van €20 miljoen - €3 per klant- naar de Staat, is lachwekkend. Als minimum zou ik €200 pp voor aanvragen nieuw paspoort, willen zien.

[66JustMe819]

Leid in het beste geval tot een boete, een boete waar de staat weer wat rijker van wordt en de getroffen gebruikers niets aan hebben. Een veroordeling tot vergoeding van de schade zoals kosten voor een nieuw paspoort, nieuw telefoonnummer, nieuwe bankrekening en daarbovenop een smartengeld zou terecht en passend zijn.

[remy007]

Tot eergisteren ook klant geweest, na bijna 20 jaar klant te zijn geweest (begonnen als T-Mobile klant) het nummer over gehuisd naar Lebara.

Dit staat overigens los van deze datalek, was het al langer van plan. Heb 2 nummers, eentje stond al jaren 'stil' (afkoel) bij diverse goedkope virtuele providers op het KPN netwerk. Ze zaten echter te ver van elkaar steeds met de abonnement, nu niet meer. Nu staat het oude T-Mobile/Odido nummer in de afkoel stand...

PS: In het geval van storingen is het ook handig om nog een ander mobielnetwerk ter beschikking te hebben...