Hoe kansrijk is een schadeclaim na het datalek bij Odido?

Odido

Klanten van Odido waren afgelopen week eens niet de dupe van een storing, maar van een datalek. Hackers zouden via phishing en socialengineering de wachtwoorden en 2fa-codes van klantenservicemedewerkers hebben gestolen, waarmee ze in de Salesforce-omgeving terecht konden komen die Odido gebruikt voor klantregistraties.

Daarbij zijn uiteenlopende gegevens gestolen van miljoenen (voormalige) klanten van zowel Odido zelf als zustermerk Ben. Het kan gaan om naw-gegevens, mobiele nummers, klantnummers, e-mailadressen, IBAN-rekeningnummers, geboortedata en identificatiegegevens. Bij dat laatste gaat het om het nummer en de geldigheidsduur van paspoorten, ID-kaarten en rijbewijzen.

Op een informatiepagina geeft Odido aan dat het probeert te voorkomen dat klanten op enige manier schade ondervinden door het datalek. Op fora zoals dat van Tweakers vinden klanten dat het daar nu al te laat voor is en dat zij al schade hebben geleden. Daar zou dan mogelijk ook een vergoeding tegenover moeten staan. Juristen die Tweakers sprak stellen dat het behoorlijk lastig is om schade aan te tonen, maar dat dit in dit geval niet volledig kansloos is.

Hebben klanten schade geleden?

Alleen het feit dat er data gestolen is, is niet genoeg om een compensatie te krijgen. Klanten moeten aantonen dat zij materiële of immateriële schade hebben geleden door het datalek. In het verleden is dit in Nederland enkele keren succesvol aangetoond. Daarbij ging het meestal om uitgelekte medische gegevens. Zo kreeg een vrouw in 2023 500 euro schadevergoeding voor de angst die zij heeft geleden door een datalek bij het UWV.

Dit zijn uitzonderingen. Bovendien zijn er in Nederland nog geen succesvolle massaclaims over datalekken, zegt advocaat Sven van Dooren tegen Tweakers. Onderzoeken naar de haalbaarheid van een claim omtrent de gelekte data bij Bevolkingsonderzoek Nederland lopen momenteel nog.

In het geval van Odido zijn er geen medische gegevens gelekt. Voor het grootste deel van de gestolen persoonsgegevens is schade lastig aan te tonen. Er is wel één persoonsgegeven waarbij schade beter te beargumenteren is, stelt juriste Charlotte Meindersma. Van sommige klanten zijn documentnummers van identiteitsbewijzen gestolen, inclusief de geldigheidsduur van het document.

In combinatie met de andere gestolen gegevens kan daar volgens Meindersma eenvoudig identiteitsfraude mee worden gepleegd. Het zou volgens haar dus niet vreemd zijn als klanten uit voorzorg nieuwe identiteitsbewijzen zouden aanvragen. Dat kan worden gezien als materiële schade, waardoor een deel van de kosten mogelijk verhaald kan worden op Odido. In het verleden konden provinciemedewerkers in de provincie Gelderland na een datalek al gratis een nieuw paspoort aanvragen, al gebeurde dit niet naar aanleiding van een rechtszaak.

In het geval van Odido zou het aanspannen van een massaclaim het meest logisch zijn, stelt Meindersma. De geleden schade door de gestolen documentnummers is niet specifiek van toepassing op één individu, maar op meerdere Odido-klanten. De betreffende klanten moeten dan wel bewijzen dat zij daadwerkelijk een nieuw paspoort hebben aangevraagd. Van Dooren plaatst daar als kanttekening bij dat, als hetzelfde documentnummer al eerder is gelekt, het verband tussen het lek bij Odido en de geleden schade nu, mogelijk lastiger aantoonbaar is.

Immateriële schade door een datalek is volgens Meindersma veel lastiger te bewijzen. "Dat is in Nederland nauwelijks aan de orde. Het wordt heel moeilijk om aan te tonen dat het datalek zoveel stress heeft opgeleverd dat de impact zo groot is dat je die in een bedrag kunt uitdrukken." De juriste stelt dat het in uitzonderlijke gevallen eventueel mogelijk zou zijn om immateriële schade te bewijzen als de gestolen gegevens worden geopenbaard, bijvoorbeeld op een hackersforum. Dat kan zich voordoen als iemand last heeft van een stalker en diegene door het datalek toegang krijgt tot adres- en telefoongegevens, terwijl deze gegevens verder zijn afgeschermd online. Vooralsnog zijn de Odido-gegevens niet gepubliceerd.

Is Odido aansprakelijk?

Waar de juristen het niet over eens zijn, is de vraag of Odido aansprakelijk kan worden gesteld voor de gestolen klantgegevens. Zo niet, dan hoeft de provider geen compensatie uit te keren. Van Dooren vindt het te vroeg om te oordelen of het bedrijf in dit geval nalatig is geweest met de beveiliging.

"Odido is zelf ook slachtoffer van criminelen", stelt hij. "Volgens de AVG moeten bedrijven voldoen aan verschillende verplichtingen, zoals het geven van regelmatige securitytraining aan medewerkers en het gebruiken van 2fa. Als Odido al die maatregelen heeft genomen en het gaat toch mis, kan dat de provider volgens de huidige wetgeving niet worden verweten. In hoeverre Odido die maatregelen daadwerkelijk heeft genomen, zal onderzocht moeten worden."

Meindersma kan zich wel voorstellen dat Odido aansprakelijk wordt gesteld voor het incident. "Het helpt Odido in ieder geval niet dat het zo eenvoudig was om de gegevens te stelen." Volgens haar lijkt het erop dat de organisatorische beveiliging onvoldoende is, omdat medewerkers niet goed genoeg waren geïnstrueerd om zo'n hack te voorkomen. Ook de technische beveiliging was mogelijk niet op orde, omdat Odido wellicht te veel persoonsgegevens in dezelfde database heeft opgeslagen, in plaats van een deel van de data, zoals documentnummers, apart te bewaren.

Bewaart Odido klantgegevens te lang?

Een andere vraag die hiermee in verband staat, is of Odido de gegevens van klanten niet te lang bewaart. Er zitten ook gegevens tussen van oud-klanten. Volgens Meindersma bestaat er geen vaste maximale bewaartermijn voor persoonsgegevens. Bedrijven hebben een goed onderbouwde reden nodig om persoonsgegevens te bewaren.

Odido bewaart verschillende gegevens van oud-klanten, zoals het bankrekeningnummer, naar eigen zeggen tot twee jaar na het aflopen van het contract. Het is volgens de jurist de vraag of dat te rechtvaardigen is. "Het is logisch dat je contactgegevens nog enige tijd bewaart voor marketingdoeleinden", stelt zij. "Maar andere informatie, waaronder het rekeningnummer, heb je niet meer nodig van een voormalige klant."

Het Financieele Dagblad meldt wel dat ook klanten die al vijf tot tien jaar geleden zijn overgestapt, een mail hebben gekregen waarin staat dat hun gegevens onderdeel zijn van het lek. Odido zegt tegenover het FD te onderzoeken waarom de gegevens van oud-klanten langer dan twee jaar worden bewaard.

"Ik kan me voorstellen dat de Autoriteit Persoonsgegevens vragen gaat stellen aan Odido naar aanleiding van het datalek", zegt Van Dooren. "Dan kunnen zij ook kijken naar de bewaartermijnen. Als de toezichthouder concludeert dat er fouten zijn gemaakt, wordt het voor individuen makkelijker om met succes een schadeclaim in te dienen." De AP reageerde niet op vragen van Tweakers.

Odido stock (bron: Pixelbizz/Getty Images) — Odido. Bron: Pixelbizz/Getty Images

_{Redactie: Kevin Krikhaar • Eindredactie: Monique van den Boomen}

Reacties (177)

D.nukem 17 februari 2026 12:20

Ik begrijp dat het via de credentials van een medewerker ging en niet door een achterdeur via een hack.

Kan iemand mij dan misschien uitleggen hoe het kan dat een medewerker zoveel klanten in een korte tijd in diens eentje kan verwerken zonder dat er een "scrape" beveiliging de toegang blokkeerd?

Nu komt de bedreiging van buitenaf, maar dit soort blokkades dienen er ook te zijn tegen kwaadwillende medewerkers, ik verweis naar de datalek vanuit de GGD door een medewerker intern.

Odido

Hebben klanten schade geleden?

Is Odido aansprakelijk?

Bewaart Odido klantgegevens te lang?

Lees meer

Reacties (177)

Sorteer op:

Weergave: