Een vergoeding van Odido is er voor niemand automatisch. Het datalek dat in februari bekend werd, geeft op zichzelf geen recht op geld: je moet schade kunnen aantonen. Dat de toezichthouders nog onderzoeken en dat er een collectieve actie is aangekondigd, verandert daar tot nu toe niets aan. Wat je wel kunt doen, staat hieronder.

Wat Odido zelf zegt

Odido schreef in februari volgens Security.nl dat een datalek geen automatisch recht op compensatie geeft en dat klanten op basis van de informatie van dat moment nog geen schade hadden ondervonden. Gemelde schade, zoals phishing, kan volgens Odido met andere incidenten te maken hebben. Het bedrijf zei toen ook dat het lek op zichzelf geen reden is om een contract voortijdig op te zeggen. Odido meldde dat de gegevens van 6,2 miljoen klanten waren gelekt.

De hackers van ShinyHunters eisten een losgeld tussen €1 en €10 miljoen, meldde de NOS op 26 februari. Odido betaalde niet. Het eerst gepubliceerde deel omvatte ongeveer 430.000 consumenten en 290.000 zakelijke klanten, met namen, adressen en notities van Odido over klanten, zoals of er een betalingsachterstand was. Paspoortgegevens, e-mailadressen, telefoonnummers en geboortedata waren toen nog niet gepubliceerd.

Wat je moet aantonen voor een eigen claim

Volgens de NOS moet je in het algemeen drie dingen laten zien: dat je schade hebt, dat het lek die schade veroorzaakte en dat het bedrijf je gegevens onvoldoende beschermde. Zonder aantoonbare schade is een vergoeding dus lastig. Bright schrijft, naar aanleiding van de Autoriteit Persoonsgegevens, dat concrete schade, zoals de kosten van een nieuw paspoort, makkelijker te onderbouwen is dan immateriële schade zoals ongerustheid.

Wil je een eigen claim voorbereiden, bewaar dan kosten (nieuw paspoort of identiteitsbewijs, extra bankkosten), phishingberichten met datum en afzender, en aantekeningen over wat je hebt gedaan om je te beschermen.

De stand van de onderzoeken

De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur (RDI) startten eind maart een formeel onderzoek, meldde Customer First. De AP kijkt naar de bewaartermijnen en de AVG-regel dat je persoonsgegevens niet langer bewaart dan nodig. Aanleiding zijn honderden klachten van mensen die al langer geen klant meer waren en toch in het lek zaten. De RDI onderzoekt of de beveiliging voldeed aan de Telecommunicatiewet en de Regeling veiligheid en integriteit telecommunicatie.

Een boete of uitspraak is er niet. Wanneer de onderzoeken klaar zijn, is niet bekend.

Ben je al jaren geen klant meer? Dan kun je toch in het lek zitten. Dat is precies waar de AP naar kijkt: waarom stonden gegevens van oud-klanten er nog? Ook de collectieve actie van CUIC staat open voor oud-klanten van Odido, T-Mobile, Tele2 en Ben. Wil je daarover een klacht indienen, meld die dan bij de AP zelf, en bij Odido via de gebruikelijke klachtenroute.

Collectieve actie: CUIC

De stichting Consumers United in Court (CUIC) kondigde in april een collectieve rechtszaak tegen Odido aan, volgens BeveiligingNieuws. CUIC verwijt Odido onder meer dat het data te lang en in te grote hoeveelheden bewaarde, onvoldoende beveiligde en niet transparant was. Het wil schadevergoeding en openheid over de oorzaak. Je kunt je op de site van CUIC gratis aanmelden als (voormalig) klant van Odido, T-Mobile, Tele2 of Ben. De zaak wordt gefinancierd door Omni Bridgeway op basis van no cure, no pay: verliest CUIC, dan ben je niemand iets verschuldigd. Na het tekenen van de deelnameovereenkomst kun je binnen 14 dagen kosteloos annuleren.

Verwacht niet te snel geld. Massaschadewijzer, die zelf geld verdient aan claimorganisaties, schrijft dat de zaak in de fase 'aankondiging' zit en dat nog geen rechtszaak is gestart, en dat dit soort procedures meestal jaren duurt. Bright, dat Tweakers citeert, noemt een CUIC-woordvoerder die ongeveer €500 per deelnemer noemt, maar de basis van dat bedrag is onduidelijk en er is geen zekerheid. Of CUIC in het Centraal Register Collectieve Vorderingen op rechtspraak.nl staat, kun je daar zelf controleren.

Let op nepmails over €469

Sinds de zomer circuleert een mail met 'Je ontvangt €469 vergoeding wegens het datalek'. Opgelicht schreef op 22 juni dat die mail niet van Odido komt. Het afzendadres was Braziliaans, de knop leidde naar een domein dat niet van Odido is, er zaten taalfouten in en de mail zette je onder tijdsdruk. Volgens Odido is er geen officiële collectieve claim waarmee klanten automatisch €469 krijgen.

Heb je geklikt, neem dan contact op met Odido, bel je bank als je betaalgegevens hebt ingevuld of geld hebt overgemaakt, wijzig ingevulde wachtwoorden, zet tweestapsverificatie aan en draai een virusscan.

Risico's voor zakelijke klanten en zzp'ers

Ook zakelijke gegevens zaten in de eerste publicatie. De NOS wijst erop dat bij eenmanszaken oudere btw-nummers gebaseerd zijn op het burgerservicenummer van de eigenaar, zodat een gelekt btw-nummer in dat geval een BSN kan blootleggen. Identiteitsfraude is volgens de NOS lastiger geworden doordat veel organisaties extra controles vragen, zoals DigiD, maar blijft in theorie mogelijk. Criminelen kunnen de gegevens ook gebruiken om je per mail of telefoon te benaderen met een geloofwaardig verhaal over je abonnement of betaalachterstand. Dat laatste is lastig te herkennen, omdat Odido's notities over klanten, zoals betalingsachterstanden, in de eerste publicatie zaten.

Zo controleer je of je gegevens zijn gelekt

  1. Zoek je e-mailadres op in haveibeenpwned.com/Breach/Odido. Dat werkt alleen als je adres is gepubliceerd, en niet elk gestolen adres is vrijgegeven.
  2. Gebruik Check Je Hack van de politie. Volgens de NOS zou dit lek daar uiteindelijk in komen.
  3. Download de gelekte bestanden niet. Dat is volgens de politie illegaal.
  4. Behandel onverwachte mails en bellers met je gegevens als verdacht. Bel zelf terug via het nummer op odido.nl.

Meld je aan bij CUIC als je mee wilt doen, en bewaar vanaf nu alles wat je schade zou kunnen onderbouwen.