De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) zijn een onderzoek gestart naar de bewaartermijnen en beveiliging van klantgegevens bij telecombedrijf Odido. Dit volgt op een datalek waarbij gegevens van ruim zes miljoen klanten werden gestolen en openbaar gemaakt nadat Odido weigerde losgeld te betalen.

Odido waarschuwde klanten over het datalek, maar daarbij bleken ook gegevens van personen te zijn gelekt die al jaren geen klant meer zijn. RTL Nieuws meldde dat Odido gegevens van oud-klanten langer bewaarde dan het bedrijf zelf aangeeft. In de gelekte dataset stonden gegevens van mensen die al vijf jaar geen klant meer waren. Odido stelt dat het een bewaartermijn van twee jaar hanteert na afhandeling van alle verplichtingen, zoals openstaande rekeningen en servicevragen.

De AP ontving honderden klachten van mensen die aangaven dat hun gegevens waren gelekt terwijl zij al lange tijd geen klant meer waren. Vicevoorzitter Monique Verdier van de AP geeft aan dat het datalek veel impact heeft en dat de AP alle signalen serieus neemt. De toezichthouder heeft informatie opgevraagd bij Odido en ziet aanleiding voor een formeel onderzoek. De RDI en AP onderzoeken daarnaast gezamenlijk de technische beveiliging van de gegevens, waarbij de RDI de leiding heeft vanwege haar expertise in de telecomsector.

Volgens berichtgeving van de NOS vond de datadiefstal plaats via een telefonische phishingaanval, een methode waar eerder al voor was gewaarschuwd. De AP richt zich in het onderzoek op de beveiliging van persoonsgegevens, terwijl de RDI zich focust op de telecomspecifieke aspecten. De samenwerking tussen beide toezichthouders is bedoeld om het onderzoek zo effectief mogelijk te laten verlopen.