Orange moet datalek bekendmaken onder GDPR

De datalek zou twee weken geleden gebeurd zijn. Alle slachtoffers kregen pas eergisteren een mail van Orange waarin ze van het incident op de hoogte gesteld worden. Techzine kon die mail inkijken. Het bedrijf meldt daarin dat ‘naam, voornaam, postadres, e-mailadres, telefoonnummer, het nummer van je identiteitskaart, je rijksregisternummer of je rekeningnummer’ mogelijk in handen zijn gevallen van cybercriminelen. Welke precies, verschilt van klant tot klant. Kredietkaartnummers of factuurgegevens zouden niet ontfutseld zijn.

Volgens Orange zouden de gegevens op een testserver terechtgekomen zijn via een onderaannemer. Het bedrijf moest de datalek melden, als gevolg van de nieuwe GDPR-wet. Die zegt dat bedrijven de plicht hebben om dit soort lekken binnen drie dagen te melden. Als de Gegevensbeschermingsautoriteit (de vroegere Privacycommissie) vindt dat het bedrijf niet genoeg gedaan heeft om de gegevens te beschermen, kan het alsnog beboet worden.