Odido-routers stuurden stiekem informatie over klanten naar Amerikaans AI-bedrijf

In dit artikel:

Odido heeft zonder medeweten van klanten MAC‑adressen en apparaatnamen uit consumentenrouters doorgestuurd naar een Amerikaans AI‑bedrijf. Het gaat om unieke netwerkidentificatoren en herkenbare toestelnamen die, ook zonder verdere persoonsgegevens, kunnen worden gebruikt om apparaten te identificeren en gedragspatronen te koppelen aan individuele huishoudens.

De privacyrisico’s zijn meerdere: MAC‑adressen maken langdurige profilering mogelijk en samen met andere datasets kunnen gebruikers worden gedereanonimiseerd; apparaatnamen kunnen persoonlijke informatie prijsgeven (bijvoorbeeld eigenaarsnamen of typen die op locatie wijzen); en derdelanden zoals marketingbedrijven of kwaadwillenden zouden deze informatie kunnen benutten voor gerichte advertenties, inbreuk op thuisprivacy of locatieherleiding. Daarnaast roept het doorsturen van data naar een Amerikaanse partij vragen op over rechtsgrondslag, transparantie en deugdelijk toezicht bij grensoverschrijdende gegevensoverdracht onder de AVG/GDPR.

Voor zowel gebruikers als toezichthouders zijn er concrete stappen: Odido zou klanten proactief moeten informeren, verklaren welke data precies zijn gedeeld, welke rechtsgrond is gebruikt, en welke waarborgen en contracten (bijv. standaardcontractbepalingen) gelden voor de overdracht. Verwijdering of pscudonimisering van reeds gedeelde gegevens en een software‑patch om toekomstig lekken te stoppen zijn noodzakelijke maatregelen. Klanten kunnen hun routerinstellingen controleren, firmware updaten, contact opnemen met Odido voor uitleg en zo nodig een verzoek tot inzage of verwijdering indienen bij de provider of een klacht indienen bij de Autoriteit Persoonsgegevens.

Breder laat dit incident zien dat telecomoperators die externe AI‑diensten inzetten een zorgvuldige balans moeten houden tussen innovatie en privacy: dataverzameling moet minimaal, transparant en juridisch onderbouwd zijn.