De Rijksinspectie Digitale Infrastructuur (RDI) houdt vrijwel volledig vast aan de miljoenenboete die telecomprovider Odido vorig jaar kreeg voor onvoldoende beveiliging van het wettelijke aftapsysteem. Na bezwaar van het bedrijf wordt het bedrag slechts beperkt verlaagd, met 50.000 euro. Odido moet daarmee nog altijd bijna 1,47 miljoen euro betalen.
De zaak draait om de beveiliging van het systeem waarmee bevoegde opsporings- en inlichtingendiensten, onder strikte voorwaarden, communicatieverkeer kunnen aftappen. Telecomproviders zijn verplicht deze infrastructuur zwaar te beveiligen en alleen toegankelijk te maken voor daarvoor geautoriseerd personeel.
Lees ook: Aftapsysteem onvoldoende beveiligd: Odido krijgt boete van 1,5 miljoen euro
Odido-boete
Volgens de RDI voldeed Odido in 2021 en 2022 niet aan die eisen. De toezichthouder stelde vast dat medewerkers toegang hadden tot het aftapsysteem zonder dat Odido zelf kon aantonen dat voor hen de vereiste verklaringen omtrent het gedrag, de VOG’s, beschikbaar waren. Dat leidde in 2025 tot een boete van ruim 1,5 miljoen euro.
Odido tekende direct bezwaar aan tegen de sanctie. De RDI heeft dat bezwaar inmiddels beoordeeld en concludeert dat de kern van de eerdere beslissing overeind blijft.
Beperkte matiging
Wel verlaagt de toezichthouder het boetebedrag met 50.000 euro. Odido voerde tijdens de bezwaarprocedure aan dat de betrokken medewerkers wel degelijk over een VOG beschikten, ook al had het bedrijf die verklaringen destijds zelf niet in bezit.
Omdat de documenten wel bleken te bestaan, ziet de RDI aanleiding voor een beperkte matiging. Aan de hoofdconclusie verandert dat echter niets: Odido had de beveiliging rond het aftapsysteem niet voldoende op orde en kon niet aantonen dat alleen correct gescreend personeel toegang had tot een uiterst gevoelig deel van zijn infrastructuur.
Dat is relevant omdat het aftapsysteem toegang geeft tot communicatiegegevens die onder omstandigheden onderdeel kunnen zijn van strafrechtelijk of inlichtingenonderzoek. De beveiliging ervan geldt daarom als een zwaarwegende verplichting.
Beveiliging
De zaak onderstreept dat toezichthouders streng kijken naar de beveiliging van kritieke telecomsystemen. Juist bij infrastructuur die bedoeld is voor wettelijk aftappen zijn toegang, screening en controle essentieel. Wanneer een provider die basis niet aantoonbaar op orde heeft, kunnen forse sancties volgen.