Ticketmaster riskeert miljoenenboete onder nieuwe datawet

Ticketmaster hangt een boete boven het hoofd die zou kunnen oplopen tot 20 miljoen euro. Volgens The Times heeft het ticketingbedrijf het datalek van 23 juni niet binnen 72 uur gemeld. Dit had onder de nieuwe AVG-wet wel gemoeten.

Ticketmaster werd al op 12 april gewaarschuwd over een mogelijk datalek. De Britse digitale bank Monzo claimt op zijn blog dat een week daarvoor, op 6 april, al rond de vijftig meldingen van klanten ontving over frauduleuze transacties. Bij 70 procent van de gevallen ging het om bankpassen die ook waren gebruikt om kaarten te kopen bij Ticketmaster. Volgens Monzo gebruikt ongeveer 0,8 procent van zijn klanten Ticketmaster. De digitale bank zou daarna contact hebben opgenomen met andere banken en de Amerikaanse geheime dienst (die over creditcardfraude gaat). Zij wisten niet van soortgelijke zaken.

In het weekend na 6 april, werd er opnieuw geprobeerd om vier transacties via Monzo uit te voeren. Deze werden geblokkeerd, maar de bank meldt dat alle vier kaarten ook gebruikt werden voor aankopen via Ticketmaster. Monzo heeft daarna contact opgenomen met de Britse tak van Ticketmaster, waarna een veiligheidsteam het kantoor van de bank bezocht en informatie werd uitgewisseld.

De bank claimt verder dat er in de daaropvolgende weken verschillende frauduleuze pogingen werden gedaan met Monzo-kaarten die ook bij Ticketmaster gebruikt zouden zijn. Om geen verdere risico’s te nemen, verstuurde de bank 6000 nieuwe creditcards naar klanten. Monzo zegt dat zij constant in contact waren met de ticketverkoper maar te horen kreeg dat een intern onderzoek had uitgewezen dat er geen bewijs was gevonden van een hack.

Op 23 juni meldde Ticketmaster UK dat ‘schadelijke software werd vastgesteld op een customer services product dat werd gehost door Inbenta Technologies, een externe leverancier van Ticketmaster’. Minder dan 5% van de klanten wereldwijd zou zijn beïnvloed door het incident. Volgens de BBC ging het om 40.000 Britse klanten. Ticketmaster heeft via een mail ook de Nederlandse klanten op de hoogte gesteld van het datalek.

The Times schrijft nu dat Ticketmaster onder de AVG-wet mogelijk een flinke boete te wachten staat, aangezien datalekken binnen 72 uur moeten worden gemeld. Ook The Guardian meldt dat het ticketingbedrijf ‘vragen kan verwachten over waarom het incident werd stilgehouden.’