De Autoriteit Persoonsgegevens heeft Booking.com een boete van EUR 475.000 opgelegd voor het te laat melden van een datalek. Het bedrijf werd op 13 januari 2019 op de hoogte gebracht van het lek, maar meldde dit pas op 7 februari bij de AP. Dat is 22 dagen te laat, aangezien een datalek binnen 72 uur gemeld dient te worden.
AP-vicevoorzitter Monique Verdier spreekt van 'een ernstige overtreding': "Om schade voor je klanten en herhaling van zo’n datalek te voorkomen, moet je een datalek op tijd melden. Die snelheid is van groot belang. In de eerste plaats voor de slachtoffers van een lek. De AP kan een bedrijf na zo’n melding onder meer opdragen meteen getroffen klanten te waarschuwen. Om zo te voorkomen dat criminelen bijvoorbeeld weken de tijd krijgen om door te gaan met pogingen klanten op te lichten."
Bij het datalek werden in totaal de gegevens van 4.109 mensen buitgemaakt de via Booking.com een hotelkamer hadden geboekt in de Verenigde Arabische Emiraten. De hackers konden van 283 mensen de creditcardgegevens inzien.
Booking.com: 'maatregelen'
Booking.com zegt in een schriftelijke reactie: “De boete van de Autoriteit Persoonsgegevens heeft specifiek betrekking op het te laat melden van dit incident en staat niet in verband met de beveiligingspraktijken van Booking.com, noch met de algehele afhandeling van het incident in kwestie.”
De problemen zaten volgens Booking bij enkele hotels op het platform, niet in de software van Booking zelf. Het bedrijf zegt dat het de kwestie intern niet snel genoeg heeft geëscaleerd en extra maatregelen neemt om waakzamer en sneller te reageren.
