Sportwinkelketen Sprinter heeft een boete van 2,6 miljoen euro gekregen wegens een groot datalek waarbij criminelen de gegevens van bijna 6,4 miljoen mensen wisten te stelen, waaronder meer dan 1,1 miljoen Nederlanders. De boete werd opgelegd door de Spaanse privacytoezichthouder AEPD. Die stelt dat het datalek, veroorzaakt door een ransomware-aanval, met aanvullende beveiligingsmaatregelen voorkomen had kunnen worden. Hoewel het incident zich eind 2023 voordeed, is het aantal slachtoffers tot nu toe nooit bekend geworden.

De gestolen gegevens bestonden uit namen, adresgegevens, e-mailadressen, telefoonnummers, geboortedatum en "ID/belastingnummer" van klanten. Van medewerkers waren ook kopieën van paspoorten en andere identiteitsbewijzen buitgemaakt, alsmede gezondheidsgegevens en rekeninggegevens. De aanvallers wisten met geldige inloggegevens toegang tot de systemen van Sprinter te krijgen. Hoe deze inloggegevens konden worden gestolen is niet duidelijk geworden.

Volgens onderzoekers had Sprinter geen adequate technische en organisatorische maatregelen getroffen om persoonlijke gegevens goed te beschermen. Verder bleek dat interne waarschuwingen niet waren opgevolgd en verschillende niet verder genoemde kwetsbaarheden in de infrastructuur het mogelijk maakten voor de aanvallers om zich snel binnen de omgeving te bewegen. De AEPD stelt ook dat Sprinter slachtoffers van het datalek niet tijdig van voldoende informatie heeft voorzien.

De Spaanse privacytoezichthouder concludeert dat de sportwinkelketen meerdere bepalingen van de AVG heeft overtreden. Hiervoor legde de AEPD een boete van 2,6 miljoen euro op. Spaanse wetgeving biedt bedrijven en organisaties de mogelijkheid om korting te krijgen als men verantwoordelijkheid neemt en de voorgestelde boete betaalt. Elke optie verlaagt de boete met twintig procent. Door zowel de fout te erkennen als de verlaagde boete te betalen kreeg Sprinter veertig procent korting, waardoor de uiteindelijke boete op zo'n 1,6 miljoen euro uitkomt (pdf). Sprinter besloot eind 2023 de winkels in Nederland te sluiten.