Utrecht. Het Universitair Medisch Centrum Utrecht (UMC Utrecht) maakt bekend dat via het boekingssysteem van het gastenverblijf persoonsgegevens van ongeveer 5.000 mensen zijn gelekt. Het datalek ontstond bij de leverancier van het systeem en deed zich voor op 2 augustus, aldus een woordvoerder van het ziekenhuis.
Wat er is vrijgekomen
Volgens het UMC betreft het geen medische dossiers of financiële informatie. Wel hadden onbevoegden toegang tot de boekingen en de daaraan gekoppelde persoonsgegevens, zoals namen, geslacht, contactgegevens en details over de reserveringen. Het gastenverblijf beschikt over acht tweepersoonskamers die bedoeld zijn voor naasten van opgenomen patiënten.
"Het gaat niet om medische informatie", zei de woordvoerder van het UMC Utrecht.
Beoordeling van het risico en vervolgmaatregelen
Het ziekenhuis schat het risico op nadelige gevolgen voor betrokkenen als beperkt in, omdat het niet om bijzondere persoonsgegevens of betaalgegevens gaat. Desondanks is het incident aangemeld bij de Autoriteit Persoonsgegevens (AP). De leverancier van het boekingssysteem heeft maatregelen getroffen nadat het lek werd ontdekt.
Praktische gevolgen voor betrokkenen
Wie in het gastenverblijf heeft geboekt, kan mogelijk met ongewenste contactpogingen of gerichte advertenties te maken krijgen wanneer contactgegevens zijn ingezien. Zelfs wanneer medische gegevens niet zijn gelekt, kunnen combinaties van naam, verblijfstijd en relationele context privacygevoelens en veiligheidszorgen oproepen bij betrokkenen.
- Omvang van het lek: circa 5.000 personen
- Datum van het incident: 2 augustus
- Type gegevens: naam, geslacht, contactgegevens, boekingsinformatie
- Geen medische of financiële gegevens volgens het UMC
Wettelijke meldplicht en toezicht
Organisaties die persoonsgegevens verwerken, moeten datalekken melden bij de Autoriteit Persoonsgegevens wanneer het lek kan leiden tot risico's voor betrokkenen. De melding door het UMC Utrecht volgt deze wettelijke verplichting. De AP kan besluiten tot verder onderzoek of sancties, afhankelijk van de ernst en de naleving van passende technische en organisatorische maatregelen.
Wat ziekenhuizen en leveranciers moeten doen
Het incident laat zien dat niet alleen medische ICT-systemen kwetsbaar zijn; ook ondersteunende systemen zoals boekingsplatforms vormen een vector voor datalekken. Zorginstellingen en hun leveranciers worden geacht passende beveiliging te garanderen, waaronder controle op toegang, versleuteling van data en het snel dichten van kwetsbaarheden.
Advies voor betrokkenen
Ook als de AP en het UMC het risico als beperkt inschatten, zijn enkele voorzorgsmaatregelen verstandig voor mensen die hebben geboekt:
- Controleer of er verdachte e-mails of berichten binnenkomen en klik niet op onbekende links.
- Wees alert op ongevraagde telefoontjes of sms'jes waarin om persoonlijke informatie wordt gevraagd.
- Overweeg contact op te nemen met het UMC voor meer informatie over welke gegevens precies waren betrokken.
Lokale context en vervolg
Voor ziekenhuizen in Nederland is het vertrouwen van patiënten en hun naasten essentieel. Data-incidenten zoals deze kunnen het vertrouwen schaden, ook al zijn er geen medische gegevens gelekt. Het UMC Utrecht en andere zorginstellingen zullen naar verwachting extra aandacht besteden aan de beveiliging van alle systemen die persoonsgegevens verwerken, niet alleen de medische dossiersystemen.
De Autoriteit Persoonsgegevens bepaalt of nader onderzoek noodzakelijk is en of aanvullende maatregelen of sancties volgen. Het UMC en de leverancier zullen transparant moeten blijven over vervolgacties en welke stappen getroffen worden om herhaling te voorkomen.
Deze reportage geeft de feiten zoals door het ziekenhuis aan ons doorgegeven; aanvullende informatie over door de leverancier genomen technische maatregelen of een reactie van de Autoriteit Persoonsgegevens is op dit moment niet gepubliceerd.
