Het UMC Utrecht heeft bevestigd dat door een datalek in het boekingssysteem van het ziekenhuisgastenverblijf persoonsgegevens van ongeveer 5.000 personen zijn uitgelekt. Het lek deed zich voor op 2 augustus bij de leverancier van het systeem, VIPS PMS. Het ziekenhuis benadrukt dat het niet gaat om medische gegevens.
Wat er is vrijgekomen
Door het lek kregen derden toegang tot boekingsgegevens en de daarbij behorende persoonsgegevens. Volgens een woordvoerder gaat het om naam, geslacht, contactgegevens en boekingsinformatie. Het UMC Utrecht schat het risico op misbruik in als beperkt, omdat er geen financiële gegevens of bijzondere categorieën van persoonsgegevens zijn getroffen.
"Volgens de informatie die we nu hebben, zijn er geen financiële gegevens of bijzondere persoonsgegevens geraakt."
Reactie en maatregelen
De leverancier heeft het incident op 6 augustus gemeld aan het ziekenhuis. Direct daarop zijn meerdere maatregelen genomen om verdere toegang te voorkomen en het systeem te beveiligen. Volgens het UMC Utrecht zijn onder meer de relevante toegangscodes geblokkeerd, toegangsgegevens opnieuw ingesteld en aanvullende controles en logging toegevoegd aan het systeem.
- Incidentdatum: 2 augustus (bij leverancier VIPS PMS)
- Melding aan UMC Utrecht: 6 augustus
- Aantal betrokken personen: circa 5.000
- Aard van de gegevens: naam, geslacht, contactgegevens en boekingsinformatie
Melding en communicatie
Het UMC Utrecht heeft het datalek gemeld bij de Autoriteit Persoonsgegevens. Daarnaast is alle betrokkenen per e-mail geïnformeerd over het incident. Het ziekenhuis geeft aan dat het systeem nog in gebruik is, ondanks het voorval. Er is geen aanwijzing dat medische dossiers of financiële informatie zijn aangetast.
| Onderdeel | Gegeven |
|---|---|
| Aantal betrokkenen | ~5.000 |
| Aantal kamers in het gastenverblijf | 8 tweepersoonskamers |
| Datum lek | 2 augustus |
| Datum melding aan ziekenhuis | 6 augustus |
Lokale gevolgen en aandachtspunten
Voor Utrechtse inwoners heeft het incident een directe privacycomponent: gasten van het UMC-verblijf zijn vaak naasten van ziekenhuispatiënten en vertrouwen op zorginstellingen voor veilige omgang met persoonsgegevens. Hoewel het ziekenhuis stelt dat het risico beperkt is en er geen bijzondere of financiële data zijn gelekt, blijft de uitwisseling van contactgegevens en boekingsinformatie gevoelig voor identiteitsfraude of ongevraagde benadering.
De keuze van het UMC Utrecht om het boekingssysteem in gebruik te houden roept vragen op over de toetsing van de getroffen maatregelen en de waarborging van privacy bij uitbestede IT-diensten. Voor de betrokkenen biedt de melding bij de Autoriteit Persoonsgegevens een formele route om toezicht en eventuele vervolgacties te laten onderzoeken.
Het UMC Utrecht heeft aangegeven nauw samen te werken met de leverancier aan verdere beveiliging en monitoring. Voor nu blijft het belangrijk dat betrokkenen alert zijn op ongewone berichten of verzoeken en dat zij bij twijfel contact opnemen met het ziekenhuis of de Autoriteit Persoonsgegevens.
