Het Universitair Medisch Centrum (UMC) Utrecht heeft bevestigd dat de persoonsgegevens van ongeveer 5.000 mensen uitlekten via het boekingssysteem van het gastenverblijf. Volgens de woordvoerder gaat het niet om medische dossiers of bijzondere categorieën persoonsgegevens, maar om naam-, contact- en boekingsgegevens.
Aard van het lek en getroffen data
Het lek ontstond in het systeem waarmee kamers in het gastenverblijf worden geboekt. Via die kwetsbaarheid konden derden volgens het ziekenhuis vanaf 2 augustus toegang krijgen tot gegevens van personen die een kamer hadden geboekt. Het UMC noemt de gelekte informatie concreet: naam, geslacht, contactgegevens en boekingsinformatie.
Het UMC Utrecht schat het risico zelf "beperkt" in.
Het ziekenhuis benadrukt dat er geen financiële informatie is vrijgekomen en ook geen bijzondere persoonsgegevens in de zin van de wet, zoals medische dossiers of gegevens over iemands gezondheidstoestand.
Reactie van het UMC en vervolgacties
Het UMC Utrecht heeft het datalek gemeld bij de Autoriteit Persoonsgegevens. Daarnaast heeft de leverancier van het boekingssysteem volgens het ziekenhuis maatregelen genomen om de kwetsbaarheid dicht te zetten en herhaling te voorkomen. Nadere technische details over de aard van de fout of de exacte aanpak van de leverancier zijn niet door het UMC verstrekt.
Het ziekenhuis geeft aan dat het risico voor betrokkenen beperkt is en dat er geen aanwijzingen zijn dat de gelekte data is misbruikt. Desondanks wordt het incident officieel gemeld conform de meldplicht bij de privacywaakhond.
Wat dit betekent voor betrokkenen
Hoewel er volgens het UMC geen medische of financiële gegevens zijn vrijgekomen, blijven namen en contactgegevens op zichzelf waardevol voor kwaadwillenden. Mogelijke risico's voor betrokkenen zijn onder meer:
- ongewenste benaderingen via telefoon of e-mail;
- phishingpogingen die gebruikmaken van persoonlijke boekingsinformatie;
- identiteitsgerelateerde fraude wanneer meerdere gegevens gecombineerd worden met andere bronnen.
Het ziekenhuis heeft nog geen specifiek advies aan betrokkenen gepubliceerd in de berichtgeving. In vergelijkbare gevallen adviseren privacy-experts doorgaans om alert te zijn op verdachte berichten, contactverzoeken en ongewone geldtransacties. Personen die zich zorgen maken, kunnen bovendien contact opnemen met het UMC of de Autoriteit Persoonsgegevens voor meer informatie of vragen over mogelijke vervolgstappen.
Context: gastenverblijven en privacy in ziekenhuizen
Gastenverblijven bij ziekenhuizen bieden plek aan familieleden en naasten van opgenomen patiënten. Hoewel de systemen voor dergelijke verblijven vaak minder gevoelige medische data bevatten, bevatten ze wel persoonsgegevens die gekoppeld zijn aan een ziekenhuisomgeving. Door de combinatie van namen, verblijfsoverzichten en contactinformatie kan de privacygevoeligheid groter zijn dan op het eerste gezicht lijkt.
In de afgelopen jaren zijn Nederlandse zorginstellingen vaker doelwit geweest van datalekken en ransomware-aanvallen. De Autoriteit Persoonsgegevens houdt toezicht op naleving van de privacyregels en legt bij overtredingen sancties op. Meldingen door instellingen zijn verplicht bij een incident dat mogelijk aanzienlijke gevolgen heeft voor betrokkenen.
Overzicht: wat is er gelekt?
| Item | Volgens UMC |
|---|---|
| Aantal betrokkenen | 5.000 |
| Datum van toegang | 2 augustus |
| Type gegevens | naam, geslacht, contactgegevens, boekingsinformatie |
| Gelekte medische data? | Nee |
| Gelekte financiële data? | Nee |
Praktische tips voor wie betroffen kan zijn
- Wees alert op onbekende e-mails of telefoontjes die naar gegevens vragen of links bevatten.
- Controleer afzenders zorgvuldig en klik niet op verdachte links of bijlagen.
- Bewaar correspondentie van het UMC als bewijs en neem contact op met het ziekenhuis bij onduidelijkheden.
- Overweeg meldingen van phishing of fraude bij de politie en de Autoriteit Persoonsgegevens.
Het UMC Utrecht heeft in de eerste berichten geen nadere lijst gepubliceerd met contactgegevens voor vragen. Betrokkenen die zekerheid zoeken over hun eigen situatie kunnen rechtstreeks contact opnemen met het ziekenhuis voor meer informatie en eventuele vervolgmaatregelen.
De melding bij de Autoriteit Persoonsgegevens betekent dat de toezichthouder op de hoogte is en kan besluiten het incident verder te onderzoeken of aanvullende vragen te stellen aan het UMC en de leverancier. Voorlopig houdt het UMC vast aan de inschatting dat het risico beperkt is, maar de impact op individuen kan per geval verschillen.
Correspondent: Hicham Bensaïd, WE NEWS Utrecht.
