Datalek bij boekingssysteem gastenverblijf
Tot onze schrik is er een datalek geweest bij het boekingssysteem van het gastenverblijf. Dit is het verblijf waar gasten van patiënten kunnen overnachten. Dit zijn dus geen patiëntkamers.
Wat is er gebeurd?
Het datalek heeft zich op 2 augustus 2026 voorgedaan bij de leverancier (VIPS PMS) van het boekingssysteem van de kamers van het gastenverblijf. Een onbevoegde partij heeft ongeautoriseerd toegang verkregen tot de boekingen. Dit incident heeft leverancier VIPS PMS op 6 augustus aan ons kenbaar gemaakt.
Direct daarna heeft de leverancier aanvullend onderzoek gedaan. Hieruit is duidelijk geworden dat deze onbevoegde partij toegang heeft gekregen tot de boekingen met bijbehorende persoonsgegevens van de gastenkamers van het UMC Utrecht.
Het gaat om boekingen uit het verleden, heden en toekomst. We vinden het erg vervelend dat dit is gebeurd en bieden u hiervoor onze excuses aan.
Welke gegevens zijn ingezien?
De onbevoegde partij heeft toegang gehad tot boekingen en de persoonsgegevens die daarbij horen. Het gaat om:
- Naam
- Geslacht (m/v/x)
- Contactgegevens:
adresgegevens
e-mailadres
telefoonnummer - Boekingsinformatie met o..a. aankomst- en vertrekdatum
Volgens de informatie die we nu hebben, zijn geen financiële gegevens of bijzondere persoonsgegevens geraakt. En dus ook geen patiëntgegevens.
We schatten het risico van dit datalek als beperkt in. Volgens de informatie die we nu hebben, zijn er geen financiële gegevens of bijzondere persoonsgegevens geraakt. Wel kunnen de gelekte contactgegevens mogelijk worden misbruikt om u via e-mail, telefoon, sms of WhatsApp te benaderen.
Bent u gast geweest in ons gastenverblijf?
Dan adviseren wij u het volgende te doen.
We vragen u om extra alert te zijn op onverwachte berichten over uw verblijf of betaling. Het UMC Utrecht vraagt gasten van het gastenverblijf nooit om vooraf digitaal te betalen. U betaalt uw verblijf direct bij het uitchecken. We vragen ook niet via e-mail of WhatsApp om betaalgegevens.
Twijfelt u? Of krijgt u een verdacht bericht? Ga er dan niet op in en klik niet op links in het bericht. Neem bij twijfel contact met ons op via telefoonnummer 088 75 555 55.
Het UMC Utrecht heeft dit incident ook als datalek gemeld bij de Autoriteit Persoonsgegevens. Daarnaast zijn alle betrokken gasten per e-mail geïnformeerd.
Wat heeft de leverancier gedaan?
Om herhaling te voorkomen, heeft leverancier VIPS PMS maatregelen genomen. De leverancier heeft onder andere:
- relevante externe toegang direct geblokkeerd;
- relevante toegangsgegevens opnieuw ingesteld;
- gegevens voor onderzoek naar het incident veiliggesteld;
- extra controles en registratie van activiteiten in het systeem aangezet;
- aanvullende beveiligingsmaatregelen genomen.
Het UMC Utrecht gebruikt het boekingssysteem nog steeds.
Contact opnemen
Bent u ongerust of heeft u nog vragen naar aanleiding van dit bericht? Dan kunt u altijd contact met ons opnemen via telefoonnummer 088 75 555 55.
Voor andere vragen over de Algemene Verordening Persoonsgegeven kunt u contact opnemen met onze Functionaris Gegevensbescherming in het UMC Utrecht, via e-mail functionaris.gegevensbescherming@umcutrecht.nl.
Vragen over het datalek beantwoord
Heeft er een datalek plaatsgevonden bij het boekingssysteem van het gastverblijf en zijn mijn gegevens nog veilig?
Ja, een ongeautoriseerde partij heeft inderdaad toegang gekregen tot het reserveringssysteem van onze leverancier VIPS PMS, wat wij in het gastenverblijf gebruiken. Mogelijk had deze partij ook toegang tot uw gegevens en zijn uw gegevens betrokken geweest bij de datalek.
De onbevoegde partij heeft toegang gehad tot boekingen en de persoonsgegevens die daarbij horen. Het gaat om:
- Uw naam
- Geslacht (m/v/x)
- Uw contactgegevens:
adresgegevens
e-mailadres
telefoonnummer - Boekingsgegevens met uw aankomst en vertrekdata
Volgens de informatie die we nu hebben, zijn geen financiële gegevens of bijzondere persoonsgegevens geraakt.
Wat kan deze partij met mijn gegevens doen?
Deze partij kan uw contactgegevens mogelijk misbruiken om u via e-mail, telefoon, sms of WhatsApp te benaderen. Volgens de informatie die we nu hebben zijn er geen financiële gegevens of bijzondere persoonsgegevens geraakt. Dit betekent dat deze partij met die gegevens niets kan doen.
Wat kan ik zelf doen? Wat moet ik nu doen?
We vragen u om zelf extra alert te zijn op onverwachte berichten over uw verblijf of betaling. Het UMC Utrecht vraagt gasten van het gastverblijf nooit om vooraf digitaal te betalen. U betaalt uw verblijf direct bij het uitchecken. We vragen ook niet via e-mail of WhatsApp om betaalgegevens. Mocht u zulke verdachte berichten ontvangen, verwijder deze dan direct en ga er niet op in.
Welke maatregelen zijn er genomen? Wat doen jullie hieraan?
Om herhaling te voorkomen, heeft onze leverancier VIPS PMS maatregelen genomen. De leverancier heeft onder andere:
- relevante externe toegang direct geblokkeerd;
- relevante toegangsgegevens opnieuw ingesteld;
- gegevens voor onderzoek naar het incident veiliggesteld;
- extra controles en registratie van activiteiten in het systeem aangezet;
- aanvullende beveiligingsmaatregelen genomen.
Dankzij deze maatregelen gebruiken we in het UMC Utrecht het boekingssysteem nog steeds en is het weer veilig.
Het UMC Utrecht heeft dit incident ook als datalek gemeld bij de Autoriteit Persoonsgegevens.
Ik ben toch ongerust, met wie mag ik contact opnemen?
Bent u ongerust of heeft u nog vragen naar aanleiding van dit bericht? Dan kunt u altijd contact met ons opnemen via telefoonnummer 088 75 555 55.
Voor andere vragen over de Algemene Verordening Persoonsgegeven kunt u contact opnemen met onze Functionaris Gegevensbescherming in het UMC Utrecht, via e-mail functionaris.gegevensbescherming@umcutrecht.nl.