Datalek op UT, werknemers konden gegevens collega’s inzien: ‘Een fout, maar de schade valt mee’

De gegevens waar het om gaat, zijn onder meer geboortedata, bankrekeningnummers, data van indiensttreding, medewerker-type en functie. Het lek is ontstaan bij de uitrol van nieuwe financiële administratiesoftware. 

„Daarbij is één vinkje te veel aan- of uit gezet, waardoor veel meer mensen dan de bedoeling was inzicht hadden in die gegevens”, legt finance-directeur Dennis van Zijl uit. Uitsluitend financiële medewerkers die de salarisadministratie doen of bijvoorbeeld wat van doen hebben met subsidies voor projecten zouden bij de gegevens moeten kunnen komen.

Een UT-medewerker ontdekte het lek afgelopen dinsdagochtend. „Die vertelde: ‘Ik geloof dat ik nu dingen in kan zien die ik niet hoor te zien.’ Daarna hebben we direct U-Today (medium dat schrijft over reilen en zeilen op de UT) en de Autoriteit Persoonsgegevens ingeseind. Dat is beleid. Zo was iedereen die het aanging snel op de hoogte.”

De fout is volgens Van Zijl maandag gemaakt en in de tussentijd hebben maximaal 116 medewerkers ingelogd, vertelt hij. Om bij de gegevens te komen, moest je als gebruiker nog behoorlijk wat handelingen verrichten. Daarom verwacht Van Zijl dat het werkelijke aantal medewerkers dat de gegevens heeft ingezien lager ligt.

„Neemt niet weg dat dit een fout is. Dankzij die oplettende medewerker hebben we die snel kunnen herstellen. Maar dit had niet mogen gebeuren.”

Van Zijl benadrukt dat de nieuwe software deugt. „Het ligt niet aan dit nieuwe systeem, het was een menselijke fout waarbij rollen en de gebruikersrechten die daarbij horen verkeerd zijn toegewezen.”

Volgens Finance-directeur Dennis van Zijl kwam dit door het verkeerd toewijzen van rollen van gebruikers binnen het systeem. ‘Zodoende zijn er veel rollen tegelijkertijd opengezet, waar dat niet de bedoeling was. Dat heeft niet zozeer met de software te maken, dit had met ieder systeem kunnen gebeuren. Na de melding hebben we het snel weten te herstellen, maar we betreuren dat dit incident plaatsvond. Dat moet natuurlijk niet gebeuren.’