TU Delft negeert waarschuwingen en stopt gevoelige gegevens van (oud)studenten in de cloud

BSN-nummers, bankgegevens en zelfs medische gegevens… De TU Delft heeft data van (oud)studenten naar de cloud verhuisd die volgens privacywetgeving al verwijderd hadden moeten worden. Dat schrijft universiteitsblad Delta.

Veel hogescholen en universiteiten in Nederland maken gebruik van het informatiesysteem Osiris. Studenten gebruiken het bijvoorbeeld bij het inschrijven voor vakken en tentamens. Daarnaast worden er persoonsgegevens in bewaard, zoals adressen, rekeningnummers en studieresultaten.

Ook de Technische Universiteit Delft werkt met Osiris. In november vorig jaar besloot de instelling de gegevens te verhuizen naar een Nederlandse cloudomgeving. Met andere woorden: weg van de eigen servers.

Daarbij werden de persoonsgegevens van zo’n 267 duizend (oud)studenten en aanmelders overgezet. Maar daar zaten ook gegevens tussen die verwijderd hadden moeten zijn, blijkt uit onderzoek van universiteitsblad Delta.

Onbeperkt bewaren

Volgens de AVG zijn organisaties verplicht om persoonsgegevens te verwijderen “zodra die niet langer nodig zijn voor het oorspronkelijke doel waarvoor ze zijn verzameld”. Een universiteit mag dus niet de gegevens van haar (oud)studenten onbeperkt bewaren.

Bovendien bleken er ook medische gegevens in Osiris te staan, schrijft Delta. Studenten moesten soms bijvoorbeeld medische of dyslexieverklaringen uploaden om extra tijd voor een tentamen aan te vragen. Volgens de universiteit is Osiris hier niet voor bedoeld, maar in de praktijk gebeurde dat wel.

Voorafgaand aan de verhuizing werd de TU Delft meerdere keren gewaarschuwd om eerst de data op te schonen. Daar werd echter geen gehoor aan gegeven. Een deskundige zegt tegen Delta dat de universiteit een boete van de Autoriteit Persoonsgegevens kan krijgen.

Techgiganten

Ook andere universiteiten bewaren steeds vaker gegevens in de cloud in plaats van op eigen servers. Daar komt ook een ander risico bij kijken: door het beheer uit handen te geven, verliezen universiteiten een deel van de controle over de gegevens.

Osiris heeft een Amerikaanse eigenaar. Eerder dit jaar zeiden universiteiten dat ze minder afhankelijk willen worden van Amerikaanse techgiganten.