TU Delft verplaatst persoonsgegevens naar cloud zonder noodzakelijke schoonmaak
De Technische Universiteit Delft heeft in november 2025 persoonlijke gegevens van meer dan 267.000 studenten en alumni naar de cloud verplaatst, zonder de records te verwijderen die dit vereisten. Dit blijkt uit een onderzoek door campusmagazine Delta, meldt Nieuws Impuls. Medische verklaringen maakten deel uit van de bestanden die in een systeem van Caci BV, de Nederlandse dochteronderneming van het Amerikaanse defensiebedrijf Caci International, zijn geplaatst. Hierdoor kan de leverancier deze bestanden nu openen zonder toestemming van de universiteit.
Voorafgaand aan de migratie was de universiteit zich bewust dat haar studenteninformatiesysteem, Osiris, nog records bevatte die hun wettelijke bewaartermijnen overschreden. Volgens Delta hadden interne adviseurs, de medezeggenschapsraad en de eigen functionaris voor gegevensbescherming van de universiteit geadviseerd tot een schoonmaakactie. TU Delft heeft dit echter niet op grote schaal uitgevoerd. Privacy-experts die met Delta spraken, noemden de beslissing nalatig en een schending van de Europese privacywetgeving.
“Als je 267.000 mensen in je database hebt, moet je de tijd nemen om deze systematisch op te schonen,” aldus Bart Jacobs, professor digitale veiligheid aan de Radboud Universiteit. “Gezien de recente grote datalekken, zoals bij Clinical Diagnostics en Odido, is dergelijke nalatigheid onacceptabel en onverantwoord.”
De universiteit loopt het risico op een boete van de Autoriteit Persoonsgegevens als er een klacht wordt ingediend. Dit vanwege de schending van de Algemene Verordening Gegevensbescherming en de rechten van de betrokken personen in de databases.
Voor de verhuizing kon leverancier Caci BV studentendossiers alleen met toestemming van TU Delft openen, meestal tijdens een storing. Nu deze informatie in de cloud staat, heeft het bedrijf zelfstandig toegang. Cybersecurity-specialist Bert Hubert beschrijft deze wijziging als het verschil tussen het bewaren van records in je eigen kluis en het plaatsen ervan in die van de leverancier.
Caci BV is een dochteronderneming van Caci International Inc., een Amerikaans bedrijf. In 2025 kwam 75 procent van de 8,6 miljard dollar aan inkomsten van Caci International uit contracten met het Amerikaanse ministerie van Defensie, inclusief werkzaamheden voor militaire inlichtingendiensten. Susanne Zuurendonk, directeur van Caci BV, benadrukte in Delta het belang van de onafhankelijkheid van de instellingen die gebruikmaken van Osiris.
Osiris wordt door Nederlandse universiteiten gebruikt om studenten te volgen van aanmelding tot afstuderen. Het systeem bevat adressen, cijfers, BSN-nummers en bankrekeningnummers. Diploma’s en cijferlijsten kunnen tot 30 jaar in het systeem worden bewaard.
Delta ontdekte ook dat het systeem medische informatie opsloeg. Studenten moeten bijvoorbeeld een document met hun diagnose, zoals dyslexie, overleggen om extra tijd aan te vragen. Delta heeft een screenshot bekeken van een studentenbestand waarin een document met de naam dyslexieverklaring.pdf zichtbaar was voor medewerkers.
Gezondheidsgegevens zijn onderworpen aan strengere regels onder de GDPR. De gegevensbeschermingseffectbeoordeling van de universiteit, een verplichte privacybeoordeling van de cloudverhuizing, gaf aan dat Osiris niet bedoeld is voor gezondheidsrecords en dergelijke informatie er “in principe” niet wordt opgeslagen.
“Medische informatie verhoogt altijd het risiconiveau van een systeem,” aldus David Groep, professor e-infrastructuur aan de Universiteit Maastricht, tegen Delta. “Ik zou dit nooit in een educatief administratie systeem bewaren.” Hij stelde dat de universiteit alleen een referentienummer in Osiris had moeten behouden en het bestand lokaal had moeten opslaan.
