- De universiteit
- 02/10/2026
Veel hogescholen en universiteiten in Nederland maken gebruik van informatiesysteem Osiris. Studenten gebruiken het bijvoorbeeld bij het inschrijven voor vakken en tentamens. Daarnaast worden er persoonsgegevens in bewaard, zoals adressen, rekeningnummers en studieresultaten.
Ook de Technische Universiteit Delft werkt met Osiris. In november vorig jaar besloot de instelling de gegevens te verhuizen naar een Nederlandse cloudomgeving. Met andere woorden: weg van de eigen servers.
Daarbij werden de persoonsgegevens van zo’n 267 duizend (oud)studenten en aanmelders overgezet. Maar daar zaten ook gegevens tussen die verwijderd hadden moeten zijn, blijkt uit onderzoek van universiteitsblad Delta.
“Vóór de migratie had Osiris-leverancier Caci BV alleen met toestemming van de TU toegang tot studentgegevens, bijvoorbeeld in het geval van een storing. In de cloudomgeving kan het bedrijf zelfstandig bij die data, al zijn er wel afspraken dat de leverancier dit alleen zal doen bij noodgevallen”, schrijft Delta. Caci BV is in Amerikaanse handen.
Onbeperkt bewaren
Volgens de AVG zijn organisaties verplicht om persoonsgegevens te verwijderen “zodra die niet langer nodig zijn voor het oorspronkelijke doel waarvoor ze zijn verzameld”. Een universiteit mag dus niet de gegevens van haar (oud)studenten onbeperkt bewaren.
Bovendien bleken er ook medische gegevens in Osiris te staan, schrijft Delta. Studenten moesten soms bijvoorbeeld medische of dyslexieverklaringen uploaden om extra tijd voor een tentamen aan te vragen. Volgens de universiteit is Osiris hier niet voor bedoeld, maar in de praktijk gebeurde dat wel.
Voorafgaand aan de verhuizing werd de TU Delft meerdere keren gewaarschuwd om eerst de data op te schonen. Daar werd echter geen gehoor aan gegeven. Een deskundige zegt tegen Delta dat de universiteit een boete van de Autoriteit Persoonsgegevens kan krijgen.
Techgiganten
Ook andere universiteiten bewaren steeds vaker gegevens in de cloud in plaats van op eigen servers. Daar komt ook een ander risico bij kijken: door het beheer uit handen te geven, verliezen universiteiten een deel van de controle over de gegevens.
Eerder dit jaar zeiden universiteiten dat ze minder afhankelijk willen worden van Amerikaanse techgiganten.
Discussie