Onderwijsinstellingen kunnen Ans Exam blijven gebruiken na verbetering privacy
Onderwijsinstellingen kunnen voorlopig gebruik blijven maken van het toetsplatform Ans Exam. Dat concludeert SURF na een uitgebreid privacyonderzoek. Hoewel er aanvankelijk zeventien privacyrisico's werden vastgesteld, heeft de softwareleverancier toegezegd deze met concrete maatregelen aan te pakken.
Meer dan twintig Nederlandse onderwijsinstellingen maken gebruik van Ans Exam voor het ontwerpen, afnemen en nakijken van tentamens. Om de privacy van studenten en docenten te waarborgen, voerden SURF en Privacy Company een zogeheten Data Protection Impact Assessment (DPIA) uit op het platform en de bijbehorende API.
Zeventien risico's geïdentificeerd
Uit het onderzoek kwamen zeventien risico’s naar voren, waarvan er dertien als 'hoog' werden geclassificeerd. De pijnpunten lagen onder meer bij een onvolledige beschrijving van gegevensverwerkingen, onduidelijke rolverdelingen tussen partijen en een gebrek aan transparantie over subverwerkers en cookies. Ook werden er vraagtekens gezet bij e-mailtracking en de manier waarop bewaartermijnen werden gehanteerd.
Inmiddels heeft Ans Exam toegezegd deze risico's weg te nemen. Een groot deel van de verbeteringen is tijdens het onderzoek al in gang gezet. Zo worden de verwerkersovereenkomsten geactualiseerd, de privacyverklaringen verduidelijkt en wordt e-mailtracking volledig uitgeschakeld.
Positief advies SURF
SURF is te spreken over de proactieve houding van de leverancier. "Tijdens het DPIA-proces heeft Ans Exam laten zien dat het zich sterk inzet voor het aanpakken van de gevonden risico’s," aldus de ICT-coöperatie voor het onderwijs. Dit leidt tot een positief voorlopig advies: instellingen kunnen het platform blijven gebruiken, mits zij de nodige updates doorvoeren in hun contracten.
Planning voor 2026
De resterende verbeterpunten moeten in de eerste drie kwartalen van 2026 zijn afgerond. SURF en Privacy Company zullen het proces nauwlettend volgen en volgend jaar updates van de DPIA publiceren om de voortgang te verifiëren.
Voor onderwijsinstellingen die met Ans Exam (blijven) werken, heeft SURF drie belangrijke adviezen:
- Actualiseer de verwerkersovereenkomst: Maak gebruik van de nieuwe bepalingen voor betere privacybescherming.
- Verplicht Single Sign-On (SSO): Dit verhoogt de veiligheid bij het inloggen.
- Gebruik een eigen domein: Het gebruik van een specifiek aangepast domein versterkt de beveiligingspositie van het platform.
Meer over onderwijs
Over Witold Kepinski
