Medische verklaringen en data met verstreken bewaartermijn meeverhuisd bij cloudmigratie TU Delft

Dat blijkt uit onderzoek van Delta, het onafhankelijk journalistiek platform van de TU Delft. Het gaat om het studenteninformatiesysteem Osiris, waarin onder meer adressen, BSN-nummers, cijfers en rekeningnummers staan. De cloud staat in Nederland bij Interconnect. Osiris-leverancier Caci kan sinds de verhuizing zelfstandig bij de gegevens, terwijl het bedrijf daarvoor alleen met toestemming van de universiteit toegang kreeg.

Volgens de webpagina van de TU over extra tentamentijd moeten studenten met bijvoorbeeld dyslexie een medische verklaring in Osiris uploaden. Delta zag ook een schermafbeelding van een studentendossier waarin een bestand met de naam dyslexieverklaring.pdf zichtbaar was voor medewerkers. In de verplichte privacytoets (DPIA) over de migratie komen deze verklaringen niet voor. Daarin staat dat Osiris niet bedoeld is voor gezondheidsgegevens en dat bijzondere persoonsgegevens er in beginsel niet in worden opgeslagen. Ook de risicotabel noemt de toets niet, en geen van de tien beschreven risico's staat daarin als hoog aangemerkt.

Bewaartermijnen niet ingesteld, adviezen niet gevolgd

Osiris bevatte jarenlang gegevens waarvan de bewaartermijn was verlopen omdat die termijnen tot ten minste mei 2025 onvoldoende waren ingesteld, meldt Delta. Dat kan in Osiris al sinds 2014. In drie schriftelijke reacties op verwijderverzoeken, alle van na de migratie, erkent de TU dat zij gegevens van de verzoekers bewaarde die al weg hadden gemoeten. In de DPIA constateert de universiteit zelf dat termijnen niet altijd goed zijn ingericht. Eerder in september 2025 werden wel ongeveer 32 duizend internationale aanmelders uit 2008 tot 2021 verwijderd, maar een grootschalige schoonmaak bleef uit. Dat gebeurde tegen interne adviezen in: een interne analyse uit 2020, de functionaris gegevensbescherming (FG) in april 2024 en de ondernemingsraad in september 2024 wezen erop dat opschonen vóór de verhuizing nodig was.

De TU zegt dat opschonen het tijdpad van de migratie onhaalbaar had gemaakt en dat gedetailleerd narekenen te veel tijd zou kosten. Delta wijst erop dat de cloudmigratie en de noodzaak tot opschonen al sinds 2020 bekend waren. In de DPIA wordt ook tijdsdruk toegeschreven aan een mededeling van Caci dat de lokale versie niet meer wordt ondersteund. Caci zegt dat die ondersteuning niet is stopgezet en dat een andere klant nog lokaal wordt bediend.

Hoogleraar Bart Jacobs van de Radboud Universiteit stelt dat de TU Delft met deze handelwijze de AVG en de rechten van de 267 duizend betrokkenen schendt. Hij noemt het slordig en nalatig en ziet het risico op een boete van de Autoriteit Persoonsgegevens als een betrokkene klaagt. Nadia Benaissa van Bits of Freedom wijst erop dat overbodige gegevens de gevolgen van een datalek vergroten en dat het onopgeschoond verplaatsen het probleem verergert, ook omdat gegevens nu in meer back-ups op andere servers staan. Caci is onderdeel van het Amerikaanse concern Caci International, dat in 2025 driekwart van zijn omzet van 8,6 miljard dollar haalde uit opdrachten voor het Amerikaanse ministerie van Defensie. Cybersecuritydeskundige Bert Hubert adviseert universiteiten aan het beheer van kernsystemen als Osiris zelf te houden, ook als dat minder efficiënt lijkt.

Nieuwe FG: opschonen hoeft niet vooraf

In 2026, na de migratie, adviseerde de nieuwe FG van de TU om opschonen niet als voorwaarde aan de cloudverhuizing te verbinden. Hij wijst op de tijdsdruk en op het risico dat bij een grootschalige actie gegevens verkeerd worden verwijderd of aangepast. Hubert vindt dat niet overtuigend: een datahuishouding die niet op orde is, blijft dat ook als het papier zegt dat het mag. De universiteit zegt in 2025 een groot aantal bewaartermijnen te hebben vastgesteld en in 2026 te onderzoeken wat uit de studentdossiers verwijderd mag worden, om dat te koppelen aan opschoonacties. In een schriftelijk statement erkent de afdeling Education and Student Affais van de TU Delft, die bij de migratie betrokken was, dat er een achterstand is bij het opschonen en zegt de dienst daaraan te werken.