Microsoft-migratie Xedule brengt nieuw datarisico mee
Onderwijsict-organisatie SURF heeft een tussentijdse update gepubliceerd van de Data Protection Impact Assessment (DPIA) op de plannings- en roostersoftware Xedule. Uit de beoordeling blijkt dat de leverancier de afgelopen periode aanzienlijke voortgang heeft geboekt bij het aanpakken van privacyrisico's: elf van de zeventien oorspronkelijke hoge risico's zijn inmiddels teruggebracht naar een laag of gemiddeld risiconiveau. Het advies van SURF aan onderwijsinstellingen blijft dat zij de cloudoplossing voorlopig kunnen blijven gebruiken.
De oorspronkelijke DPIA dateert van 8 juli 2025 en bracht destijds zeventien hoge privacyrisico's in kaart voor het middelbaar beroepsonderwijs en hoger onderwijs, waar Xedule veelvuldig wordt ingezet voor logistieke plan- en roosterprocessen. Om deze knelpunten op te lossen, heeft de softwareleverancier onder meer een geactualiseerde verwerkersovereenkomst opgesteld, privacywaarschuwingen toegevoegd bij specifieke invoervelden in de applicatie en automatisch instelbare bewaartermijnen ingevoerd voor bepaalde categorieën gegevens.
Door deze aanpassingen resteren er op dit moment nog zes hoge risico's en één gemiddeld risico uit de oorspronkelijke inventarisatie. Daarnaast is er één nieuw laag risico vastgesteld, dat samenhangt met de migratie van de digitale infrastructuur van Xedule naar de cloudomgeving van Microsoft. Door deze overstap zijn regels rondom eventuele doorgifte van persoonsgegevens buiten de Europese Economische Ruimte van toepassing geworden. Xedule heeft zich gecommitteerd om alle overgebleven risico's uiterlijk in het eerste kwartaal van 2027 te mitigeren.
SURF benadrukt dat onderwijsinstellingen zelf ook een actieve rol houden bij het beperken van de privacyrisico's. Instellingen moeten nog steeds de eerder aanbevolen beheersmaatregelen in hun eigen omgeving doorvoeren; in deel D van het openbare rapport is vastgelegd welke veertien maatregelen gezamenlijk voor leverancier en instellingen gelden en welke ene maatregel specifiek door de onderwijsinstellingen zelf moet worden uitgevoerd. Zodra Xedule in het eerste kwartaal van 2027 de laatste technische en organisatorische aanpassingen heeft afgerond, zal SURF deze controleren en een definitieve DPIA-update met bijbehorend eindadvies publiceren.
Meer over privacy
Over Witold Kepinski
