Studentdata soevereiniteit in het hoger onderwijs verwijst naar het recht en de plicht van onderwijsinstellingen om volledige juridische en technische controle te behouden over persoonsgegevens van studenten en medewerkers, ongeacht welke softwareplatformen worden ingezet. Voor Nederlandse universiteiten en hogescholen is dit geen abstracte kwestie: de combinatie van Amerikaanse cloudwetgeving, scherper toezicht van de Autoriteit Persoonsgegevens en de toenemende digitalisering van het onderwijs maakt datasoevereiniteit tot een concrete complianceverplichting.
Waarom Amerikaanse cloudplatformen een AVG-probleem vormen in het onderwijs
Het kernprobleem is jurisdictioneel van aard: zodra studentdata op servers van Microsoft of Google terechtkomt, valt die data ook onder Amerikaanse wetgeving, ongeacht waar de servers fysiek staan.
De Amerikaanse CLOUD Act (2018) verplicht Amerikaanse bedrijven om op verzoek van Amerikaanse autoriteiten data te verstrekken, ook als die data in Europa is opgeslagen. Hetzelfde geldt voor FISA Section 702, de basis voor massamodaalsurveillanceprogramma’s als PRISM. Dit creëert een onoplosbare spanning met de AVG, die doorgifte van persoonsgegevens naar derde landen zonder adequaatheidsbesluit of passende waarborgen verbiedt.
De Autoriteit Persoonsgegevens heeft meerdere malen gewaarschuwd dat organisaties in de publieke sector, waaronder onderwijs, onvoldoende zicht hebben op wat er met persoonsgegevens gebeurt in Amerikaanse clouddiensten. In een DPIA uitgevoerd in opdracht van de Rijksoverheid (2021) werden bij Microsoft 365 acht hoge privacyrisico’s geïdentificeerd, onder meer rond telemetriedata en doelbinding. De Europese tegenhanger, de European Data Protection Supervisor (EDPS), stelde in maart 2024 vast dat de Europese Commissie zelf de AVG had geschonden door gebruik van Microsoft 365, waarbij persoonsgegevens onrechtmatig naar de VS werden doorgezonden.
Voor Google Workspace for Education leverde het Noorse Datatilsynet in 2023 een handhavingsbesluit af, waarbij het gebruik van leerlingdata voor gedragsgerichte doeleinden werd verboden. Hoewel dit een Noors besluit is, illustreert het de pan-Europese trend: toezichthouders bewegen van waarschuwen naar handhaven.
Verwerkersovereenkomsten: AVG artikel 28 als minimumvereiste
Een verwerkersovereenkomst op grond van AVG artikel 28 is verplicht, maar voor Amerikaanse platformen onvoldoende als enige maatregel.
Artikel 28 van de AVG verplicht verwerkingsverantwoordelijken, dat zijn de instellingen zelf, om uitsluitend te werken met verwerkers die voldoende garanties bieden. Microsoft en Google bieden standaard Data Processing Agreements (DPA’s) aan, maar deze bevatten doorgaans ruime mogelijkheden voor subverwerkers, telemetrie en diagnoseverwerking die buiten de instructie van de onderwijsinstelling vallen. Een juridische beoordeling van de Microsoft DPA door de Privacy Company toonde aan dat de controlemogelijkheden voor de verwerkingsverantwoordelijke beperkt blijven, ook na de aanpassingen die Microsoft na 2021 doorvoerde.
Instellingen dienen in de verwerkersovereenkomst minimaal vast te leggen: het doel en de duur van de verwerking, de categorieën betrokkenen (studenten, medewerkers, gasten), de beveiligingsmaatregelen, de subverwerkers en de procedure bij datalekken. Een generieke cloudDPA voldoet hier zelden volledig aan.
NEN-EN-ISO/IEC 27001 en de bewaarplicht voor tentamendata
NEN-EN-ISO/IEC 27001 biedt het normenkader voor informatiebeveiliging; de AVG-bewaarplicht bepaalt hoe lang tentamendata en persoonsdossiers beschikbaar moeten blijven.
Voor hogeronderwijsinstellingen betekent NEN-EN-ISO/IEC 27001-certificering dat zij een Information Security Management System (ISMS) moeten inrichten dat risicogestuurd, gedocumenteerd en auditeerbaar is. In een soevereine omgeving, waarbij data op eigen servers of via SURF wordt opgeslagen, heeft de instelling volledige controle over de auditlogs, toegangsrechten en encryptiesleutels. Dat is een voorwaarde voor een afdwingbaar ISMS.
De bewaarplicht voor tentamenresultaten en cijfers vloeit voort uit de Wet op het hoger onderwijs en wetenschappelijk onderzoek (WHW). Tentamenresultaten worden doorgaans twee jaar na afstuderen bewaard; voor accreditatiedossiers kan dit langer zijn. In een soevereine omgeving kunnen retentietermijnen technisch worden afgedwongen via automatische archivering en verwijdering, zonder afhankelijkheid van de retentie-instellingen van een externe cloudprovider.
| Datatype | Bewaartermijn (indicatief) | Verantwoordelijke in soevereine omgeving |
|---|---|---|
| Tentamenresultaten en cijfers | 2 jaar na afstuderen (WHW) | Instelling, via eigen ISMS |
| Personeelsdossiers | 2 jaar na uitdiensttreding (Archiefwet) | Instelling, versleuteld opgeslagen |
| Accreditatiedocumentatie | 6 jaar (NVAO-vereisten) | Instelling, met audittrail |
| Communicatiedata (e-mail, chat) | Zo kort als mogelijk, doelbinding leidend | Instelling, automatische verwijdering |
Migratie van Microsoft 365 naar Nextcloud: technische en organisatorische stappen
Een migratie naar een soevereine werkplek is uitvoerbaar in fasen, mits de instelling begint met een grondige inventarisatie en een beperkte pilot.
Fase 1: DPIA en datakartografie
Voordat enige migratie begint, is een volledige DPIA van de bestaande Microsoft 365-omgeving noodzakelijk. Daarin wordt per module (Exchange/Outlook, SharePoint, Teams, OneDrive) vastgesteld welke persoonsgegevens worden verwerkt, met welk doel, en welke risico’s dat oplevert. De datakartografie maakt zichtbaar welke verwerkingen echt soeverein moeten zijn, zoals tentamendata en personeelsdossiers, en welke minder kritisch zijn.
Fase 2: Pilotimplementatie via SURF-infrastructuur
SURF biedt Nederlandse onderwijs- en onderzoeksinstellingen cloudvoorzieningen die juridisch binnen de Nederlandse en Europese jurisdictie vallen. Een gefaseerde pilotmigratie, bij voorkeur voor één faculteit of ondersteunende dienst, geeft instellingen de mogelijkheid om Nextcloud Education Edition te testen zonder de gehele instelling te committeren. Nextcloud Education Edition ondersteunt LTI 1.3-integratie, waardoor documentbeheer en samenwerking vanuit bestaande leerbeheersystemen zoals Canvas of Moodle toegankelijk blijven.
GÉANT, het pan-Europese onderzoeksnetwerk dat ook SURF ondersteunt, biedt aanvullende beveiligde netwerkinfrastructuur voor grensoverschrijdende samenwerking tussen Europese universiteiten, zonder afhankelijkheid van commerciële clouddiensten.
Fase 3: Identity management en encryptie
In een soevereine Nextcloud-omgeving beheert de instelling zelf de identity provider (bij voorkeur via SAML 2.0 of OpenID Connect op eigen infrastructuur). Encryptie van data-at-rest en data-in-transit is standaard, maar de sleutels moeten in eigen beheer zijn: cloudproviders die ook de encryptiesleutels beheren, bieden geen echte soevereiniteit. Voor gevoelige data, zoals tentamenbestanden en persoonsgebonden onderzoeksdata, is end-to-end encryptie met sleutels die uitsluitend bij de instelling liggen, de minimumstandaard.
Europese praktijkervaring: wat universiteiten al leren
Diverse Europese universiteiten hebben de afgelopen jaren pilots uitgevoerd of structurele migraties doorgevoerd naar soevereine alternatieven, met wisselende maar overwegend positieve ervaringen.
In Frankrijk heeft de overheid via het Ministère de l’Enseignement Supérieur actief gestimuleerd dat universiteiten overstappen op Europese alternatieven. De Université de Paris heeft geëxperimenteerd met zelfgehoste samenwerkingsplatformen als alternatief voor Google Workspace, mede aangestuurd door de aanbevelingen van de Commission Nationale de l’Informatique et des Libertés (CNIL). De CNIL heeft herhaaldelijk gesteld dat het gebruik van Amerikaanse cloudplatformen voor onderwijsdata onverenigbaar is met de Franse uitwerking van de AVG.
In Nederland hebben TU Delft en andere technische universiteiten in SURF-verband verkend hoe onderzoeksdata soeverein kan worden opgeslagen. De uitdaging zit niet primair in de technologie, maar in de gewenning van eindgebruikers aan nieuwe werkomgevingen en in de integratie met bestaande systemen zoals studentinformatiesystemen (SIS) en LMS-platformen.
Een structurele bevinding uit meerdere Europese pilots is dat soevereine werkplekken niet onderdoen voor commerciële alternatieven op het gebied van basisfunctionaliteit zoals bestandsdeling, videoconferencing en documentbewerking. De functionele pariteit is in de afgelopen drie jaar sterk verbeterd, mede door de actieve ontwikkeling van Nextcloud en de investeringen van Europese overheden in open-source onderwijstechnologie.
Conclusie: datasoevereiniteit als complianceprioriteit, niet als ideaalbeeld
Voor Nederlandse hogeronderwijsinstellingen is de vraag niet langer of datasoevereiniteit nagestreefd moet worden, maar hoe snel en langs welk pad. De combinatie van AVG-handhaving door de Autoriteit Persoonsgegevens, EDPS-precedenten, Amerikaanse cloudwetgeving en de NEN-EN-ISO/IEC 27001-verplichtingen maakt een gecontroleerde migratie naar soevereine alternatieven tot een aantoonbare complianceverplichting. SURF en GÉANT bieden de infrastructurele basis; Nextcloud Education Edition biedt de functionele werkplek. De juridische en technische bouwstenen zijn beschikbaar; het ontbreekt instellingen primair aan een gestructureerd migratieplan en voldoende capaciteit voor de benodigde change management.
Veelgestelde vragen
Is Microsoft 365 Education verboden onder de AVG?
Niet formeel verboden, maar meerdere DPIA’s en toezichthouders hebben vastgesteld dat het standaardgebruik van Microsoft 365 Education hoge AVG-risico’s oplevert, met name rond telemetriedata, doelbinding en doorgifte naar de VS. Instellingen zijn verplicht deze risico’s te mitigeren via verwerkersovereenkomsten op grond van AVG artikel 28 en aanvullende technische maatregelen.
Wat is het verschil tussen SURF en een commerciële cloudprovider voor hogeronderwijsdata?
SURF is een coöperatieve ICT-organisatie van en voor Nederlandse onderwijs- en onderzoeksinstellingen. Data blijft binnen de Nederlandse of Europese jurisdictie, er is geen commercieel verdienmodel op basis van gebruikersdata, en SURF-diensten zijn ontworpen met inachtneming van de AVG en Nederlandse onderwijswetgeving.
Hoe werkt LTI-integratie in een soevereine Nextcloud-omgeving?
Learning Tools Interoperability (LTI) is een standaard waarmee leerbeheersystemen zoals Canvas of Moodle externe tools kunnen aanroepen via een beveiligde token-uitwisseling. Nextcloud Education Edition ondersteunt LTI 1.3, waardoor documentbeheer en samenwerking vanuit het LMS toegankelijk zijn zonder dat data naar Amerikaanse servers stroomt.
Hoe lang moeten tentamendata en cijfers worden bewaard?
Op grond van de WHW en de AVG-bewaarplicht geldt voor tentamenresultaten doorgaans een bewaartermijn van twee jaar na afstuderen, tenzij een langere termijn wettelijk verplicht is. Instellingen moeten deze termijnen vastleggen in hun verwerkingsregister en technisch afdwingen via retentiebeleid in de gekozen opslagomgeving.
Wat zijn de eerste concrete stappen voor een universiteit die wil migreren van Microsoft 365?
Begin met een volledige DPIA van de huidige Microsoft 365-omgeving, inventariseer welke dataverwerkingen echt soeverein moeten zijn (tentamendata, personeelsdossiers, onderzoeksdata), voer daarna een gefaseerde pilotmigratie uit voor een afgebakende faculteit of dienst op Nextcloud via SURF-infrastructuur, en valideer de NEN-EN-ISO/IEC 27001-aansluiting voordat u opschaalt.
