Datasoevereiniteit in het onderwijs verwijst naar het recht en de feitelijke mogelijkheid van een onderwijsinstelling om te bepalen waar, hoe en door wie persoonsgegevens van studenten worden verwerkt, zonder dat buitenlandse wetgeving of commerciële belangen van cloudproviders dat recht uithollen. Voor Nederlandse hogescholen, universiteiten en middelbare scholen is dit geen abstract vraagstuk: miljoenen studenten, van wie een aanzienlijk deel minderjarig is, zijn afhankelijk van digitale omgevingen die buiten de Europese jurisdictie vallen.
Bijzondere verplichtingen bij minderjarige studenten
Onderwijsinstellingen die persoonsgegevens van minderjarigen verwerken, zijn gebonden aan strengere eisen dan organisaties die uitsluitend met volwassenen werken. Minderjarigen kunnen de gevolgen van gegevensdeling moeilijker overzien, wat de verantwoordelijkheid van de instelling zwaarder maakt.
Onder de AVG geldt voor kinderen onder de 16 jaar dat voor gerichte digitale diensten ouderlijke toestemming nodig is (Artikel 8 AVG). Binnen onderwijscontexten spelen ook aanvullende verplichtingen, zoals de Wet bescherming persoonsgegevens in het onderwijs in Nederland en sectorale afspraken vastgelegd in het Privacyconvenant onderwijs. Dat convenant verplicht leveranciers van digitaal leermateriaal en werkplekken om gegevens uitsluitend te verwerken voor de afgesproken onderwijsdoeleinden, en verbiedt profilering voor commerciële doelen.
Hoe de Autoriteit Persoonsgegevens naar Microsoft 365 kijkt
De Autoriteit Persoonsgegevens (AP) heeft meermaals gewaarschuwd dat het gebruik van Amerikaanse clouddiensten door Nederlandse organisaties, inclusief onderwijsinstellingen, aanzienlijke risico’s meebrengt. De AP baseert zich daarbij onder meer op de DPIA die in 2022 werd gepubliceerd door SLM Rijk (het Strategisch Leveranciersmanagement Rijk) en werd uitgevoerd door Privacy Company.
Die DPIA Microsoft 365 (2022) identificeerde acht hoge privacyrisico’s bij het gebruik van Microsoft 365. Privacy Company concludeerde dat Microsoft persoonsgegevens verwerkt als verwerkingsverantwoordelijke voor eigen diagnostische doeleinden. In hun woorden:
“Microsoft verwerkt persoonsgegevens als verwerkingsverantwoordelijke voor eigen doeleinden. Dat is niet toegestaan onder de AVG, tenzij daar een geldige rechtsgrondslag voor is.”
De AP bevestigt dit uitgangspunt in haar eigen richtlijnen voor het onderwijs:
“Onderwijsinstellingen zijn verantwoordelijk voor de persoonsgegevens van hun studenten, ook als die gegevens worden verwerkt door een cloudleverancier.”
Microsoft heeft nadien aanpassingen doorgevoerd en nieuwe contractuele afspraken gesloten via SURF, maar de AP en Privacy Company benadrukken dat periodieke hertoetsing noodzakelijk blijft, omdat de verwerkingspraktijk van Microsoft kan veranderen zonder dat instellingen dat direct merken.
Het jurisdictierisico van de CLOUD Act
De Amerikaanse CLOUD Act (2018) verplicht Amerikaanse technologiebedrijven om op verzoek van Amerikaanse autoriteiten toegang te verlenen tot data, ongeacht waar die data fysiek is opgeslagen. Dit geldt ook voor data in Europese datacenters van bedrijven als Microsoft, Google en Amazon. Datacenters in Nederland of Ierland bieden dan ook geen volledige bescherming als de eigenaar van de infrastructuur een Amerikaans bedrijf is.
Voor onderwijsinstellingen betekent dit dat studierresultaten, financiële gegevens, gezondheidsgegevens van studenten met een beperking, en communicatielogboeken in principe toegankelijk zijn voor Amerikaanse autoriteiten, zonder dat de betrokken instelling of student daarvoor toestemming geeft of zelfs op de hoogte wordt gesteld.
| Cloudoptie | Jurisdictie | CLOUD Act-risico | AVG-compliant mogelijk? |
|---|---|---|---|
| Microsoft 365 (inclusief EU Data Boundary) | VS (bedrijf) | Ja, structureel | Beperkt, vereist aanvullende maatregelen |
| Google Workspace for Education | VS (bedrijf) | Ja, structureel | Beperkt, vereist aanvullende maatregelen |
| SURFdrive (Nextcloud, NL-hosting) | Nederland / EU | Nee | Ja, mits correct ingericht |
| On-premise Nextcloud Education Edition | Instelling zelf | Nee | Ja, volledige controle |
Wat SURF en Europese instellingen al doen
SURF, de samenwerkingsorganisatie voor ICT in het Nederlandse onderwijs en onderzoek, speelt een centrale rol in het verminderen van afhankelijkheid van Amerikaanse cloudproviders. SURF onderhandelt namens de gehele sector over verwerkersovereenkomsten met Microsoft en Google, en heeft aanvullende contractuele garanties bedongen die individuele instellingen niet zelfstandig zouden kunnen afdwingen.
Tegelijkertijd biedt SURF SURFdrive aan, een opslagdienst gebaseerd op Nextcloud, gehost in Nederlandse datacenters. Meerdere hogescholen en universiteiten gebruiken SURFdrive als aanvulling op of gedeeltelijke vervanging van OneDrive. SURF voert ook gezamenlijke DPIA’s uit, zodat instellingen niet elk afzonderlijk het wiel hoeven uit te vinden.
In bredere Europese context zetten verschillende universiteiten stappen richting soevereine werkplekken. De Technische Universität Berlin heeft publiek geëxperimenteerd met een volledig open-source werkplekinfrastructuur. In Frankrijk verplicht de overheid publieke instellingen steeds vaker tot het gebruik van “cloud de confiance”-gecertificeerde aanbieders, een categorie die Amerikaanse hyperscalers in hun huidige vorm niet kunnen invullen.
Meer dan 80% van de Nederlandse hoger-onderwijsinstellingen maakt gebruik van Microsoft 365 of Google Workspace als primaire digitale werkplek (SURF, 2023). Die concentratie maakt de sector kwetsbaar voor beleidswijzigingen bij die leveranciers en voor juridische druk vanuit de VS.
NEN-ISO/IEC 27001 en de soevereiniteitsvraag
NEN-ISO/IEC 27001-certificering is de internationale standaard voor informatiebeveiliging en wordt door steeds meer onderwijsinstellingen nagestreefd als basis voor hun informatiebeveiligingsbeleid. De norm dekt risicoanalyse, toegangsbeheer, incidentrespons en een breed scala aan technische en organisatorische maatregelen.
Wat ISO 27001 niet dekt, is het juridische jurisdictievraagstuk. Een instelling kan volledig ISO 27001-gecertificeerd zijn en tegelijkertijd blootgesteld zijn aan de CLOUD Act, simpelweg omdat haar cloudleverancier een Amerikaans bedrijf is. Certificering toont aan dat een organisatie haar beveiligingsprocessen op orde heeft, maar zegt niets over de soevereiniteit van de gegevensopslag.
De praktische consequentie is dat ISO 27001 en een DPIA elkaar aanvullen maar niet vervangen. Instellingen die ISO 27001 gebruiken als argument dat hun cloudgebruik veilig is, lopen het risico de jurisdictiedimensie van het AVG-compliance-vraagstuk te onderschatten. De AP kijkt bij handhaving naar de feitelijke verwerkingssituatie, niet naar aanwezige certificaten.
Praktische uitdagingen bij migratie weg van Microsoft 365 en Google
Het uitfaseren van Microsoft 365 of Google Workspace for Education in een onderwijsomgeving is aanzienlijk complexer dan in een gemiddelde kantooromgeving. De voornaamste reden is de veelheid aan gebruikersgroepen: vaste medewerkers, tijdelijke docenten, promovendi, en studenten die elk jaar in- en uitstromen. Die diversiteit maakt centraal beheer van identiteiten en toegangsrechten lastig.
Microsoft Teams is in veel instellingen diep verweven met online onderwijs, roostersystemen en digitale toetsomgevingen. Een migratie vereist niet alleen een technisch alternatief, maar ook een herinrichting van werkprocessen en een substantieel opleidingstraject. Studentpopulaties verwachten bovendien continuïteit: een instelling kan niet van het ene semester op het andere overstappen zonder de onderwijskwaliteit in gevaar te brengen.
Nextcloud Education Edition biedt functies die vergelijkbaar zijn met Microsoft 365: bestandsbeheer, gezamenlijk documentbewerken, videovergaderen via Talk, en integraties met digitale leeromgevingen zoals Moodle. De open-source basis maakt het mogelijk om maatwerk te ontwikkelen zonder afhankelijkheid van de roadmap van een commerciële leverancier. Instellingen die kiezen voor on-premise hosting, houden volledige controle over de versleutelingssleutels en de opslaglocatie van data.
Een gefaseerde migratiestrategie, waarbij nieuwe diensten naast bestaande worden uitgerold en gebruikers geleidelijk worden overgezet, vermindert de operationele risico’s. SURF biedt hiervoor ondersteuning via kennisdeling tussen instellingen die eerder vergelijkbare trajecten hebben doorlopen.
Volgens de Europese Commissie zijn meer dan 20 miljoen studenten in de EU afhankelijk van instellingen die niet-Europese cloudproviders gebruiken (Europese Commissie, European Education Area, 2023). De druk om dit te veranderen neemt toe naarmate de Digital Decade-doelstellingen van de EU concreter worden en NIS-2-verplichtingen van kracht worden voor instellingen in kritieke sectoren.
NIS-2 en GDPR als dubbele compliance-laag
Vanaf oktober 2024 vallen grotere onderwijsinstellingen en onderzoeksorganisaties in toenemende mate onder de reikwijdte van NIS-2, de Europese richtlijn voor netwerk- en informatiebeveiliging. NIS-2 vereist risicobeheersmaatregelen, meldplicht bij incidenten en aantoonbaar bestuurlijk toezicht op cybersecurity. Gecombineerd met de AVG-verplichtingen rond persoonsgegevens ontstaat een dubbele compliance-laag waarbij zowel de beveiliging als de juridische grondslag van gegevensverwerking aantoonbaar op orde moeten zijn.
Instellingen die nog steeds uitsluitend op Amerikaanse cloudproviders vertrouwen, lopen het risico dat zij bij een incident niet kunnen aantonen dat zij adequate maatregelen hebben getroffen om de jurisdictierisico’s te beheersen. Zowel de AP als de sectorale toezichthouders kunnen dan handhavend optreden.
FAQ: Datasoevereiniteit en studentdata in het onderwijs
Mag een school of universiteit persoonsgegevens van minderjarige studenten opslaan in Amerikaanse clouddiensten?
Dat is juridisch risicovol. De CLOUD Act geeft Amerikaanse autoriteiten toegang tot data bij Amerikaanse bedrijven, ongeacht waar die data fysiek staat. Zonder afdoende aanvullende maatregelen, zoals end-to-end versleuteling waarbij de sleutels buiten de VS worden beheerd, is opslag in Amerikaanse clouds moeilijk te verenigen met de AVG en de bijzondere bescherming die minderjarigen genieten.
Wat is de rol van SURF bij datasoevereiniteit in het onderwijs?
SURF is de samenwerkingsorganisatie voor ICT in het Nederlandse onderwijs en onderzoek. SURF onderhandelt collectief met leveranciers over verwerkersovereenkomsten, voert gezamenlijke DPIA’s uit en biedt alternatieven zoals SURFdrive, gebaseerd op Nextcloud, voor soevereine opslag binnen de Nederlandse of Europese jurisdictie.
Wat zijn de grootste praktische obstakels bij het uitfaseren van Microsoft 365 in een onderwijsinstelling?
De voornaamste uitdagingen zijn de diepe integratie van Teams, Outlook en SharePoint in onderwijsprocessen, afhankelijkheden van specifieke Microsoft-bestandsformaten, het omscholen van grote groepen medewerkers en studenten, en de migratie van historische data. Een gefaseerde aanpak, waarbij systemen naast elkaar draaien, verlaagt de risico’s aanzienlijk.
Wat voegt NEN-ISO/IEC 27001-certificering toe als de cloudleverancier buiten de EU valt?
ISO 27001 dekt technische en organisatorische beveiligingsmaatregelen, maar adresseert geen jurisdictierisico’s. Een instelling kan ISO 27001 gecertificeerd zijn en tegelijk blootgesteld zijn aan de CLOUD Act. Certificering vervangt daarom geen DPIA of juridische analyse van de vestigingsplaats en eigendomsstructuur van de cloudleverancier.
Welk alternatief biedt Nextcloud voor onderwijsinstellingen?
Nextcloud Education Edition is een open-source samenwerkingsplatform dat on-premise of bij een Europese hostingpartner kan worden ingezet. Het biedt vergelijkbare functionaliteit als Microsoft 365, zoals bestandsbeheer, videovergaderen en gezamenlijk documentbewerking, maar zonder data-overdracht naar Amerikaanse servers. SURF biedt SURFdrive op basis van Nextcloud aan voor de Nederlandse onderwijssector.
