Een soevereine digitale werkplek in het onderwijs is een werkomgeving voor opslag, communicatie en samenwerking waarbij persoonsgegevens van leerlingen, studenten en medewerkers uitsluitend worden verwerkt onder Europees jurisdictioneel toezicht, zonder dat buitenlandse overheden op grond van hun nationale wetgeving toegang kunnen vorderen. Voor onderwijsinstellingen is dit geen abstracte beleidskwestie: zij verwerken dagelijks gevoelige gegevens van minderjarigen en zijn daarmee juridisch kwetsbaar wanneer zij die gegevens onderbrengen bij Amerikaanse cloudproviders.
Waarom US-clouddiensten een specifiek AVG-risico vormen in het onderwijs
Onderwijsinstellingen die Google Workspace for Education of Microsoft 365 Education inzetten, staan bloot aan een combinatie van juridische risico’s die bij andere sectoren minder pregnant zijn, omdat hun gebruikers voor een groot deel minderjarigen zijn.
Het kernprobleem is jurisdictioneel. Cloudproviders die zijn opgericht naar Amerikaans recht, of waarvan de moedermaatschappij in de VS is gevestigd, vallen onder de reikwijdte van de CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) en de USA PATRIOT Act. Op grond van deze wetten kunnen Amerikaanse opsporings- en inlichtingendiensten via een gerechtelijk bevel toegang vorderen tot gegevens die zulke providers beheren, ook als de data fysiek op Europese servers staat. De verwerkersovereenkomst die een Europese school met Microsoft of Google sluit, biedt daartegen geen juridische bescherming: een Amerikaans bevel gaat voor op de contractuele afspraken.
Na het Schrems II-arrest (HvJ EU, C-311/18, juli 2020) is het EU-VS Privacy Shield ongeldig verklaard. Gegevensoverdracht naar de VS is sindsdien alleen rechtmatig als de exporterende instelling aanvullende waarborgen kan aantonen, waaronder een Transfer Impact Assessment (TIA) waaruit blijkt dat de ontvanger in de VS feitelijk het beschermingsniveau van de AVG kan bieden. Voor massale diensten als Microsoft 365 is dat bewijs in de praktijk vrijwel onmogelijk te leveren.
Andrea Jelinek, destijds voorzitter van de EDPB, stelde het onomwonden: “Het gebruik van Amerikaanse clouddiensten door publieke instellingen is na het Schrems II-arrest juridisch onhoudbaar zonder aanvullende waarborgen, en die waarborgen zijn bij veel contracten simpelweg niet aanwezig.”
AVG artikel 8 en de bijzondere positie van minderjarigen
AVG artikel 8 introduceert een extra beschermingslaag specifiek voor kinderen. Voor diensten van de informatiemaatschappij gericht op minderjarigen is in Nederland toestemming vereist van de ouder of wettelijk vertegenwoordiger wanneer het kind jonger is dan zestien jaar. Scholen die cloudtools uitrollen voor leerlingen in het voortgezet of primair onderwijs, moeten kunnen aantonen dat: (1) de toestemming aantoonbaar geldig is verkregen, (2) de cloudleverancier geen gegevens gebruikt voor eigen commerciële doeleinden zoals profielopbouw, en (3) de gegevens niet buiten de EER terechtkomen zonder geldige rechtsgrond. Geen van deze drie eisen is vanzelfsprekend vervuld bij commerciële edtech-platforms van Amerikaanse origin.
De Autoriteit Persoonsgegevens constateerde in haar Jaarverslag 2023 dat het onderwijs in de top drie staat van sectoren met de meeste datalekken bij verwerkers, waarbij cloudgebaseerde onderwijssoftware een structurele risicofactor vormt. Bron: Autoriteit Persoonsgegevens, Jaarverslag 2023 (https://www.autoriteitpersoonsgegevens.nl).
Europese ervaringen met het afbouwen van US-clouddiensten
Meerdere Europese landen hebben na Schrems II beleidsmatig ingegrepen, met name in de publieke en onderwijssector. De meest besproken casus is die van Frankrijk.
In 2021 nam de Conférence des grandes écoles (CGE) en de Conférence des présidents d’université (CPU) een gezamenlijk standpunt in over het gebruik van Microsoft 365 en Google Workspace in het hoger onderwijs. Aanleiding was de adviesuitspraak van de Commission nationale de l’informatique et des libertés (CNIL), die stelde dat doorgifte aan Amerikaanse providers structureel in strijd was met de AVG na Schrems II. De CGE en CPU riepen hun leden op een migratiepad te ontwikkelen naar soevereine alternatieven. Dit leidde mede tot de versnelde ontwikkeling van La Suite Numérique, gecoördineerd door de Direction Interministérielle du Numérique (DINUM).
In 2022 oordeelde de Franse Conseil d’État dat de inzet van Microsoft Azure voor de Health Data Hub onrechtmatig was vanwege het risico op toegang door Amerikaanse autoriteiten op grond van de CLOUD Act. Hoewel dit een zorgcasus betrof, trekt het onderwijs dezelfde juridische conclusie: de cloud van een Amerikaanse provider biedt onvoldoende waarborgen voor gevoelige persoonsgegevens van burgers.
Wojciech Wiewiórowski, Europees Toezichthouder voor Gegevensbescherming, verwoordde het als volgt: “De soevereiniteit van onderwijsdata is geen technische luxe maar een juridische verplichting. Instellingen die dit negeren, lopen niet alleen AVG-risico maar schaden ook het vertrouwen van ouders en studenten.”
Technische en organisatorische maatregelen voor AVG-compliance
Onderwijsinstellingen die hun cloudgebruik willen saneren, moeten werken aan twee sporen tegelijk: juridisch-organisatorisch en technisch.
Organisatorische maatregelen
Op organisatorisch vlak zijn de minimumvereisten: een actueel verwerkingsregister dat alle cloudgebaseerde tools omvat, een Data Protection Impact Assessment (DPIA) voor elke nieuwe tool die persoonsgegevens van minderjarigen verwerkt, en aantoonbare toestemming conform AVG artikel 8 voor diensten gericht op kinderen onder de zestien. Instellingen moeten bovendien verwerkersovereenkomsten handhaven die expliciet dataresidensy in de EER vastleggen en die de leverancier verbieden gegevens te verstrekken aan derde landen zonder voorafgaande kennisgeving en rechtsmiddelen.
Technische maatregelen
Technisch omvat een solide aanpak: end-to-end-versleuteling van data in transit en at rest, sleutelbeheer dat uitsluitend bij de instelling of een Europese vertrouwde derde ligt (bring-your-own-key), en authenticatie via een eigen identity provider in plaats van Microsoft of Google Accounts. Daarnaast vereist NIS-2 (Richtlijn (EU) 2022/2555) dat instellingen boven bepaalde drempelwaarden de risico’s van hun cloudleveranciers actief beheren en incidenten melden.
CADA en aanbestedingskaders voor soevereine onderwijscloud
In de Franse context biedt de Commission d’accès aux documents administratifs (CADA) via haar artikelen 32 en 33 een kader voor de omgang met overheidsdocumenten in digitale vorm, inclusief verplichtingen rond soevereiniteit en toegankelijkheid. Artikel 32-33 CADA stelt eisen aan de bewaarplicht en toegankelijkheid van bestuursdocumenten, wat raakvlakken heeft met de keuze voor cloudinfrastructuur: documenten mogen niet feitelijk ontoegankelijk worden door afhankelijkheid van een buitenlandse provider die diensten kan staken of toegang kan blokkeren.
Voor Nederlandse onderwijsinstellingen geldt het aanbestedingsrecht (Aanbestedingswet 2012) bij de inkoop van IT-diensten boven de Europese drempelwaarden. Soevereiniteitseisen kunnen worden opgenomen als gunningscriteria of minimumeisen, mits zij objectief onderbouwd zijn. De praktijk laat zien dat instellingen die open-sourcegelijkwaardigheid als eis opnemen, hun speelruimte vergroten en minder afhankelijk worden van één leverancier.
Open-sourcewerkplekoplossingen: mogelijkheden en implementatielessen
De markt voor soevereine werkplekoplossingen in het onderwijs heeft zich na 2020 snel ontwikkeld. Drie oplossingen verdienen specifieke aandacht.
| Oplossing | Oorsprong | Kernfuncties | Relevantie onderwijs |
|---|---|---|---|
| Nextcloud | Duits (Nextcloud GmbH, Stuttgart) | Bestandsopslag, agenda, contacten, video, Office-integratie | Breed inzetbaar, GDPR-compliant, self-hosting mogelijk, actief in EU-onderwijsprojecten |
| La Suite Numérique | Frans (DINUM) | Nextcloud-basis, Tchap (chat), Webconf (video), Docs | Primair Frans overheidsonderwijs, open-source herbruikbaar voor andere EER-landen |
| openDesk | Duits (ZenDiS, opdracht Bundesministerium) | Geïntegreerde suite: mail, kalender, video, opslag, Office | Gericht op overheid en publieke sector, inclusief deelstaatuniversiteiten |
De implementatielessen die uit vroege adoptanten naar voren komen, zijn consistent. Gefaseerde migratie werkt beter dan een big-bang-aanpak: start met bestandsopslag en e-mail, en voeg videoconferentie en kantoorapplicaties later toe. Pilotgroepen van enthousiaste medewerkers helpen draagvlak op te bouwen. Technische integratie met bestaande leerbeheersystemen (LMS) zoals Canvas of Brightspace vereist maatwerk via API-koppelingen en moet vroeg in het project worden gepland.
Het spanningsveld tussen gebruikersverwachtingen en soevereiniteitseisen
Dit is het meest onderschatte obstakel bij migraties. Studenten en medewerkers zijn gewend aan de vloeiende gebruikerservaring van Microsoft Teams of Google Meet. Soevereine alternatieven hebben die gebruikservaring de afgelopen jaren sterk verbeterd, maar de perceptie loopt achter op de realiteit.
Effectieve aanpak vereist dat het bestuur de soevereiniteitseis niet presenteert als een technische keuze, maar als een juridische en ethische verplichting die vergelijkbaar is met brandveiligheid of financiële integriteit: niet onderhandelbaar, maar wel zo comfortabel mogelijk uit te voeren. Trainingen die medewerkers en studenten laten ervaren hoe Nextcloud of openDesk werkt, verlagen de drempel aanzienlijk. Instellingen die gebruikers betrekken bij de keuze van de interface en de naam van de interne tool, rapporteren hogere adoptiegraad.
Het fundamentele argument blijft staan: een instelling die leerlingdata onderbrengt bij een provider die op elk moment door een Amerikaanse rechtbank kan worden gedwongen die data te overhandigen, kan ouders en studenten niet de bescherming bieden die de AVG en AVG artikel 8 vereisen. Dat is geen keuze tussen comfort en privacy, maar tussen juridische aansprakelijkheid en compliance.
Veelgestelde vragen
Mogen Nederlandse scholen Google Workspace for Education of Microsoft 365 Education blijven gebruiken na Schrems II?
Juridisch is dit risicovol. Na het Schrems II-arrest (C-311/18) is het Privacy Shield ongeldig verklaard. Doorgifte naar de VS vereist aanvullende waarborgen zoals bindende bedrijfsvoorschriften of standaardcontractbepalingen met een TIA. De EDPB heeft bij zijn Coordinated Enforcement Action 2022 vastgesteld dat deze waarborgen bij veel publieke instellingen ontbreken of onvolledig zijn.
Wat schrijft AVG artikel 8 precies voor bij de verwerking van gegevens van minderjarigen via cloud?
AVG artikel 8 stelt dat voor de verwerking van persoonsgegevens van kinderen onder de zestien jaar in Nederland toestemming van de ouder of voogd vereist is bij diensten van de informatiemaatschappij. Scholen moeten bovendien kunnen aantonen dat de cloudleverancier passende maatregelen treft en dat de gegevens niet buiten de EER worden doorgegeven zonder geldige rechtsgrond.
Wat is La Suite Numérique en is het ook bruikbaar buiten Frankrijk?
La Suite Numérique is een door DINUM gecoördineerde verzameling open-sourcetools voor samenwerking, waaronder een Nextcloud-instantie, Tchap en Webconf. De software is herbruikbaar door andere Europese overheden en onderwijsinstellingen, maar de beheerinfrastructuur is Frans. Andere landen bouwen vergelijkbare suites op dezelfde opensourcecomponenten.
Wat zijn de grootste praktische hobbels bij migratie van Microsoft 365 naar een soevereine werkplek in het onderwijs?
De belangrijkste drempels zijn gewenningstijd voor medewerkers en studenten, ontbrekende integraties met bestaande LMS-systemen zoals Canvas of Brightspace, en eenmalige migratiekosten. Instellingen die gefaseerd migreren, beginnen doorgaans met opslag en e-mail en vervangen videoconferentie en kantoorapplicaties later.
Verplicht NIS-2 onderwijsinstellingen tot specifieke maatregelen rond cloudgebruik?
NIS-2 (Richtlijn (EU) 2022/2555) is van toepassing op essentiële en belangrijke entiteiten, inclusief instellingen in de onderwijssector boven bepaalde drempelwaarden. De richtlijn verplicht tot risicobeheer van de toeleveringsketen, inclusief cloudleveranciers, en tot meldplicht bij incidenten. Instellingen moeten aantonen dat zij de risico’s van externe cloudverwerkers beheersen, wat een beoordeling van de jurisdictie van de leverancier insluit.
