Blunders stapelden zich op toen de TU Delft eind vorig jaar persoonsgegevens van meer dan 260.000 (oud-)studenten en aanmelders naar de cloud verplaatste. Zo werden gevoelige, medische persoonsgegevens die allang hadden moeten verwijderd over het hoofd gezien en verzuimde de universiteit ondanks waarschuwingen om de data op te schonen. Volgens deskundigen heeft de universiteit hiermee de rechten van studenten en oud-studenten geschonden. Dat blijkt uit onderzoek van journalistiek platform Delta.

De gegevens staan in Osiris, het studenteninformatiesysteem waar de TU Delft gebruik van maakt. Het bevat onder meer adressen, BSN-nummers, rekeningnummers en behaalde studieresultaten. Daarnaast kunnen ook medische documenten en dyslexieverklaringen van studenten worden opgeslagen.

Oud-studenten zijn ook terug te vinden in Osiris, omdat universiteiten wettelijk verplicht zijn bepaalde informatie, zoals diploma’s en cijferlijsten, soms nog tot dertig jaar na afstuderen bewaren.

Wettelijke bewaartermijn verstreken
De TU Delft verhuisde in november 2025 deze database van eigen lokale servers naar een Nederlandse cloudomgeving die wordt gehuurd door Osirisleverancier CACI BV. Dat is een dochterbedrijf van het Amerikaanse Caci International Inc. De universiteit wist op dat moment dat Osiris persoonsgegevens bevatte waarvan de wettelijke bewaartermijn was verstreken. Toch koos zij ervoor om de database vooraf niet grootschalig op te schonen.

Vóór de migratie had Osiris-leverancier Caci BV alleen met toestemming van de TU toegang tot studentgegevens, bijvoorbeeld in het geval van een storing. In de cloudomgeving kan het bedrijf te allen tijde zelfstandig bij die data, al zijn er wel afspraken dat de leverancier dit alleen zal doen bij noodgevallen.

Waarschuwingen lagen er al jaren
Uit interne documenten die Delta inzag, blijkt dat de universiteit al in 2020 het advies kreeg om de verhuizing naar de cloud aan te grijpen om de persoonsgegevens in Osiris tegen het licht te houden. Gegevens die niet langer nodig waren, moesten volgens dat advies worden verwijderd of geanonimiseerd.

Daar bleef het niet bij. Ook de functionaris gegevensbescherming van de universiteit adviseerde in 2024 om vóór de verhuizing op te schonen. De ondernemingsraad uitte eveneens zorgen.

De TU Delft stelt dat opschoning vóór de verhuizing niet haalbaar was vanwege risico’s, impact en beschikbare capaciteit. Uit het onderzoek blijkt echter dat de universiteit niet gedetailleerd heeft berekend hoeveel tijd en mankracht daarvoor nodig waren. Bovendien waren zowel de voorgenomen verhuizing naar de cloud als de problemen met de datahuishouding al jaren bekend.

Medische verklaringen niet meegenomen in risicoanalyse
Delta ontdekte daarnaast dat studenten medische of dyslexieverklaringen in Osiris kunnen uploaden, bijvoorbeeld om extra tentamentijd aan te vragen. Gezondheidsgegevens behoren onder de Algemene Verordening Gegevensbescherming (AVG) tot de bijzondere persoonsgegevens en zijn daarom extra beschermd.

Toch worden deze medische verklaringen niet expliciet benoemd in de verplichte risicoanalyse die de TU Delft voor de verhuizing naar de cloud opstelde. In die analyse staat juist dat Osiris niet is bedoeld voor gezondheidsgegevens en dat bijzondere persoonsgegevens er ‘in beginsel’ niet worden opgeslagen.

Rechten geschonden
Hoogleraar Digital Security Bart Jacobs van de Radboud Universiteit, die reageert op basis van informatie die Delta hem voorlegde, zegt dat de TU Delft zowel de AVG als de rechten van de 267 duizend betrokkenen schendt. Hij noemt het handelen van de universiteit ‘slordig en nalatig’. Bovendien, zegt Jacobs, loopt de TU Delft hiermee het risico op een boete van de Autoriteit Persoonsgegevens wanneer een betrokkene daar een klacht zou indienden.

Volgens privacyorganisatie Bits of Freedom is dit een riskante situatie. Het bewaren van overbodige persoonsgegevens vergroot namelijk de impact van een eventueel datalek, legt beleidsadviseur Nadia Benaissa uit. “Hoe uitgebreider en gevoeliger de gegevens zijn, hoe groter het risico. Hackers kunnen bijvoorbeeld veel gerichter phishen, wat de kans op succes vergroot.”

TU Delft erkent achterstand
De TU Delft erkent in een reactie dat het achterloopt met het verwijderen van gegevens. “Het opschonen van gegevens is een doorlopend proces. Er komen het hele jaar data bij en die worden structureel opgeschoond. We hebben een achterstand, daar zijn we ons van bewust en daar werken we aan.”

Over de medische verklaringen zegt de universiteit dat die nodig zijn om studenten te helpen, bijvoorbeeld bij het aanvragen van extra tentamentijd. Alleen de studieadviseur of studentdecaan zouden toegang hebben tot deze verklaring.

Over het onderzoek
In mei dit jaar bevatte Osiris de gegevens van 267.000 personen. Het gaat om ruim 157.300 oud-studenten, 29.500 actieve studenten, 56.400 oude aanmelders die nooit als actief student zijn ingeschreven en 23.900 actieve aanmelders.

Voor het onderzoek analyseerde Delta tientallen interne en externe documenten uit de periode 2020 tot en met augustus 2026. Ook sprak de redactie met deskundigen, (voormalig) TU-medewerkers en (oud-)studenten.

Het onderzoek en de publicatie zijn tot stand gekomen met een bijdrage van het Delfts Mediafonds. Delta is het onafhankelijke journalistieke platform van de Technische Universiteit Delft.

Dit is een artikel van onze mediapartner Delta