“Universiteitsbesturen besluiten steeds vaker om het onderhoud van ict-diensten uit te besteden aan Amerikaanse Cloud-giganten”, staat in de brief van achttien hoogleraren en een universitair hoofddocent. Op de lange termijn is dat niet verstandig, menen ze. Cursor vroeg Tanja Lange, professor Mathematics & Computer Science die de brief ook ondertekende nog om een reactie, maar die voelde niet de behoefte er verder op te reageren omdat het al te laat is voor de TU/e.

Studenten moeten een veilige leeromgeving hebben waarin ze fouten kunnen maken, stellen de briefschrijvers. “Het moet onmogelijk zijn dat privacygevoelige data van studenten voor andere doeleinden misbruikt wordt.”

Cloud

En dat is maar afwachten, als die data in een Amerikaanse cloud staan. Een ‘cloud’ is eigenlijk een server waarop data worden bewaard die je via het internet kunt opvragen. Die data staan dan niet meer op je eigen computer, die kan crashen of gehackt kan worden, maar ergens ‘veilig’ opgeslagen in de cloud.

Commerciële bedrijven kunnen de data zomaar misbruiken, stellen de ondertekenaars met een verwijzing naar het Cambridge Analytica-schandaal. Dat bedrijf analyseerde privacygevoelige data van miljoenen mensen om de verkiezingscampagnes van Donald Trump vooruit te helpen.

Maar behalve die bedrijven zou ook de Amerikaanse overheid toegang kunnen krijgen tot het e-mailverkeer en de data van studenten en medewerkers aan Nederlandse universiteiten, zeggen de hoogleraren. “We verheffen de Facebooks, Googles, Amazons en Microsofts van deze wereld niet alleen tot beheerder van onze data, maar ook tot grenspolitie van die data.”

Het zou beter zijn om zulke diensten in eigen hand te houden, is de gedachte, bijvoorbeeld bij SURF, de ict-organisatie van het Nederlandse onderwijs en onderzoek. Martin de Vries, Chief Information Security Officer aan de TU/e zegt bekend te zijn met de brief van de hoogleraren en de daarin opgenomen oproep. “De belangen die er spelen zijn bekend en worden onderkend. Er is goed contact met de betrokken wetenschappers vanuit TU/e, met hen komen deze onderwerpen ook ter sprake. Op het niveau van SURF wordt er over deze brief gesproken en zal de voorzitter van SURF in gesprek gaan met de initiatiefnemer(s) van de brief.”

De Vries: “Uiteraard wordt er vanuit de TU/e veel gedaan om te zorgen dat we ons altijd aan de geldende regels houden (middels cloud-strategie, inkoopregels, etc.). Daarbij is een mogelijke oplossing (of oplossingen) complex en niet onmiddellijk voorhanden. Er zullen veel partijen bij de oplossing(en) betrokken zijn en het zal ook de nodige politieke steun vragen op landelijk en Europees niveau. Met betrekking tot cyber security en privacy hanteert de TU/e een risico gebaseerde aanpak en die zullen we blijven hanteren bij elke stap die we doen.”

Lastige klant

Het is zeker niet de eerste kritiek op de privacyproblemen in de ict van het hoger onderwijs. Internetpionier Marleen Stikker riep studenten en medewerkers vorig jaar al op om veilige ict-omgevingen te eisen. “Je mag als student of docent best een lastige klant zijn”, vond ze.

Ict-organisatie SURF is momenteel bezig met de privacyvoorwaarden van bepaalde onderwijssoftware die Google aanbiedt. De Autoriteit Persoonsgegevens heeft zich erover gebogen en meent dat de minister van Onderwijs zich ermee moet bemoeien.

Opvallend genoeg wilden ook de rectoren van de Nederlandse universiteiten een grens trekken, schreven ze vorig jaar in de Volkskrant. Maar volgens de cyber-hoogleraren is de aandacht weer verslapt.

Hotel California

“Vergeet niet dat voor de Big Tech bedrijven geldt: You can check-in anytime you like, but you can never leave”, schrijven ze. Dat is een citaat uit Hotel California van The Eagles, waar de ik-figuur voor een verleiding zwicht waar hij zich nooit meer van kan bevrijden.