Scholen die minder afhankelijk willen zijn van Amerikaanse clouddiensten hebben nu een Europees alternatief dat de privacytoets heeft doorstaan. SURF geeft groen licht voor Nextcloud in het onderwijs.
De zorgen over Amerikaanse clouddiensten in het onderwijs zijn niet nieuw. Scholen verwerken persoonsgegevens van leerlingen en medewerkers en willen zeker weten dat die gegevens in Europa blijven en niet onder buitenlandse wetgeving vallen. SURF heeft nu een uitgebreide privacytoets afgerond op Nextcloud Enterprise, een Duits opensourcepakket voor kantoorproductiviteit en samenwerking, en geeft op basis daarvan een positief advies, zo meldt SURF op haar website.
Wat is Nextcloud?
Nextcloud is opensourcesoftware voor het delen van bestanden, samenwerken aan documenten en intern communiceren. Het pakket wordt ontwikkeld door het in Duitsland gevestigde Nextcloud GmbH. Scholen kunnen de software zelf hosten of de dienst afnemen via een externe hostingprovider. De instelling bepaalt daarmee zelf waar de data staat, wat een wezenlijk verschil is met cloudoplossingen van grote Amerikaanse aanbieders.
Vijftien risico’s, allemaal laag of opgelost
SURF heeft samen met Privacy Company een Data Protection Impact Assessment (DPIA) uitgevoerd op Nextcloud Enterprise. Een DPIA is een verplichte privacyanalyse die instellingen moeten uitvoeren wanneer een verwerkingsactiviteit verhoogde risico’s met zich meebrengt. Meer over wanneer een DPIA verplicht is lees je op de pagina over de AVG in het onderwijs.
Uit de toets kwamen vijftien mogelijke privacyrisico’s naar voren. Die hadden betrekking op de verwerking van beheerders- en contactgegevens, ondersteuningsdata en beperkte diagnostische informatie die beheerders desgewenst met Nextcloud kunnen delen. Inhoudelijke gegevens van leerlingen of medewerkers kwamen niet in beeld: Nextcloud heeft daar geen toegang toe, ook niet op afstand tijdens een ondersteuningsverzoek.
Alle vijftien risico’s zijn inmiddels opgelost of bleken laag te zijn, zo blijkt uit de DPIA-rapportage van SURF. Op basis daarvan geeft SURF een positief advies voor het gebruik van Nextcloud Enterprise, mits instellingen de aanbevolen beveiligingsmaatregelen treffen.
Een verwerkersovereenkomst voor de hele onderwijssector
Namens de Nederlandse onderwijs- en onderzoekssector onderhandelde SURF met Nextcloud over een aangepaste verwerkersovereenkomst. Die overeenkomst begrenst wat Nextcloud mag doen met de beperkte persoonsgegevens die het verwerkt, zoals contactgegevens van beheerders of inkoopmedewerkers. De overeenkomst beperkt de verwerkingen tot vier specifieke en legitieme doeleinden. Scholen bepalen zelf welke subverwerkers worden ingeschakeld en voor welke doeleinden gegevens worden gebruikt. Bewaartermijnen zijn beperkt tot wat strikt noodzakelijk is. De hele onderwijs- en onderzoekssector kan gebruikmaken van deze overeenkomst.
Gegevens blijven in Europa
Een concreet verschil met Amerikaanse aanbieders is de juridische positie van Nextcloud. Instellingen die kiezen voor Nextcloud Office kunnen ervan uitgaan dat hun gegevens uitsluitend binnen de Europese Unie worden verwerkt, meldt SURF. Nextcloud geeft een contractuele garantie dat het nooit persoonsgegevens verstrekt aan autoriteiten buiten de EU. Bij aanbieders die onder Amerikaanse wetgeving vallen is die garantie er niet.
De DPIA omvat ook een aparte beveiligingsbeoordeling. Nextcloud heeft onlangs de CSPN-certificering behaald, een erkenning van het Franse nationale agentschap voor informatiesysteembeveiliging ANSSI. Die beoordeling had een positief resultaat.
Wat scholen zelf moeten regelen
De DPIA bevat concrete aanbevelingen voor scholen die Nextcloud willen inzetten. Beheerders moeten het delen van gegevens met Nextcloud zoveel mogelijk beperken. Interne auditlogs mogen niet worden ingezet voor het toezicht op medewerkers of leerlingen. Scholen die zelf willen hosten, vinden de volledige lijst met aanbevolen maatregelen in het DPIA-rapport op de website van SURF Vendor Compliance.
