Ondanks juridische en andere bezwaren gaat de Radboud Universiteit door met het uitrollen van Microsoft365. Wel wacht ze het advies van een VSNU-werkgroep af en volgt ze de ontwikkelingen op het gebied van privacyregels op de voet.

De Radboud Universiteit gaat door met de voorbereidingen van de invoering van clouddienst Microsoft365. Voor de juridische bezwaren op privacygebied, die hoogleraar Digital Security Bart Jacobs onlangs opvoerde, wordt momenteel een oplossing gezocht in SURF-verband, het ICT-samenwerkingsverband tussen universiteiten en andere kennisinstellingen. Mocht dat niet lukken, dan ‘zullen we ons hierop in SURF-verband beraden’. Dat laat de universiteit weten in een schriftelijke reactie na vragen van Vox.

Sinds begin 2019 werkt de universiteit toe naar werken ‘in de cloud’ via software van Microsoft. Na invoering – volgens planning vanaf februari – kunnen studenten en medewerkers via Microsoft365 (voorheen: Office365) makkelijker overal bij hun bestanden, is het idee. Of ze nu thuis of op de campus werken, en ongeacht of dat vanachter een pc gebeurt of via een tablet. Samen tegelijkertijd aan hetzelfde document werken moet ook eenvoudiger gaan. Studenten, medewerkers en externen krijgen hetzelfde type ‘digitale identiteit’: een @ru.nl-account, dat gedeeld wordt met Microsoft.

Bezwaren

Dat klinkt efficiënt, toch kleven er flink wat bezwaren aan de overgang naar de systemen van Microsoft, vertelde hoogleraar Digital Security Bart Jacobs onlangs tegen Vox. Zijn belangrijkste zorg: de samenwerking met Microsoft is in strijd met Europese privacywetgeving, na een uitspraak van het Europese Hof van Justitie afgelopen juni. Een verdrag tussen de EU en de VS, dat persoonsgegevens van Europese burgers in de VS zou moeten beschermen, verklaarde het Hof ongeldig. De privacyregels in de VS zijn minder strikt dan bijvoorbeeld de AVG-wetgeving in Nederland.

Afzien van Microsoft365 zou ook een ander bezwaar gedeeltelijk wegnemen, zei Jacobs, namelijk dat universiteiten steeds afhankelijker worden van techreuzen als Microsoft en Google. Dat is niet alleen een zorg van Jacobs, maar ook van de universiteiten zelf. De Nederlandse rectores magnifici publiceerden er ruim een jaar geleden een gezamenlijke open brief over in de Volkskrant.

Samenwerking niet beëindigd

Moet de universiteit nog wel verder gaan met Microsoft365? ‘Deze uitgesproken zorgen gelden nog steeds voor het academische werkveld’, schrijft de universiteit desgevraagd in een schriftelijke reactie, omdat het ‘om een nogal complexe kwestie’ gaat. ‘Dat betekent echter niet dat de samenwerking met organisaties zoals Microsoft per direct moet worden beëindigd of dat lopende projecten gestopt worden.’

Er is volgens de universiteit een grote behoefte aan manieren om beter en makkelijker op afstand te kunnen samenwerken. ‘Veel medewerkers en onderzoekers geven aan dat ze liever vandaag dan morgen de beschikking willen hebben over Microsoft365.’ Dit laatste zou blijken uit een zogenoemd behoeftenonderzoek onder gebruikers.

‘Afhankelijk van het advies van de VSNU-werkgroep ondernemen we verdere actie’

Wat betreft de toenemende afhankelijkheid van techbedrijven, wacht de universiteit een adviesrapport af van een VSNU-werkgroep. Daarna start ze pas met de uitrol van Microsoft365 op de faculteiten. Deze werkgroep is ingesteld naar aanleiding van de open brief in de Volkskrant, en brengt in het voorjaar advies uit. Jacobs is een van de leden.

‘Afhankelijk van dat advies ondernemen we verdere actie’, laat de universiteit weten. ‘In januari start de technische pilot voor de invoering van Microsoft365. Deze pilot is nog niet afgerond tegen de tijd dat het adviesrapport wordt uitgebracht.’

Rector Han van Krieken had geen tijd om persoonlijk te reageren op de vraag of de zorgen die hij uitte in zijn opiniestuk misschien toch niet zo groot zijn als gesteld.

Privacy

Ook de ontwikkelingen rond privacy volgt de universiteit ‘op de voet’, schrijft ze. ‘Als Radboud Universiteit willen we het risico zo veel mogelijk beperken als het gaat om de gegevens van onze medewerkers en studenten en/of onderzoekdata.’

Collegevoorzitter Daniël Wigboldus gaf gisteren in zijn nieuwjaarsrede nog aan hoe lastig de vragen zijn rond Microsoft365. ‘Voor ons als college van bestuur staat daarbij niet alleen de vraag centraal hoe veilig het gebruik van een dergelijk pakket is, maar ook wat de risico’s zijn wanneer we dat niet zouden doen.’

Aan de privacyproblematiek wordt daarom momenteel in samenwerking met andere universiteiten gewerkt. Ook bestuderen de universiteiten gezamenlijk de privacywetgeving. Eventuele consequenties voor de inrichting van Microsoft365 zullen in SURF-verband worden getrokken, aldus de universiteitswoordvoerder Anja van Kessel.

SURF heeft daartoe een ‘privacy shield taskforce’ in het leven geroepen die met alternatieven moet komen om de bescherming van persoonsgegevens alsnog te waarborgen. Bijvoorbeeld door Microsoft te vragen bepaalde afspraken met universiteiten aan te passen. In deze zogeheten modelcontracten is de bescherming van persoonsgegevens op zichzelf ook geregeld, maar waarschijnlijk onvoldoende, volgens experts van SURF. De vraag is wel of Microsoft mee wil of kan gaan in de benodigde wijzigingen.

Ook de Europese Unie werkt aan alternatieven voor Privacy Shield. Mocht er uiteindelijk geen juridische grondslag zijn voor verwerking van Europese persoonsgegevens door een Amerikaans bedrijf, schrijft de universiteit in haar reactie, dan zullen de universiteiten zich hierop gezamenlijk beraden. ‘De privacy van onze medewerkers en studenten blijft daarbij voorop staan.’

‘Geen juridische basis’

Hoogleraar Digital Security Bart Jacobs is nog steeds bezorgd over de overgang, reageert hij desgevraagd. ‘SURF bevestigt in feite dat zolang Microsoft de modelcontracten niet aanpast, er geen juridische basis is voor Office365.’ Daar zitten alle partijen momenteel mee die het cloudsysteem van Microsoft nu al gebruiken, benadrukt hij, maar de Radboud Universiteit zit in een andere positie, omdat zij het systeem nog niet uitgerold heeft.

‘Ik blijf me afvragen wat er gebeurt als een student of medewerker naar de Nederlandse rechter stapt, of een handhavingsverzoek doet bij de Autoriteit Persoonsgegevens. De mogelijkheid bestaat dat de Radboud Universiteit dan moet stoppen.’