Ooit in Delft gestudeerd, je daar aangemeld of er een tentamen met extra tijd gemaakt? Dan staan er mogelijk nog gegevens van je in de systemen van de TU Delft die er allang niet meer hadden mogen zijn. Universiteitsblad Delta ontdekte dat de universiteit gevoelige gegevens van (oud-)studenten naar de cloud heeft verhuisd, terwijl een deel daarvan al verwijderd had moeten zijn. Erasmus Magazine zette het nieuws op 5 oktober 2026 op een rij. Wat er speelt, en wat je zelf kunt doen.
Wat er bij de TU Delft is gebeurd
Veel hogescholen en universiteiten werken met Osiris, het systeem waarin je je inschrijft voor vakken en tentamens. Daarin staan ook persoonsgegevens, zoals adressen, rekeningnummers en studieresultaten. De TU Delft besloot in november 2025 die gegevens van de eigen servers naar een Nederlandse cloudomgeving te verhuizen.
Daarbij gingen volgens Delta de gegevens van zo’n 267.000 (oud-)studenten en aanmelders mee, inclusief BSN’s en bankgegevens die volgens de privacywet al weg hadden moeten zijn. Er zaten zelfs medische gegevens tussen. Studenten uploadden soms een medische verklaring of dyslexieverklaring om extra tentamentijd aan te vragen, terwijl Osiris daar volgens de universiteit niet voor bedoeld is. De TU Delft werd vooraf meerdere keren gewaarschuwd om de data eerst op te schonen, maar deed dat niet. Een deskundige zegt tegen Delta dat de universiteit een boete van de Autoriteit Persoonsgegevens kan krijgen.
Welke rechten je hebt
De AVG is hier vrij duidelijk over. Een organisatie moet persoonsgegevens verwijderen als ze niet meer nodig zijn voor het doel waarvoor ze zijn verzameld. Een universiteit mag de gegevens van oud-studenten dus niet onbeperkt bewaren. Je hebt twee rechten die hier goed van pas komen.
- Recht op inzage. Je mag elke organisatie vragen welke gegevens ze van je heeft en wat ze ermee doet. De Autoriteit Persoonsgegevens legt uit dat de organisatie binnen een maand moet reageren.
- Recht op verwijdering. Heeft de organisatie gegevens die ze niet meer nodig heeft, dan kun je vragen om ze te wissen. Ook dan geldt een reactietermijn van een maand, die met hooguit twee maanden verlengd mag worden.
Let wel op dat niet alles weg kan. Volgens de Autoriteit Persoonsgegevens geldt het recht op verwijdering niet voor gegevens die een organisatie wettelijk moet bewaren of in het algemeen belang moet archiveren. Gegevens over je diploma kunnen daaronder vallen. Een oude medische verklaring of je rekeningnummer van jaren terug heeft een universiteit meestal niet meer nodig.
Zo vraag je om verwijdering
- Zoek in de privacyverklaring van je (oude) instelling naar het mailadres van de functionaris gegevensbescherming of het privacyteam.
- Vraag eerst inzage, zodat je weet wat er nog over je bewaard wordt.
- Vraag daarna gericht om verwijdering van wat niet meer nodig is, zoals een medische verklaring, je BSN of oude bankgegevens. De Autoriteit Persoonsgegevens heeft een voorbeeldbrief die je kunt gebruiken.
- Krijg je na een maand geen antwoord, of ben je het niet eens met een weigering, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
Dit geldt niet alleen voor Delft. Studeerde je ergens anders waar ook met Osiris wordt gewerkt, dan kun je dezelfde vraag daar stellen. Wie eerder al met een datalek te maken kreeg, weet hoe vervelend het is als je gegevens ergens rondzwerven, zoals we schreven bij de afpersingsmails na de hack bij Flink. Hoe minder er van je bewaard wordt, hoe minder er kan uitlekken.
