Onzekerheid over impact datalek voor Avans Roosendaal
Door: Olaf Knook AlgemeenROOSENDAAL / BREDA - Door een datalek bij Avans Hogeschool waren gevoelige persoonsgegevens van medewerkers en studenten bijna een jaar lang in te zien. De gegevens waren niet openbaar, maar wel binnen de organisatie toegankelijk. De hogeschool heeft het lek gemeld bij de Autoriteit Persoonsgegevens en is een onderzoek gestart. Over de gevolgen voor de Roosendaalse locatie aan het Mill Hillplein is veel onzekerheid.
Het lek ontstond op 30 juni 2025 en werd pas op 8 juni 2026 ontdekt door een medewerker van de hogeschool. Volgens Avans ontstond het lek door een wijziging in de Microsoft-omgeving waarop het interne systeem Avans Management Informatie GO (AMIGO) is gebouwd. In dat systeem kunnen medewerkers informatie opzoeken via dashboards. Door de wijziging konden persoonsgegevens worden ingezien.
“Op de dag van de ontdekking hebben we direct maatregelen genomen”, meldt Avans. De toegang tot de gegevens werd meteen afgesloten. Ook is het datalek gemeld bij de Autoriteit Persoonsgegevens en is de hogeschool een onderzoek gestart naar wat de gevolgen zijn.
Avans wil niet zeggen welke persoonsgegevens precies in te zien waren. Wel bevestigt de hogeschool dat het deels om gevoelige gegevens gaat. “Uit het onderzoek blijkt dat ook gegevens toegankelijk konden zijn die als gevoelig kunnen worden beschouwd. Om de privacy van betrokkenen te beschermen, delen we die informatie niet.” Alle betrokkenen zijn op 30 juni persoonlijk op de hoogte gebracht.
Hierdoor is het ook onzeker hoe groot de impact voor de Roosendaalse locatie is. Avans Associate degrees Academie Roosendaal heeft een samenwerking met de Hogeschool Zeeland (HZ). De HZ maakt gebruik van een ander systeem en dus heeft het lek op hen geen betrekking. “We doen geen uitspraken over wie er betrokken is en daarmee ook niet of er mensen van de locatie Roosendaal betrokken zijn in het privacy-incident. Het is zo dat er door Avans gebruik wordt gemaakt van het systeem en niet door de HZ. Dat zegt niets over of mensen in Roosendaal betrokken zijn met hun gegevens in het incident”, aldus persvoorlichting van Avans. “
Geen aanwijzingen van misbruik
Volgens Avans is er geen sprake van een hack van buitenaf. Er zijn geen aanwijzingen dat de gegevens zijn misbruikt. “We kunnen dit echter niet volledig uitsluiten.” Het duurde bijna een jaar voordat het lek werd ontdekt, ondanks de interne controles. “Dat wil niet zeggen dat er geen controles zijn, maar wel dat die in dit geval niet voldoende is geweest om de gegevens genoeg te beschermen.”
Hoewel AMIGO draait op software van Microsoft, zegt Avans zelf verantwoordelijk te zijn. “Als Avans zijn wij verantwoordelijk voor het beheer en de beveiliging van onze gegevens. Die verantwoordelijkheid nemen we en daar mag je ons aan houden.” Wel onderzoekt de hogeschool alle relevante factoren in het proces, waarin ook Microsoft een rol speelt.
Om herhaling te voorkomen kijkt Avans welke gegevens nodig zijn om te bewaren en hoe de controles kunnen worden verbeterd. Een garantie dat dit nooit meer gebeurt kan de hogeschool niet geven. “Wat wij wel doen, is de oorzaak zorgvuldig onderzoeken, lessen trekken uit de situatie en passende technische en organisatorische maatregelen treffen om het risico op herhaling zoveel mogelijk te beperken.”
Avans heeft locaties in Breda, Roosendaal, Tilburg en ‘s-Hertogenbosch.
