De HAN University of Applied Sciences is aansprakelijk voor de schade die oud-student Bram Kleisterlee opliep door het datalek in 2021, oordeelde de Rechtbank Gelderland afgelopen woensdag. Studentenvakbond AKKU stond hem bij. ‘Hopelijk is dit een krachtig signaal aan andere onderwijsinstellingen.’
In september 2021 maakte de hogeschool bekend dat er een datalek was opgetreden. Een hacker had via een zogeheten SQL-injectie meer dan 500.000 e-mailadressen buitgemaakt en van enkele duizenden personen ook gevoelige informatie, zoals medische gegevens. Dat laatste was bij Kleisterlee het geval. Hij eiste schadevergoeding voor opgelopen immateriële schade. Het vonnis: de HAN is aansprakelijk voor het datalek en moet Kleisterlee €300 betalen.
Onvoldoende plichtsbesef
Studentenvakbond AKKU stond Kleisterlee bij in de zaak. Voorzitter Mo Quirijnen laat weten tevreden te zijn met de uitspraak. ‘De HAN had onvoldoende besef dat ze die data goed moeten beveiligen’, vertelt Quirijnen. De hogeschool maakte gebruik van verouderde beveiligingssystemen, waarin gegevens van studenten niet versleuteld waren. ‘Als je gegevens bewaart, móét je dat goed doen. Dat staat ook in de Algemene verordening gegevensbescherming (AVG). De HAN nam daarin geen verantwoordelijkheid.’ Verantwoordelijkheid die de HAN, ook volgens de rechtbank, wel had moeten nemen.
Quirijnen hoopt dat deze uitspraak een signaal is voor andere onderwijsinstellingen om zorgvuldiger met persoonsgegevens om te gaan. ‘Ga niet losjes om met die data’, roept hij onderwijsinstellingen op. Overigens is het datalek van de HAN inmiddels gedicht, laat de hogeschool op haar site weten.
‘Ik ben ontzettend trots op wat we hebben bereikt. Het gebeurt niet vaak dat een studentenvakbond een rechtszaak wint van zo’n grote onderwijsinstelling’, vertelt Quirijnen. ‘Bram was disproportioneel hard getroffen door het datalek, en zijn vertrouwen in onderwijsinstellingen én andere instellingen was ernstig geschaad. Het belangrijkste is dat hij dit hoofdstuk nu kan afsluiten.’
Hoe veilig zijn je gegevens aan de Radboud Universiteit? Lees hier een artikel uit september 2021 over die vraag.