Minister Van Engelshoven van Onderwijs moet opheldering geven over het datalek bij de TU Delft en Universiteit Utrecht waar de privégegevens van zo'n 250.000 personen werden gestolen. Van zesduizend afgestudeerden van de Universiteit Utrecht ging het ook om burgerservicenummers. De VVD heeft naar aanleiding van het incident Kamervragen gesteld.

Beide universiteiten maken gebruik van de diensten van cloudsoftwarebedrijf Blackbaud, dat in mei het doelwit van een ransomware-aanval werd. Het bedrijf stopt de aanval, maar voordat de aanvaller de ransomware uitrolde wist hij gegevens van een aantal Blackbaud-klanten te stelen, waaronder de twee Nederlandse universiteiten. In het geval van de Universiteit Utrecht en TU Delft kregen de aanvallers toegang tot een oude back-up uit 2017 die onbedoeld nog in de omgeving van Blackbaud stond.

Blackbaud maakte eerder al bekend dat het de crimineel achter de aanval heeft betaald om de data te vernietigen. Het bedrijf denkt niet dat de data buiten de cybercrimineel om is verspreid, is of zal worden misbruikt of op andere wijze openbaar zal worden gemaakt. VVD-Kamerlid Wiersma wil nu opheldering van Van Engelshoven. Zo wil Wiersma weten welke garantie de Universiteit Utrecht en de TU Delft hebben gekregen dat de buitgemaakte gegevens daadwerkelijk zijn vernietigd en op welke manier de getroffen afgestudeerden, donateurs en relaties dit kunnen controleren.

De universiteiten stelden dat gezien het grote aantal onderwijsinstellingen en stichtingen dat wereldwijd is getroffen door dit incident, er geen reden is om aan te nemen dat dat de cyberaanval specifiek op de universiteiten of hun contacten was gericht. "Daarom schatten wij de waarschijnlijkheid van eventuele risico's voor de privacy van betrokkenen momenteel in als laag", aldus de universiteiten.

Het VVD-Kamerlid wil van de minister weten waarop de universiteiten dit baseren. "Is het niet zo dat door de aanval privacygevoelige data al lang op straat liggen, dus dat lage schatting van de risico’s nergens op gebaseerd is?", vraagt Wiersma. Verder moet Van Engelshoven duidelijk maken waarom de Nederlandse universiteiten pas op 11 augustus werden geïnformeerd, terwijl het datalek al op 16 juli bekend was en Britse universiteiten een week later werden geïnformeerd.

Wiersma vraagt tevens hoe het kan dat de aanvaller toegang kreeg tot een oude back-up uit 2017 die nog in de omgeving van Blackbaud stond. "Op welke manier controleren hoger onderwijsinstellingen of bepaalde privacygevoelige gegevens daadwerkelijk nog in het bezit zijn van derde partijen?" Ook wil het Kamerlid weten wie er eindverantwoordelijk is voor het beveiligen van de gegevens en hoe het kon dat Blackbaud nog beschikte over een oude back-up uit 2017.

Afsluitend moet de minister duidelijk maken hoe ze erop gaat toezien dat hoger onderwijsinstellingen beter controleren op welke manier derde partijen omgaan met privacygevoelige informatie, en welke maatregelen de minister neemt om een herhaling van dit incident te voorkomen. Van Engelshoven heeft drie weken de tijd om de Kamervragen te beantwoorden.