SURF geeft onderwijs- en onderzoekssector positief privacyadvies over Nextcloud

SURF geeft een positief advies voor het gebruik van Nextcloud door de onderwijs- en onderzoekssector. Het samenwerkingsverband had wel risico's, maar die zijn met een aangepaste overeenkomst opgelost of zijn niet heel groot.

Ict-coöperatie SURF voerde een Data Protection Impact Assessment (dpia) uit op Nextcloud. Uit deze privacytoets kwamen vijftien risico's voor gegevensbescherming.

Deze risico's gingen bijvoorbeeld over hoe Nextcloud gegevens van beheerders en commerciële contacten verwerkt en hoe Nextcloud diagnostische gegevens verzamelt. "We hebben geen risico's vastgesteld met betrekking tot inhoudelijke gegevens van de klant", schrijft SURF.

Aangepaste DPA

Op basis van deze toets onderhandelde SURF met Nextcloud over een aangepaste verwerkersovereenkomst, ofwel DPA. De gehele onderwijs- en onderzoekssector kan die vervolgens gebruiken. Nextcloud heeft ook 'risicobeperkende maatregelen genomen of aangekondigd'. "Daaruit volgt de conclusie van de dpia dat alle geïdentificeerde risico's zijn of worden opgelost, of laag zijn."

De aangepaste verwerkersovereenkomst voegt bijvoorbeeld extra contractuele en organisatorische waarborgen toe. Die gaan over de 'beperkte hoeveelheid' persoonsgegevens die Nextcloud verwerkt.

Onder de aangepaste DPA kunnen onderwijs- en onderzoeksinstellingen er ook op vertrouwen dat Nextcloud gegevens uitsluitend in de EU verwerkt, 'als zij kiezen voor het nieuwe Nextcloud Office dat draait op Euro-Office', schrijft SURF.

Het samenwerkingsverband zegt ook dat Nextcloud 'in tegenstelling tot leveranciers met hoofdkantoor in de VS een harde garantie biedt dat het nooit persoonsgegevens zal verstrekken aan autoriteiten buiten de EU'.

Pilot voor onderwijs- en onderzoekssector

SURF werkt al langer samen met Nextcloud en startte begin dit jaar een pilot om te onderzoeken hoe onderwijs- en onderzoeksorganisaties met Nextcloud-tools kunnen werken. Die pilot werd later uitgebreid.

Wat is Nextcloud?

Nextcloud is een Duitse organisatie die opensourcekantoorsoftware levert. Het pakket is een alternatief voor de kantoorsoftware van bijvoorbeeld Microsoft en Google. Diensten als Nextcloud zijn populairder door de toenemende zorgen over digitale soevereiniteit. Tweakers publiceerde eerder dit jaar een interview met medeoprichter Jos Poortvliet en een artikel over de samenwerking met SURF.

Nextcloud Talk

Reacties (10)

[Quintiemero]

Ik blijf die DPIA’s dubbel vinden. In een 1 in a milion zal je een betrokkene of een medewerker hebben die geïnteresseerd is in telemetrische of diagnostische data. Lever je die data niet goed genoeg aan, kun je niet volledig zijn? Oh, hoog risico want je voldoet niet volledig aan rechten van betrokkenen. Maar even serieus: is dat waarvoor de AVG is?

[bzuidgeest]

Nog al makkelijk doel om te halen als je nauwelijks functionaliteit in het pakket hebt. Er zijn niet voldoende functies in nextcloud voor echte issues.

[LinuxMan]

De meeste issues bij DPIA's komen uit de verwerking van persoonsgegevens van de accounts is mijn ervaring. Dus ik snap je opmerking niet.

Tenzij je natuurlijk een CRM of HR systeem aanschaft, maar ook dan is het niet gebonden aan hoeveel functionaliteithet pakket biedt.

En daarnaast: inmiddels is het een rijk pakket. Heti s niet meer alleen een bestandsuitwisselingtool wat het 5 jaar geleden was.

[visleeuw]

Misschien is dat wel de crux. Een eenvoudiger oplossing kan minder issues hebben dan een complexe. Dan is het misschien wel verstandig om voor simpel te kiezen. Tenzij je natuurlijk al die andere functionaliteit echt nodig hebt.

[Goffo]

Wij van WC eend? Ze hadden wel erg veel baat bij deze DPIA omdat ze ook een pilot draaien met Universiteiten waarbij zij de leverancier zijn.

[Quintiemero]

Dat geldt dan voor bijna elke DPIA. Een DPIA hoeft absoluut niet te komen van een onafhankelijke partij. Die voer je als organisatie zelf uit.

[Triblade_8472]

Ik zie het onder andere als een strategisch onderzoek waarbij je flink baat kan halen uit de resultaten. Hiermee leggen ze de bestaande issues bloot waarmee Nextcloud aan de slag kan. En dan doen ze dus ook!

[sebati]

De DPIA is in samenwerking met een onafhankelijk partij (Privacy Company) uitgevoerd, niet door SURF zelf, deze partij voert ook vaak DPIA's op M365 uit.

[mariomario]

Misschien zou je eens moeten kijken wie de eigenaren van Surf zijn. Uiteindelijk zijn het de universiteiten die het bij Surf voor het zeggen hebben.

Ik zou niet weten waarom de universiteiten belang hebben bij een niet kloppende DPIA en de kans dat Surf dit zal doen is door de eigendomsconstructie niet groot..

[Scriptkid]

Volgendeweek nextcloud wordt over genomen door big tech usa of een chineese bedrijf

Kun je weer opnieuw beginnen lol

[Reactie gewijzigd door Scriptkid op 16 juli 2026 22:30]