TU Delft, öğrenci ve sağlık verilerini temizlemeden ABD bulutuna taşıdı

Delft Teknik Üniversitesi (TU Delft), 267 binden fazla öğrencisine ve mezununa ait kişisel kayıtları geçen yıl kasım ayında buluta taşıdı. Üniversite kampüs dergisi Delta'nın araştırmasına göre, silinmesi gereken kayıtlar bu sırada temizlenmedi. Aralarında sağlık belgelerinin de bulunduğu dosyalar, ABD'li savunma şirketi Caci International'ın Hollanda iştiraki Caci BV'nin artık üniversitenin izni olmadan açabileceği bir sisteme aktarıldı.

Üniversitenin, taşınma öncesinde öğrenci bilgi sistemi Osiris'te yasal saklama süresini doldurmuş kayıtların bulunduğunu bildiği belirtiliyor. Delta'ya göre iç danışmanlar, çalışan konseyi ve üniversitenin kendi veri koruma görevlisi temizlik yapılması için uyarıda bulunmuştu. TU Delft bunu geniş ölçekte yapmadı. Delta'ya konuşan gizlilik uzmanları, kararı ihmal ve Avrupa veri koruma hukukunun ihlali olarak nitelendirdi.

“267 bin kişilik veri için temizlik şart”

Radboud Üniversitesi'nde dijital güvenlik profesörü olan Bart Jacobs, Delta'ya şunları söyledi: “Veri tabanınızda 267 bin kişi varsa, işleri sistematik biçimde temizlemeye zaman ayırmanız gerekir. Özellikle Clinical Diagnostics ve Odido gibi son dönemdeki büyük veri ihlalleri ışığında bu tür bir ihmal kabul edilemez ve sorumsuzluktur.” Jacobs'a göre şikayet edilmesi halinde üniversite Hollanda Veri Koruma Otoritesi'nden para cezası alabilir. Bunun nedeni, üniversitenin Genel Veri Koruma Tüzüğü'nü (GDPR) ve veri tabanlarındaki kişilerin haklarını ihlal etmiş olması.

Caci BV, taşınmadan önce öğrenci dosyalarını yalnızca TU Delft'in izniyle, genellikle bir kesinti sırasında açabiliyordu. Bilgiler artık bulutta olduğu için şirket bunlara kendi başına erişebiliyor. Siber güvenlik uzmanı Bert Hubert, bu değişimi Delta'ya, kayıtları kendi kasasında tutmak ile tedarikçinin kasasına koymak arasındaki fark olarak tanımladı.

Caci BV, ABD merkezli Caci International Inc.'in bir iştiraki. Şirketin 2025'teki 8,6 milyar dolarlık gelirinin yüzde 75'i ABD Savunma Bakanlığı sözleşmelerinden geldi; bunlar arasında askeri istihbarat birimlerine yönelik işler de var. Caci BV yöneticisi Susanne Zuurendonk, Delta'ya Osiris'i kullanan okulların bağımsızlığına büyük değer verdiğini söyledi.

Sağlık verileri için daha sıkı kurallar geçerli

Osiris, Hollanda üniversitelerinde öğrencileri başvurudan mezuniyete kadar takip etmek için kullanılıyor. Sistemde adresler, notlar ve vatandaşlık hizmet numaralarının yanı sıra banka hesap numaraları da tutuluyor. Diplomalar ve transkriptler sisteme 30 yıla kadar kaydedilebiliyor.

Delta'nın bulgularına göre sistemde tıbbi bilgiler de saklanıyordu. Örneğin bir öğrenci ek süre talep etmek istediğinde disleksi gibi bir tanı belgesi sunması gerekiyor. Delta, bir öğrenci dosyasının ekran görüntüsünü inceledi; personelin görebildiği dosyada “dyslexieverklaring.pdf” adlı bir belge yer alıyordu.

Sağlık verileri GDPR kapsamında daha sıkı kurallara tabi. Üniversitenin Veri Koruma Etki Değerlendirmesi'nde Osiris'in sağlık kayıtları için tasarlanmadığı ve bu tür bilgilerin orada “prensip olarak” saklanmadığı ifade ediliyor.

Maastricht Üniversitesi'nde e-altyapı profesörü David Groep ise Delta'ya şöyle dedi: “Tıbbi bilgiler bir sistemin risk seviyesini her zaman yükseltir. Bunu hiçbir zaman bir eğitim yönetim sisteminde saklamam.” Groep'a göre üniversitenin Osiris'te yalnızca bir referans numarası tutması, dosyayı ise yerelde saklaması gerekirdi.