Update DPIA: Xedule zet grote stappen
SURF heeft een update gepubliceerd van de DPIA voor Xedule, dat logistieke cloudoplossingen levert voor plan- en roosterprocessen in het onderwijs. Van de 17 aanvankelijk hoge risico’s zijn er 11 teruggebracht naar laag of medium; er resteren 6 hoge risico’s, 1 medium risico en 1 nieuw laag risico door de migratie naar Microsoft. Xedule heeft toegezegd de resterende maatregelen uiterlijk in het eerste kwartaal van 2027 uit te voeren, waarna SURF ze controleert en een finale update met advies publiceert. Het advies blijft dat onderwijsinstellingen Xedule voorlopig kunnen blijven gebruiken.
SURF heeft een update DPIA op Xedule gepubliceerd. 11 van de 17 initiële hoge risico’s zijn door Xedule naar laag of medium teruggebracht. Wat overblijft: 6 hoge risico’s, 1 medium risico en 1 nieuw laag risico. Deze worden uiterlijk in het eerste kwartaal van 2027 gemitigeerd. Ons advies blijft: instellingen kunnen Xedule voorlopig blijven gebruiken.
Xedule levert logistieke cloudoplossingen voor plan- en roosterprocessen binnen het onderwijs. De applicaties worden in de hele onderwijssector gebruikt. Met name in het middelbaar beroeps- en hoger onderwijs is Xedule een bekende naam.
Overzicht van alle risico’s en maatregelen
In de originele Data Protection Impact Assessment (DPIA) van 8 juli 2025 zijn 17 hoge risico’s geïdentificeerd waarvoor Xedule maatregelen moest treffen. Uit de update blijkt dat bij 11 van deze 17 risico’s de maatregelen zijn uitgevoerd, waardoor deze naar laag of medium zijn teruggebracht.
De maatregelen die Xedule heeft genomen zijn onder meer: een bijgewerkte verwerkersovereenkomst, privacywaarschuwingen bij bepaalde velden in de applicatie en automatisch instelbare bewaartermijnen voor bepaalde groepen data. Xedule wil de resterende 6 hoge risico’s ook terugdringen en heeft zich eraan gecommitteerd om dit uiterlijk in het eerste kwartaal van 2027 te doen.
Xedule migreert zijn digitale infrastructuur naar Microsoft. Daardoor zijn risico’s rond non-EU transfers van toepassing. In de update DPIA is dit terug te vinden als een nieuw laag risico.
Xedule gaat uiterlijk in het eerste kwartaal van 2027 de resterende maatregelen doorvoeren. SURF zal deze controleren en daarna een finale update publiceren met bijbehorend advies.
Om risico’s te verkleinen, blijft het voor instellingen belangrijk om de eerder vermelde maatregelen uit te voeren. In de tabel in de deel D (pagina 105) van de DPIA-update staat wat voor zowel de instellingen als voor Xedule geldt (14 maatregelen) en wat alleen geldt voor de instellingen (1 maatregel).
Volledig rapport openbaar beschikbaar
De volledige bevindingen van het onderzoek zijn te vinden in de DPIA.
https://www.surf.nl/nieuws/update-dpia-xedule-zet-grote-stappen
