Mededeling (uitstel antwoord) : Uitstel beantwoording vragen van de leden El Boujdaini en Rooderkerk over het bericht 'Studenten gewaarschuwd voor phishing na hack softwarebedrijf'

Mededeling van Minister Letschert (Onderwijs, Cultuur en Wetenschap) (ontvangen 3 juni
2026).

Vraag 1

Bent u bekend met het bericht van de NOS dat hackersgroep ShinyHunters, die eerder
verantwoordelijk was voor de hack bij Odido, nu ook gegevens van miljoenen studenten,
docenten en onderwijsmedewerkers via onderwijsplatform Canvas heeft buitgemaakt?1

Vraag 2

Hoe beoordeelt u de ernst van dit datalek, mede gelet op de gevoeligheid van de buitgemaakte
persoonsgegevens en mogelijk ook privécommunicatie van studenten, docenten en onderwijsmedewerkers?

Vraag 3

Hoeveel studenten, docenten en onderwijsmedewerkers van Nederlandse onderwijsinstellingen
zijn naar schatting getroffen en welke typen persoonsgegevens zijn daarbij buitgemaakt?

Vraag 4

Welke gevolgen kan dit datalek hebben voor studenten, docenten en onderwijsmedewerkers,
bijvoorbeeld in de vorm van phishing, identiteitsfraude of andere vormen van digitale
criminaliteit en hoe kan worden voorkomen dat zij hiervan slachtoffer worden?

Vraag 5

Heeft u contact met de onderwijskoepels over wat nodig is om de gevolgen van dit datalek
te beperken? Zo nee, bent u bereid hierover alsnog contact met hen op te nemen?

Vraag 6

Welke ondersteuning en informatie worden momenteel geboden aan getroffen studenten,
docenten en onderwijsmedewerkers om misbruik van hun persoonsgegevens te voorkomen?
Acht u deze ondersteuning voldoende en welke rol ziet u hierin voor uzelf?

Vraag 7

Is voor studenten, docenten en onderwijsmedewerkers voldoende duidelijk welke persoonsgegevens
via onderwijsplatformen zoals Canvas worden verwerkt, met welke externe partijen deze
gegevens worden gedeeld en hoe deze gegevens worden beschermd?

Vraag 8

Vindt u het wenselijk dat Nederlandse onderwijsinstellingen onderhandelen met hackersgroep
ShinyHunters naar aanleiding van het ultimatum rondom de hack op Canvas, waarbij wordt
gedreigd buitgemaakte gegevens van studenten, docenten en medewerkers openbaar te
maken, of bent u van mening dat overheids- en onderwijsinstellingen nooit zouden moeten
ingaan op dergelijke eisen van cybercriminelen?

Vraag 9

Welke lessen trekt u uit dit incident en op welke wijze wordt deze kwestie betrokken
bij de ontwikkeling van een duidelijk handelingskader voor slachtoffers van datalekken?2

Mededeling

Op 13 mei 2026 hebben de leden El Boujdaini en Rooderkerk (beiden D66) schriftelijke
vragen gesteld over het bericht «Studenten gewaarschuwd voor phishing na hack softwarebedrijf».

Tot mijn spijt is beantwoording binnen de gestelde termijn niet mogelijk, omdat een
zorgvuldige beantwoording nadere afstemming behoeft. Ik zal, mede namens de Staatssecretaris
van Economische Zaken en Klimaat en de Minister van Justitie en Veiligheid, de vragen
zo snel mogelijk beantwoorden.