Gebruik van persoonsgegevens in het onderwijs

Onder de Algemene verordening gegevensbescherming (AVG) kunnen organisaties verplicht zijn om een data protection impact assessment (DPIA) uit te voeren. Dat geldt ook voor scholen. Een DPIA is alleen verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert. Bijvoorbeeld voor de leerlingen van wie u persoonsgegevens verwerkt.

Wat is een DPIA?

Met een DPIA brengt u de privacyrisico’s van een gegevensverwerking in kaart. Vervolgens kunt u maatregelen treffen om deze risico’s te verkleinen.

Privacyrisico zelf beoordelen

Of een verwerking een hoog privacyrisico oplevert, moet u zelf beoordelen. De Europese privacytoezichthouders hebben 9 criteria voor een DPIA opgesteld die u helpen om dat te toetsen.

Meestal is een DPIA verplicht als uw verwerking voldoet aan 2 of meer van deze 9 criteria:

1. beoordelen van mensen op basis van persoonskenmerken;
2. geautomatiseerde beslissingen;
3. stelselmatige en grootschalige monitoring;
4. gevoelige gegevens;
5. grootschalige gegevensverwerkingen;
6. gekoppelde databases;
7. gegevens over kwetsbare personen (bijvoorbeeld kinderen);
8. gebruik van nieuwe technologieën;
9. blokkering van een recht, dienst of contract.

Let op: deze 9 criteria zijn een handreiking om in te schatten of u een DPIA moet uitvoeren. Ook als u aan slechts één - of geen - van deze criteria voldoet, moet u goed kunnen onderbouwen waarom u ervoor kiest om geen DPIA uit te voeren. Dit maakt onderdeel uit van de verantwoordingsplicht die u onder de AVG heeft.

DPIA voor leerlingvolgsysteem en cameratoezicht

Gaat uw school gebruikmaken van een leerlingvolgsysteem of van cameratoezicht? Dan moet u voor deze verwerkingen waarschijnlijk een DPIA uitvoeren.

Voor bestaande verwerkingen geldt dat u alleen verplicht bent een DPIA uit te voeren als er iets verandert aan het risico van de gegevensverwerking. En de gegevensverwerking vervolgens (na de verandering) een hoog privacyrisico oplevert.

Verwerkt een andere organisatie namens uw school leerlinggegevens? Bijvoorbeeld omdat u gebruikmaakt van een bepaalde app of een online platform? Dan bent u onder de Algemene verordening gegevensbescherming (AVG) verplicht om een overeenkomst op te stellen met de aanbieder. Dit heet een verwerkersovereenkomst.

Eisen verwerkersovereenkomst

In een verwerkersovereenkomst legt u de voorwaarden voor de gegevensverwerking vast. 

Bijvoorbeeld: stopt de samenwerking met de derde partij? Dan kunt u als school aangeven welke persoonsgegevens de verwerker na afloop van de verwerkingsdienst moet wissen of aan uw school terugbezorgen. De verwerker moet aan uw verzoek voldoen. Ook moet de verwerker bestaande kopieën verwijderen, tenzij de opslag verplicht is.

Meer informatie

• Wat moet er in een verwerkersovereenkomst staan?

Onder de Algemene verordening gegevensbescherming (AVG) zijn organisaties vaak verplicht om een register van verwerkingsactiviteiten op te stellen. Dat geldt ook voor scholen. In het register staat informatie over de persoonsgegevens die u verwerkt.

In de AVG staat welke informatie organisaties minimaal in het register van verwerkingsactiviteiten moeten opnemen. Voor het register van uw school betekent dit dat in ieder geval de volgende informatie in het register moet staan: 

• De naam en contactgegevens van:
  - uw school (of de vertegenwoordiger van uw school);
  - eventuele andere organisaties waarmee u gezamenlijk de doelen en middelen van de verwerking heeft vastgesteld;
  - de functionaris voor de gegevensbescherming (FG) als u die heeft aangesteld;
  - eventuele internationale organisaties waarmee u persoonsgegevens deelt.
• De doelen waarvoor u de persoonsgegevens verwerkt.
• Een beschrijving van de categorieën van personen van wie u gegevens verwerkt. Denk hierbij onder meer aan ouders/verzorgers, leerlingen, docenten, begeleiders.
• Een beschrijving van de categorieën van persoonsgegevens. Denk hierbij aan onder meer administratiegegevens van leerlingen, verzuimgegevens, gegevens over vorderingen en resultaten van leerlingen, handelingsplannen.
• De datum waarop u de gegevens moet wissen, als dat bekend is.
• De categorieën van ontvangers waaraan u persoonsgegevens verstrekt. Denk hierbij onder meer aan externe instanties.
• Deelt u de gegevens met een land of internationale organisatie buiten de EU? Dan moet u dit aangeven in het register.
• Een algemene beschrijving van de technische en organisatorische maatregelen die u heeft genomen om persoonsgegevens die u verwerkt te beveiligen.

Verantwoordingsplicht

U moet uw register van verwerkingsactivititeiten kunnen laten zien als de Autoriteit Persoonsgegevens (AP) dat vraagt. Dit maakt onderdeel uit van uw verantwoordingsplicht.

Meer informatie

• Ben ik verplicht om een register van verwerkingsactiviteiten op te stellen?

Als school bent u verplicht om te werken met een leerlingvolgsysteem. Een leerlingvolgsysteem houdt vorderingen en resultaten bij van leerlingen, groepen en van de school als geheel.

U brengt daarmee dus de leerprestaties en ontwikkeling van uw leerlingen systematisch in beeld. Ook andere gegevens, zoals verzuimgegevens en gezondheidsgegevens, kunnen in het leerlingvolgsysteem zijn opgenomen.

Gelet op de aard van de persoonsgegevens in een leerlingvolgsysteem moet u als school dus zorgvuldig omgaan met de privacy bij leerlingvolgsystemen.

Regels leerlingvolgsysteem

Bij gebruik van een leerlingvolgsysteem gelden, op grond van de Algemene verordening gegevensbescherming (AVG), de volgende regels:

• U verwerkt alleen gegevens als dat noodzakelijk is voor het doel.
• De gegevens die u verwerkt zijn juist.
• U regelt de beveiliging van en de toegang tot het systeem goed. Dit houdt bijvoorbeeld in dat er niet meer mensen toegang mogen hebben tot de persoonsgegevens van leerlingen dan noodzakelijk is voor het doel. Ook moet u de gebruikersactiviteiten van het systeem bijhouden (loggen).
• U kunt als school aantonen dat u bij het gebruik van het leerlingvolgsysteem de regels van de AVG naleeft. Dit heet de verantwoordingsplicht.
• U neemt de gegevensverwerking van het leerlingvolgsysteem op in uw register van verwerkingsactiviteiten.
• U bent mogelijk verplicht om een data protection impact assessment (DPIA) uit te voeren. Ook als u al een leerlingvolgsysteem gebruikte voordat de AVG van toepassing was.
• U zorgt ervoor dat uw leerlingen (of hun ouders) hun privacyrechten kunnen uitoefenen. Zoals het recht op inzage.

Het verwerken van persoonsgegevens van uw leerlingen via apps, digitale leerprogramma’s, e-learningplatforms en andere digitale onderwijstools brengt aantrekkelijke mogelijkheden met zich mee. Maar ook risico’s. Omdat de kans bestaat dat onbevoegden toegang krijgen tot gevoelige gegevens van uw leerlingen. Zoals informatie over de sociaal-emotionele ontwikkeling, leerprestaties, het BSN en de gezondheid van uw leerlingen.

Belangrijke regels om op te letten

Wat in het klaslokaal gebeurt, moet in het klaslokaal blijven. Dus wilt u via digitale onderwijstools persoonsgegevensverwerken? Dan moet u onder de Algemene verordening gegevensbescherming (AVG) onder andere letten op de volgende regels:

• Verwerkt u gegevens met een hoog privacyrisico? Dan bent u verplicht om een data protection impact assessment (DPIA) uit te voeren.
• Voor het verwerken van persoonsgegevens van uw leerlingen heeft u een grondslag nodig. Mogelijke grondslagen zijn toestemming, uitvoering van een overeenkomst, wettelijke verplichting of een gerechtvaardigd belang.
• Maakt u gebruik van een dienstaanbieder? Zoals een aanbieder van een digitaal leerprogramma? Dan moet u met die aanbieder een verwerkersovereenkomst afsluiten. Zodat u zeggenschap houdt over de gegevens van uw leerlingen.
• U moet aan de Autoriteit Persoonsgegevens kunnen aantonen dat u voldoende maatregelen heeft genomen om de persoonsgegevens van uw leerlingen te beveiligen.   

Overige regels

Dit zijn een aantal belangrijke regels waar u als school rekening mee moet houden als u gebruikmaakt van digitale onderwijstools. Daarnaast gelden natuurlijk ook de andere verplichtingen uit de AVG.    

Lees ook de Working Paper on E-Learning Platforms op de website van de International Working Group on Data Protection in Telecommunications, april 2017 (Engels, pdf 70,3 KB).

Gemeenten kunnen een programma starten om de gezondheid van kinderen en jongeren te verbeteren. Bijvoorbeeld een programma dat als doel heeft overgewicht aan te pakken.

Hierbij heeft de gemeente gegevens over de gezondheid van uw leerlingen nodig, zoals hun lengte, gewicht en motorische vaardigheden.

U kunt als school de vraag krijgen om aan zo’n programma mee te werken. Aan welke wettelijke privacyregels u zich dan moet houden, hangt ervan af wat uw rol is.

Onder de Algemene verordening gegevensbescherming (AVG) geldt de informatieplicht. Voor u als school betekent dat dat u verplicht bent om leerlingen en ouders te informeren over het verwerken van persoonsgegevens. Zodat zij weten welke gegevens u over hen verzamelt en wat u ermee doet.

Direct en indirect verzamelen

U moet ouders en leerlingen informeren over de verwerking van persoonsgegevens die u:

• direct via de ouderen en/of leerlingen ontvangt;
• indirect verzamelt (dus via andere kanalen, bijvoorbeeld andere personen of openbare informatie op internet).

Wanneer hoeft u ouders en leerlingen niet te informeren?

Als u de informatie direct bij ouders en leerlingen verzamelt, dan hoeft u hen niet te informeren als:

• de betrokken persoon al over de informatie beschikt;
• het informeren onmogelijk blijkt of onevenredig veel inspanning zou vergen;
• het verkrijgen of verstrekken van deze gegevens uitdrukkelijk is voorgeschreven bij unie- of lidstatelijk recht;
• de persoonsgegevens vertrouwelijk moeten blijven vanwege beroepsgeheim of statutaire geheimhoudingsplicht.

Onder de Algemene verordening gegevensbescherming (AVG) geldt de informatieplicht. Welke informatie u ouders en leerlingen moet geven, hangt ervan af of u de persoonsgegevens direct bij de leerlingen en ouders verzamelt of indirect, via andere kanalen.

Informatieplicht bij direct verzamelde informatie

Verwerkt u persoonsgegevens die u rechtstreeks via de ouders en leerlingen verzamelt? Dan moet u hen gelijktijdig informeren over het volgende: 

• de identiteit en de contactgegevens van uw organisatie, of de vertegenwoordiger van uw organisatie;
• indien van toepassing: de contactgegevens van de functionaris voor de gegevensbescherming;
• voor welk doel u de persoonsgegevens verwerkt;
• de wettelijke grondslag waarop u de verwerking baseert;
• als u de verwerking baseert op de grondslag 'gerechtvaardigd belang': om welk(e) belang(en) het dan gaat;
• indien van toepassing: aan wie u de persoonsgegevens (mogelijk) verstrekt;
• indien van toepassing: of u van plan bent om de persoonsgegevens te verstrekken aan een derde land of internationale organisatie, en zo ja, om welk land of welke internationale organisatie het dan zou gaan;
• hoe lang u de persoonsgegevens zult bewaren;
• wat de rechten van ouders en leerlingen zijn;
• indien van toepassing: of u de persoonsgegevens gebruikt bij het opstellen van profielen van leerlingen en wat hiervan de gevolgen zijn.

Let op: geef bij het verzamelen van de persoonsgegevens duidelijk aan welke informatie ouders en leerlingen verplicht aan u moet geven. En ook wat de gevolgen zijn als zij dat niet doen. 

Informatieplicht bij indirect verzamelde informatie

Verzamelt u persoonsgegevens van ouders en leerlingen via andere kanalen? Bijvoorbeeld via andere personen of openbare informatie op internet? Dan moet u ouders en leerlingen de volgende informatie over uw gegevensverwerkingen geven:

• de identiteit en de contactgegevens van uw organisatie, of de vertegenwoordiger van uw organisatie;
• indien van toepassing: de contactgegevens van de functionaris voor de gegevensbescherming;
• welke (categorieën van) persoonsgegevens u heeft verkregen;
• van wie/wat u de persoonsgegevens heeft verkregen;
• voor welk doel u de persoonsgegevens verwerkt;
• de wettelijke grondslag waarop u de verwerking baseert;
• als u de verwerking baseert op de grondslag 'gerechtvaardigd belang': om welk(e) belang(en) het dan gaat;
• indien van toepassing: aan wie u de persoonsgegevens (mogelijk) verstrekt;
• indien van toepassing: of u van plan bent de persoonsgegevens te verstrekken aan een derde land of internationale organisatie en zo ja, om welk land of internationale organisatie het dan zou gaan;
• hoe lang u de persoonsgegevens zult bewaren;
• wat de rechten van ouders en leerlingen zijn;
• indien van toepassing: of de persoonsgegevens gebruikt worden bij het opstellen van profielen van leerlingen en wat hier de gevolgen van zijn.

Informeert u ouders en/of leerlingen over de verwerking van persoonsgegevens binnen uw school? Dan moet u volgens de Algemene verordening gegevensbescherming (AVG) aan een aantal eisen voldoen.

Duidelijke taal

De informatie moet beknopt, eenvoudig, toegankelijk en begrijpelijk zijn. Het moet voor ouders of leerlingen duidelijk zijn wat u bedoelt als het over de verwerking van persoonsgegevens gaat. 

U moet het taalgebruik dus aanpassen aan de doelgroep. Dit laatste geldt in het bijzonder wanneer u leerlingen informeert.

Schriftelijk

U moet de informatie schriftelijk geven. Hieronder valt volgens de AVG ook de elektronische vorm. Dat betekent dat u de informatie bijvoorbeeld via uw website of per e-mail mag geven.

Meer informatie

• Is een privacyverklaring verplicht?
• Hoe stelt u een privacyverklaring op?

Ja, maar er gelden wel regels. U heeft onder de Algemene verordening gegevensbescherming (AVG) toestemming nodig voor het publiceren van beeldmateriaal van leerlingen. Daarnaast moet u het beeldmateriaal goed beveiligen.

Zie verder:

• Mag ik als school foto's en filmpjes van leerlingen maken en publiceren?
• Hoe vraag ik als school toestemming voor het publiceren van foto's en filmpjes van leerlingen?

Als school kunt u speciale software gebruiken om (mogelijk) pestgedrag van leerlingen te monitoren en signaleren. Gebruikt u als school zo’n anti-pestprogramma, dan verwerkt u - of een andere partij die de verwerker is - persoonsgegevens van uw leerlingen. Dat betekent dat u, of deze andere partij, zich aan de Algemene verordening gegevensbescherming (AVG) moet houden.

Wat van belang is, is of u als school de verwerkingsverantwoordelijke bent voor de verwerking van de leerlinggegevens. Is dat zo, dan stelt de AVG een aantal eisen waaraan u moet voldoen. Is dat niet het geval, dan gelden deze eisen niet voor u maar voor de partij die de verwerkingsverantwoordelijke is.

Met een anti-pestprogramma verwerkt u als school mogelijk bijzondere categorieën van persoonsgegevens van uw leerlingen (artikel 9 van de AVG).

Denk hierbij aan gegevens over iemands ras, godsdienst, seksuele voorkeur, lichamelijke of geestelijke gezondheid van leerlingen of over hoe een kind sociaal functioneert.

Het verwerken van bijzondere categorieën van persoonsgegevens is verboden, tenzij u een beroep kunt doen op een uitzondering.

Ja, voor het verwerken van de persoonsgegevens van uw leerlingen met een anti-pestprogramma heeft u een wettelijke grondslag nodig. Zonder zo'n grondslag is de gegevensverwerking verboden.

U mag de gegevens van uw leerlingen niet langer bewaren dan noodzakelijk is voor het doel van de gegevensverwerking (zie artikel 5 van de AVG).

Bedenk voordat u met het anti-pestprogramma begint hoe lang u de gegevens nodig heeft. En hoe lang u ze dus mag bewaren.

U bent verplicht om passende technische en organisatorische maatregelen te nemen om de persoonsgegevens van uw leerlingen te beveiligen (artikel 5lid 1 f, 24 en 25 van de AVG).

Niet iedereen mag zomaar toegang krijgen tot de gegevens van uw leerlingen. Toegang moet gebaseerd zijn op ‘need to know.’ 

Maak afspraken wie er toegang tot de gegevens mogen hebben. En over hoe u controleert of monitort dat alleen bevoegden toegang tot de gegevens hebben.

Als school krijgt u door een anti-pestprogramma te gaan gebruiken een juridische rol. 

Bent u als school de verwerkingsverantwoordelijke en is de organisatie die u het anti-pestprogramma levert (de leverancier) uw verwerker?

Dan zijn u en de verwerker verplicht om een aantal onderwerpen vast te leggen in een schriftelijke verwerkersovereenkomst (artikel 5 lid 1 f, artikel 24 en 25 van de AVG).