Een datalek binnen een onderwijsinstelling kan ernstige gevolgen hebben voor de privacy van leerlingen, ouders en medewerkers. Als schoolleider bent u verantwoordelijk voor het correct afhandelen van zo’n incident. Een datalek moet in veel gevallen binnen 72 uur gemeld worden bij de Autoriteit Persoonsgegevens en soms ook bij de gemeente als verwerkingsverantwoordelijke. Deze gids helpt u bij het herkennen, melden en voorkomen van datalekken in uw onderwijsomgeving.
Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren zijn gegaan of onrechtmatig zijn verwerkt. In de onderwijscontext gaat het vaak om leerlinggegevens, personeelsinformatie of communicatie met ouders die in verkeerde handen valt of onbedoeld toegankelijk wordt.
U moet een datalek melden bij de gemeente in twee situaties:
In andere gevallen meldt u het datalek rechtstreeks bij de Autoriteit Persoonsgegevens (AP). Dit is verplicht wanneer het datalek een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Denk aan situaties waarbij gevoelige informatie over leerlingen of personeel is gelekt, zoals gezondheidsgegevens, leerresultaten of financiële informatie.
De AVG-wetgeving is hierin leidend: niet elk beveiligingsincident is een meldingsplichtig datalek. Het gaat om situaties waarbij persoonsgegevens zijn blootgesteld aan verlies of onrechtmatige verwerking.
Datalekken in het onderwijs komen in verschillende vormen voor. De meest voorkomende signalen die wijzen op een mogelijk datalek zijn:
Voorbeelden van meldingsplichtige datalekken in onderwijsomgevingen zijn:
Wees extra alert bij incidenten waarbij bijzondere persoonsgegevens betrokken zijn, zoals informatie over gezondheid, religie, of sociaal-emotionele ontwikkeling van leerlingen.
Een datalek moet binnen 72 uur na ontdekking gemeld worden bij de gemeente, wanneer zij de verwerkingsverantwoordelijke is. Deze 72-uurs termijn is wettelijk vastgelegd in de AVG en geldt ook voor meldingen bij de Autoriteit Persoonsgegevens.
De klok begint te tikken vanaf het moment dat iemand binnen uw organisatie redelijkerwijs kan vaststellen dat er sprake is van een beveiligingsincident waarbij persoonsgegevens betrokken zijn. Dit hoeft niet per se het moment te zijn waarop het incident plaatsvond. Vaak wordt een datalek pas later ontdekt.
De 72-uurs termijn geldt voor alle dagen, dus ook in weekenden en op feestdagen. Dit betekent dat u als schoolleider een procedure moet hebben om ook buiten kantooruren snel te kunnen handelen bij een datalek.
Het niet tijdig melden van een datalek kan leiden tot:
Als u niet zeker weet of een incident gemeld moet worden, is het verstandig om voor de zekerheid wel te melden. Een te late melding brengt meer risico’s met zich mee dan een onnodige melding.
Voordat u een datalek meldt bij de gemeente, moet u de volgende essentiële informatie verzamelen:
Houd er rekening mee dat u niet alle informatie volledig hoeft te hebben voordat u meldt. Het is belangrijker om binnen de 72-uurs termijn te melden met de informatie die op dat moment beschikbaar is. U kunt de melding later altijd aanvullen.
Documenteer ook alle stappen die u neemt in het kader van het datalek. Dit helpt niet alleen bij de afhandeling, maar kan ook dienen als bewijs dat u zorgvuldig heeft gehandeld conform de AVG-vereisten.
Het melden van een datalek bij de gemeente verloopt volgens deze stappen:
Parallel aan de melding bij de gemeente moet u vaak ook een melding doen bij de Autoriteit Persoonsgegevens. Dit kan via het online meldformulier op de website van de AP.
Vergeet niet dat u in bepaalde gevallen ook de betrokkenen (leerlingen, ouders, medewerkers) moet informeren over het datalek, vooral als er een hoog risico is voor hun rechten en vrijheden.
Na het melden van een datalek bij de gemeente komt het volgende proces op gang:
De gemeente zal uw melding beoordelen en bepalen of er aanvullende informatie nodig is. U kunt vragen verwachten over de precieze toedracht, de omvang van het lek en de genomen maatregelen. Wees voorbereid om snel te reageren op deze vragen.
Afhankelijk van de ernst van het datalek kan de gemeente:
In ernstige gevallen kan de gemeente besluiten om de samenwerking of gegevensuitwisseling tijdelijk op te schorten totdat adequate beveiligingsmaatregelen zijn getroffen.
De Autoriteit Persoonsgegevens kan naar aanleiding van een datalek ook een onderzoek starten. Dit gebeurt vooral bij ernstige datalekken of als er aanwijzingen zijn dat de AVG structureel niet wordt nageleefd. Dit kan leiden tot:
Documenteer alle communicatie met de gemeente en de Autoriteit Persoonsgegevens zorgvuldig, zodat u kunt aantonen dat u adequaat heeft gehandeld.
Preventie is altijd beter dan herstel als het gaat om datalekken in het onderwijs. Implementeer deze maatregelen om het risico op datalekken aanzienlijk te verkleinen:
Technische maatregelen:
Organisatorische maatregelen:
Voor scholen is het essentieel om een robuuste security-infrastructuur te hebben. Professionele security voor scholen omvat niet alleen technische oplossingen, maar ook advies op maat voor uw specifieke onderwijsomgeving.
Een proactieve aanpak van informatiebeveiliging beschermt niet alleen persoonsgegevens, maar draagt ook bij aan het vertrouwen dat ouders, leerlingen en medewerkers in uw school stellen. Bovendien voorkomt het kostbare hersteloperaties en reputatieschade na een datalek.
Heeft u vragen over het beveiligen van uw schoolomgeving of wilt u advies over het voorkomen van datalekken? Neem dan gerust contact met ons op voor een vrijblijvend gesprek over hoe wij u kunnen ondersteunen bij het veilig houden van uw onderwijsgegevens.