In het onderwijs worden we steeds afhankelijker van digitale systemen en persoonsgegevens. Daarmee neemt ook het risico op beveiligingsincidenten en datalekken toe. Een incident en een datalek zijn echter niet hetzelfde. Een incident is een beveiligingsgebeurtenis die de normale bedrijfsvoering verstoort, terwijl een datalek specifiek gaat over het onbedoeld vrijkomen van persoonsgegevens. Voor scholen is het cruciaal dit onderscheid te kennen, omdat datalekken onder de AVG meldingsplichtig kunnen zijn en ernstige gevolgen kunnen hebben.
Een beveiligingsincident is elke gebeurtenis die de normale werking van informatiesystemen verstoort of bedreigt, terwijl een datalek specifiek gaat over het ongeautoriseerd vrijkomen van persoonsgegevens. Dit is het fundamentele verschil: niet elk incident is een datalek, maar elk datalek begint als een incident.
Bij een beveiligingsincident kan het gaan om uiteenlopende situaties zoals:
Een datalek daarentegen betreft altijd het onbedoeld vrijkomen van persoonsgegevens, bijvoorbeeld:
Voor scholen is dit onderscheid belangrijk omdat datalekken vaak meldingsplichtig zijn onder de AVG, terwijl incidenten dat niet altijd zijn. Bovendien kunnen datalekken leiden tot reputatieschade en verlies van vertrouwen bij ouders en personeel.
Een beveiligingsincident wordt een datalek zodra er persoonsgegevens betrokken zijn die onbedoeld zijn vrijgekomen of toegankelijk zijn geworden voor onbevoegden. De cruciale vraag is dus: zijn er persoonsgegevens in het spel en zijn deze in verkeerde handen gevallen of hadden ze daarin kunnen vallen?
Drie criteria bepalen of een incident als datalek moet worden beschouwd:
In de schoolomgeving zien we regelmatig grensgevallen. Bijvoorbeeld: een leerkracht raakt een USB-stick kwijt. Is dit een datalek? Dat hangt af van wat er op de stick stond. Bevatte deze alleen lesmaterialen zonder persoonsgegevens? Dan is het een incident. Stonden er leerlingresultaten of zorgplannen op? Dan is het een datalek.
Een ander voorbeeld: het digitale schoolsysteem is tijdelijk onbereikbaar door een technische storing. Dit is meestal alleen een incident. Het wordt een datalek als tijdens die storing onbevoegden toegang konden krijgen tot persoonsgegevens of als gegevens verloren zijn gegaan.
Bij een datalek hebben scholen specifieke wettelijke verplichtingen onder de Algemene Verordening Gegevensbescherming (AVG). De belangrijkste verplichting is de meldplicht datalekken, die bepaalt dat ernstige datalekken binnen 72 uur gemeld moeten worden bij de Autoriteit Persoonsgegevens (AP).
De meldplicht geldt wanneer het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen. Voor scholen betekent dit concreet:
Voor onderwijsinstellingen is het belangrijk te weten dat datalekken met bijzondere persoonsgegevens – zoals gezondheidsgegevens van leerlingen of informatie over leerachterstanden – vrijwel altijd meldingsplichtig zijn. Dit geldt ook voor grote hoeveelheden ‘gewone’ persoonsgegevens, zoals een compleet leerlingenbestand.
De Autoriteit Persoonsgegevens kijkt bij scholen extra kritisch, omdat het vaak om gegevens van minderjarigen gaat. Een niet (tijdig) gemeld datalek kan leiden tot boetes, die kunnen oplopen tot miljoenen euro’s.
In de schoolomgeving komen specifieke vormen van datalekken voor die je moet leren herkennen. Alertheid hierop kan veel problemen voorkomen. Typische voorbeelden van datalekken in het onderwijs zijn:
Signalen die kunnen wijzen op een datalek zijn:
Leerkrachten en ondersteunend personeel moeten weten dat zelfs kleine incidenten, zoals het per ongeluk delen van een foto van een leerling zonder toestemming, een datalek kunnen vormen. Door deze bewustwording kunnen potentiële datalekken sneller worden herkend en aangepakt.
Bij een incident of datalek is snelle en adequate actie essentieel. Als schoolleider of teamleider is het belangrijk om een duidelijk stappenplan te hebben dat direct gevolgd kan worden. Dit stappenplan ziet er als volgt uit:
Voor schoolleiders is het cruciaal om een incidentresponseplan te hebben dat voor alle medewerkers bekend en toegankelijk is. Zorg dat iedereen weet bij wie ze een incident kunnen melden en wat de eerste stappen zijn. Snelheid is essentieel, vooral bij de 72-uurs meldplicht voor datalekken.
Documentatie is ook bij kleinere incidenten belangrijk. Het bijhouden van een incidentenregister helpt bij het identificeren van terugkerende problemen en het verbeteren van de beveiliging.
Preventie is altijd beter dan herstel. Voor scholen zijn er verschillende effectieve maatregelen om incidenten en datalekken te voorkomen. Deze vallen uiteen in technische, organisatorische en mensgerichte maatregelen.
Technische maatregelen:
Organisatorische maatregelen:
Mensgerichte maatregelen:
Voor een effectieve beveiliging is het belangrijk om alle drie de aspecten te combineren. Techniek alleen is niet voldoende; medewerkers moeten weten hoe ze veilig moeten werken en wat ze moeten doen als er iets misgaat.
Wij bieden scholen complete security oplossingen die technische beveiliging combineren met advies en training. Onze experts helpen bij het inrichten van veilige systemen, het opstellen van beleid en het trainen van medewerkers. Zo werken we samen aan een veilige digitale leeromgeving waar persoonsgegevens optimaal beschermd zijn.
Heeft u vragen over de beveiliging van uw schoolgegevens of wilt u weten hoe u beter voorbereid kunt zijn op mogelijke incidenten? Neem dan gerust contact met ons op voor advies op maat.