De Algemene Verordening Gegevensbescherming (AVG) is een uitgebreide privacywetgeving die bepaalt hoe organisaties met persoonsgegevens moeten omgaan. Niet alle gegevens vallen echter onder deze wetgeving. Gegevens die buiten de AVG vallen zijn onder andere volledig geanonimiseerde informatie, bedrijfsgegevens zonder persoonlijke component, gegevens van overleden personen en bepaalde verwerkingen door natuurlijke personen voor persoonlijke doeleinden. Voor scholen is het cruciaal om te begrijpen welke gegevens wel en niet onder de AVG vallen om compliance te waarborgen.
De AVG (Algemene Verordening Gegevensbescherming) is een Europese wetgeving die sinds 25 mei 2018 van kracht is en regelt hoe organisaties moeten omgaan met persoonsgegevens. Deze verordening beschermt de privacy van individuen door strikte regels op te leggen aan de verwerking van hun gegevens.
Onder de AVG vallen alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Dit zijn persoonsgegevens in de breedste zin van het woord. In de onderwijscontext omvat dit:
Belangrijk is dat de AVG alleen van toepassing is op natuurlijke personen die in leven zijn. De wetgeving beschermt gegevens van levende mensen, niet van rechtspersonen zoals bedrijven of organisaties, tenzij deze direct te herleiden zijn naar natuurlijke personen.
Niet alle gegevens die op een school worden verwerkt vallen onder de AVG. De volgende categorieën gegevens vallen buiten het bereik van deze wetgeving:
Gegevens die op geen enkele wijze meer te herleiden zijn tot een identificeerbare persoon vallen niet onder de AVG. Dit zijn volledig geanonimiseerde gegevens. Voorbeelden in de schoolomgeving zijn:
Let op: er is een belangrijk verschil tussen geanonimiseerde en gepseudonimiseerde gegevens. Bij pseudonimisering worden identificerende elementen vervangen door pseudoniemen, maar blijft het theoretisch mogelijk om de gegevens te herleiden. Deze vallen nog steeds onder de AVG.
Gegevens die uitsluitend betrekking hebben op rechtspersonen zoals bedrijven, stichtingen of verenigingen vallen niet onder de AVG. In de onderwijscontext gaat het om:
Zodra bedrijfsgegevens echter direct te herleiden zijn naar natuurlijke personen (zoals bij eenmanszaken), vallen ze alsnog onder de AVG.
De AVG beschermt alleen de persoonsgegevens van levende natuurlijke personen. Gegevens van overleden personen vallen in principe niet onder de AVG. Dit betekent dat:
Hierbij moet worden opgemerkt dat sommige gegevens van overledenen indirect informatie kunnen bevatten over levende personen (zoals genetische informatie), waardoor ze alsnog beschermd kunnen zijn.
Gegevensverwerking door natuurlijke personen in het kader van zuiver persoonlijke of huishoudelijke activiteiten valt niet onder de AVG. In de schoolcontext:
Om te bepalen of gegevens onder de AVG vallen, kun je als schoolleider of teamleider de volgende praktische criteria en stappenplan gebruiken:
Stel jezelf de volgende vragen om te bepalen of gegevens onder de AVG vallen:
Als alle bovenstaande vragen met ‘nee’ worden beantwoord, vallen de gegevens niet onder de AVG.
Om het concreter te maken, hier enkele praktijkvoorbeelden:
Bij twijfel is het altijd verstandig om de gegevens te behandelen alsof ze onder de AVG vallen. Dit voorkomt mogelijke privacyschendingen.
Wanneer gegevens niet onder de AVG vallen, heeft dit verschillende juridische en praktische implicaties voor scholen:
Als gegevens buiten de AVG vallen, betekent dit dat:
Dit betekent echter niet dat er helemaal geen regels gelden. Andere wetgeving kan alsnog van toepassing zijn.
Ook als gegevens niet onder de AVG vallen, kunnen andere wetten en regels van toepassing zijn:
Voor scholen is het belangrijk om te beseffen dat zorgvuldig omgaan met informatie altijd belangrijk blijft, ook als de AVG niet van toepassing is.
Ook al vallen bepaalde gegevens niet onder de AVG, toch is het voor scholen verstandig om zorgvuldig met alle informatie om te gaan. Hier volgen best practices voor het beheren en beveiligen van gegevens die niet onder de AVG vallen:
Pas deze maatregelen toe op alle gegevens binnen je school:
Door security voor scholen serieus te nemen, bescherm je niet alleen persoonsgegevens maar alle waardevolle informatie binnen je organisatie.
Voor gegevens die niet onder de AVG vallen, kun je deze specifieke aanpak hanteren:
Hoewel de wettelijke vereisten minder streng zijn, blijft het professioneel om alle informatie binnen je school zorgvuldig te behandelen.
Tot slot enkele praktische tips specifiek voor de onderwijsomgeving:
Het veilig omgaan met alle gegevens binnen je school draagt bij aan een professionele organisatie die het vertrouwen van ouders, leerlingen en medewerkers verdient. Heb je vragen over hoe je de veiligheid van gegevens binnen jouw school kunt verbeteren? Neem dan contact met ons op voor persoonlijk advies.