Een datalek in het onderwijs betreft elke situatie waarbij persoonsgegevens van leerlingen, ouders of medewerkers onbedoeld toegankelijk worden voor onbevoegden. Dit kan variëren van een kwijtgeraakte USB-stick met leerlinggegevens tot een gehackte schooladministratie. Voor scholen is het cruciaal om te weten welke gegevens hieronder vallen, wanneer meldplicht geldt en hoe datalekken te voorkomen zijn in de dagelijkse onderwijspraktijk.
Een datalek wordt in de Algemene Verordening Gegevensbescherming (AVG) omschreven als een beveiligingsincident waarbij persoonsgegevens verloren raken of onrechtmatig worden verwerkt. Concreet betekent dit dat er sprake is van een datalek wanneer persoonsgegevens in handen komen van derden die geen toegang tot die gegevens zouden mogen hebben.
In de onderwijscontext kan dit verschillende vormen aannemen. Het gaat hierbij niet alleen om digitale gegevens, maar ook om fysieke documenten zoals papieren dossiers. De AVG maakt geen onderscheid in de vorm waarin de gegevens zijn opgeslagen, maar kijkt naar de aard van de gegevens en de mogelijke impact op de privacy van betrokkenen.
Belangrijk om te weten is dat niet elk beveiligingsincident automatisch een datalek is. Als een schoolcomputer crasht maar er geen gegevens verloren gaan of toegankelijk worden voor onbevoegden, is er geen sprake van een datalek. Er moet altijd sprake zijn van potentiële inbreuk op de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens.
Bij een datalek in het onderwijs kunnen verschillende soorten persoonsgegevens betrokken zijn. De AVG maakt onderscheid tussen gewone en bijzondere persoonsgegevens, waarbij voor bijzondere gegevens strengere regels gelden.
Gewone persoonsgegevens die onder een datalek kunnen vallen zijn:
Bijzondere persoonsgegevens in de onderwijscontext zijn:
Ook het Burgerservicenummer (BSN) van leerlingen en medewerkers valt onder de categorie gevoelige gegevens. Scholen verwerken deze gegevens dagelijks, wat betekent dat zorgvuldigheid geboden is bij de opslag en verwerking ervan.
Een school moet een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP) als het waarschijnlijk is dat het lek een risico vormt voor de rechten en vrijheden van de betrokkenen. Dit is echter niet bij elk datalek het geval.
De meldplicht geldt specifiek wanneer:
Daarnaast geldt er een informatieplicht naar de betrokkenen (leerlingen, ouders, medewerkers) als het datalek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden. Dit betekent dat scholen in sommige gevallen niet alleen de AP moeten informeren, maar ook de personen wier gegevens zijn gelekt.
Het is cruciaal dat scholen een intern protocol hebben voor het beoordelen en melden van datalekken. De 72-uurs termijn begint te lopen zodra iemand binnen de organisatie kennis heeft genomen van het datalek, niet pas wanneer de directie of de functionaris gegevensbescherming hiervan op de hoogte is.
Een beveiligingsincident is een breder begrip dan een datalek. Elk datalek is een beveiligingsincident, maar niet elk beveiligingsincident is een datalek. Het cruciale verschil zit in de betrokkenheid van persoonsgegevens.
Een beveiligingsincident in de schoolomgeving kan bijvoorbeeld zijn:
Deze incidenten worden pas een datalek wanneer hierbij persoonsgegevens betrokken raken. Bijvoorbeeld wanneer:
Voor scholen is het belangrijk om beide soorten incidenten goed te documenteren. Beveiligingsincidenten die geen datalek zijn, hoeven niet gemeld te worden bij de AP, maar moeten wel intern geregistreerd worden om de beveiliging te kunnen verbeteren.
In de dagelijkse onderwijspraktijk kunnen datalekken in verschillende vormen voorkomen. Het herkennen ervan is de eerste stap naar adequate afhandeling. Veelvoorkomende datalekken in het onderwijs zijn:
Fysieke datalekken:
Digitale datalekken:
Ook onbedoelde publicatie van gegevens kan een datalek vormen. Denk aan een schoolwebsite waarop per ongeluk adresgegevens van leerlingen zichtbaar zijn, of een gedeelde online map waarin onbedoeld vertrouwelijke informatie staat.
Het is belangrijk dat alle medewerkers binnen een onderwijsinstelling weten hoe ze een mogelijk datalek kunnen herkennen en bij wie ze dit moeten melden.
Een datalek kan verschillende consequenties hebben voor een onderwijsinstelling. De impact hangt af van de ernst van het lek, de soort gegevens die betrokken zijn en hoe de school met het incident omgaat.
Mogelijke gevolgen zijn:
Juridische consequenties:
Praktische gevolgen:
Reputatieschade:
De mate waarin deze gevolgen optreden, hangt sterk af van de transparantie en adequaatheid waarmee de school het datalek afhandelt. Open communicatie en het nemen van passende maatregelen kunnen de impact aanzienlijk beperken.
Preventie is cruciaal bij het omgaan met datalekken in het onderwijs. Scholen kunnen verschillende maatregelen nemen om het risico op datalekken te minimaliseren:
Technische maatregelen:
Organisatorische maatregelen:
Praktische tips voor de dagelijkse praktijk:
Het creëren van een cultuur waarin privacy en gegevensbescherming serieus worden genomen, is misschien wel de belangrijkste preventieve maatregel. Als iedereen binnen de school zich bewust is van de risico’s en weet hoe hiermee om te gaan, verkleint dit de kans op datalekken aanzienlijk.
Heeft u vragen over hoe u de beveiliging van persoonsgegevens binnen uw onderwijsinstelling kunt verbeteren of wilt u advies over het voorkomen van datalekken? Neem dan gerust contact met ons op. Wij helpen u graag verder met passende oplossingen voor uw specifieke situatie.