De Algemene Verordening Gegevensbescherming (AVG) omvat alle informatie die direct of indirect herleidbaar is tot een natuurlijk persoon. In onderwijsinstellingen gaat het hierbij om leerlinggegevens, personeelsinformatie, contactgegevens van ouders, medische gegevens, beoordelingen en resultaten. Scholen moeten deze gegevens beveiligen, verwerkingen documenteren en datalekken voorkomen om aan de privacywetgeving te voldoen.
De Algemene Verordening Gegevensbescherming (AVG) is een Europese privacywet die sinds 25 mei 2018 van kracht is en de privacy van EU-burgers beschermt. Deze verordening regelt hoe organisaties moeten omgaan met persoonsgegevens en geeft individuen meer controle over hun eigen gegevens.
Voor onderwijsinstellingen is de AVG bijzonder relevant omdat zij dagelijks grote hoeveelheden persoonsgegevens verwerken. Scholen verzamelen en beheren informatie over:
De impact van een datalek in het onderwijs kan verstrekkende gevolgen hebben. Wanneer gevoelige informatie over leerlingen onbedoeld openbaar wordt, kan dit leiden tot stigmatisering, identiteitsdiefstal of andere vormen van misbruik. Daarnaast kan het de vertrouwensrelatie tussen school, leerlingen en ouders ernstig schaden.
Naleving van de AVG is niet alleen een wettelijke verplichting, maar ook een ethische verantwoordelijkheid. Onderwijsinstellingen werken immers met minderjarigen, wat een extra zorgplicht met zich meebrengt om hun gegevens zorgvuldig te beschermen.
Onder de AVG vallen alle gegevens die direct of indirect herleidbaar zijn tot een geïdentificeerde of identificeerbare natuurlijke persoon. In de onderwijscontext kunnen we deze gegevens onderverdelen in gewone persoonsgegevens en bijzondere categorieën van persoonsgegevens.
Gewone persoonsgegevens in het onderwijs omvatten:
Bijzondere categorieën persoonsgegevens (gevoelige gegevens) in het onderwijs zijn:
Ook indirecte identificatie valt onder de AVG. Bijvoorbeeld wanneer leerlinggegevens zijn gepseudonimiseerd maar door combinatie met andere gegevens alsnog herleidbaar zijn tot specifieke leerlingen. Een datalek in het onderwijs kan dus ook ontstaan wanneer schijnbaar anonieme gegevens worden gedeeld.
De bescherming van leerlinggegevens onder de AVG is gebaseerd op verschillende principes en vereisten. Allereerst moet elke verwerking van leerlinggegevens een geldige wettelijke grondslag hebben. Voor onderwijsinstellingen zijn de meest relevante grondslagen:
Scholen moeten leerlinggegevens verwerken volgens de principes van:
Voor bewaartermijnen geldt dat de meeste leerlinggegevens twee jaar na het verlaten van de school bewaard mogen worden. Voor sommige gegevens gelden afwijkende termijnen: administratieve gegevens (5 jaar), gegevens over verzuim en in- en uitschrijving (5 jaar), en gegevens uit het leerlingdossier voor een eventuele latere zorgvraag (3-5 jaar).
Leerlingen en ouders hebben onder de AVG specifieke rechten met betrekking tot persoonsgegevens:
Bij een datalek in het onderwijs moet de school dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens als het risico’s voor betrokkenen met zich meebrengt.
Scholen hebben als verwerkingsverantwoordelijken diverse verplichtingen onder de AVG. Deze verplichtingen zijn erop gericht om zorgvuldige omgang met persoonsgegevens te waarborgen en transparantie te bieden over gegevensverwerkingen.
Een van de belangrijkste verplichtingen is het bijhouden van een verwerkingsregister. Hierin documenteert de school alle verwerkingsactiviteiten, inclusief:
Voor verwerkingen met een hoog privacyrisico moet een school een Data Protection Impact Assessment (DPIA) uitvoeren. Dit is bijvoorbeeld nodig bij:
Scholen moeten daarnaast een Functionaris voor Gegevensbescherming (FG) aanstellen. Deze functionaris:
Met leveranciers die persoonsgegevens verwerken (zoals aanbieders van digitale leermiddelen) moeten scholen verwerkersovereenkomsten afsluiten. Hierin worden afspraken vastgelegd over de beveiliging van gegevens, geheimhouding en verantwoordelijkheden bij datalekken.
Tot slot moeten scholen transparant communiceren over hun gegevensverwerkingen via een privacyverklaring die voor leerlingen, ouders en medewerkers toegankelijk is.
Toestemming is een van de zes mogelijke grondslagen voor gegevensverwerking onder de AVG, maar is niet altijd de meest geschikte grondslag voor scholen. Toestemming is alleen nodig wanneer de verwerking niet kan worden gebaseerd op een andere grondslag zoals wettelijke verplichting, overeenkomst of gerechtvaardigd belang.
Scholen moeten expliciete toestemming vragen voor:
Geldige toestemming onder de AVG moet aan verschillende voorwaarden voldoen:
Voor leerlingen jonger dan 16 jaar moet de toestemming worden gegeven door de ouders of wettelijke vertegenwoordigers. Scholen moeten kunnen aantonen dat ze geldige toestemming hebben verkregen (verantwoordingsplicht).
Het is belangrijk dat scholen kritisch beoordelen of toestemming de juiste grondslag is. Als de verwerking noodzakelijk is voor de onderwijstaak, is toestemming vaak niet de juiste basis, omdat er dan geen sprake kan zijn van vrijelijke toestemming vanwege de afhankelijkheidsrelatie tussen school en leerling/ouders.
Om AVG-compliant te zijn, moeten scholen een combinatie van organisatorische en technische maatregelen implementeren. Deze maatregelen helpen om datalekken in het onderwijs te voorkomen en de privacy van leerlingen en personeel te waarborgen.
Organisatorische maatregelen die scholen kunnen nemen:
Technische beveiligingsmaatregelen omvatten:
Het is belangrijk dat scholen een security voor scholen aanpak ontwikkelen die past bij de specifieke situatie en risico’s van de instelling. Een risicoanalyse kan helpen om te bepalen welke beveiligingsmaatregelen prioriteit moeten krijgen.
Scholen moeten ook procedures ontwikkelen voor het omgaan met verzoeken van betrokkenen (inzage, correctie, verwijdering) en voor het afhandelen van datalekken. Een goed incidentmanagementproces zorgt ervoor dat datalekken snel worden opgespoord, beperkt en gemeld.
Tot slot is het essentieel om een privacycultuur te creëren waarin alle medewerkers zich bewust zijn van het belang van gegevensbescherming. Regelmatige bewustwordingssessies en praktische handleidingen kunnen hierbij helpen.
Heeft u vragen over hoe uw school AVG-compliant kan worden of wilt u advies over het voorkomen van datalekken in het onderwijs? Neem dan gerust contact met ons op. Wij helpen u graag verder met praktische oplossingen die passen bij uw onderwijsinstelling.