blad nr 5
1-5-2018
auteur D. van 't Erve
Redactioneel

School moet gegevens leerling beter beschermen

Nieuwe Europese regels geven ouders en leerlingen vanaf 25 mei meer controle over hun persoonsgegevens. Het Onderwijsblad beantwoordt zeven vragen over de gevolgen voor leraren.

Waarom een nieuwe wet?
Die is helemaal niet zo nieuw. In 2016 al stemde het Europees Parlement in met de Algemene Verordening Gegevensbescherming (AVG), regelgeving die de persoonsgegevens van alle burgers in de Europese Unie op een uniforme en betere manier moet beschermen. Organisaties, zoals scholen, kregen twee jaar de tijd om aan deze wet te voldoen. Vanaf 25 mei vervangt de AVG alle nationale privacywetgeving, zoals ‘onze’ wet Bescherming persoonsgegevens. Scholen die zich dan niet aan de regels houden, riskeren een forse boete.

Om welke gegevens gaat het?
Op de eerste plaats de NAW-gegevens: namen, adressen, telefoonnummers en e-mailadressen. Nieuw is dat ook de e-mailadressen van je werk onder persoonsgegevens vallen. Al deze gegevens mogen dus niet zomaar zonder toestemming in een schoolgids of in een klassenlijst verspreid worden. Daarnaast gaat het om gegevens als BSN-nummer, geloofsovertuiging of medische gegevens. Voor dit soort gevoelige informatie gelden nog strengere regels.

Wat verandert er?
Een school is verplicht te onderbouwen waarom ze gegevens van leerlingen wil verzamelen en hoe lang ze die wil bewaren. Daarbij mag je niet meer gegevens vragen dan strikt noodzakelijk en na beëindiging van het gebruik heeft iedereen het recht ‘te worden vergeten’. Dat betekent dat een school de gegevens ook weer moet verwijderen. De school moet daarnaast zorgen voor een goede beveiliging van de leerlingadministratie- en leerlingvolgsystemen en moet laten vastleggen wie welke bestanden heeft gelezen of aangepast.
Het uitdrukkelijker vragen van toestemming is een ander punt, bijvoorbeeld bij het gebruik van foto’s. Voor leerlingen die jonger zijn dan 16 jaar is een handtekening nodig van de ouders. Het moet duidelijk zijn waarmee ze instemmen (specifiek doel), de toestemming moet elk jaar opnieuw gevraagd worden en net zo eenvoudig weer ingetrokken kunnen worden. Het is dus niet: eens gegeven, blijft gegeven.

Wat betekent dit voor je werk?
Elke school moet duidelijke afspraken maken wie wanneer en met welk doel toegang heeft tot leerlinggegevens. Je mag alleen toegang krijgen tot gegevens die voor jou relevant zijn, tenzij anders is afgesproken. Als leraar mag je dan alleen bij de gegevens van jouw klas en een intern begeleider mag alleen bij de dossiers van leerlingen die extra zorg of begeleiding nodig hebben. Een invaller krijgt slechts tijdelijk toegang tot relevante informatie: voor de duur van zijn contract.

Hoe zit het met social media en app-groepen?
De privacy van bijvoorbeeld WhatsApp is niet gegarandeerd: want gegevens zoals telefoonnummers zijn voor iedere deelnemer zichtbaar. Leraren moeten leerlingen of hun ouders toestemming vragen voor het delen van gegevens via WhatsApp. Daarnaast moeten er met aanbieders van apps en sociale media afspraken worden gemaakt over wat zij met gegevens doen. Dat lijkt niet eenvoudig, maar een app als Parro is in elk geval veiliger.

Wie controleert wat?
De school is verantwoordelijk voor het waarborgen van de privacy van leerlingen en moet risicoanalyses uitvoeren. Het zogeheten privacyconvenant helpt scholen om makkelijker afspraken te maken met leveranciers en uitgevers over hoe zij veilig met leerlinggegevens omgaan. De nieuwe ‘functionaris voor de gegevensbescherming’ (FG) zal hier een grote rol in gaan spelen. De Autoriteit Persoonsgegevens houdt toezicht op de naleving van deze privacywetgeving. De toezichthouder kan de FG om tekst en uitleg vragen en heeft de bevoegdheid om boetes op te leggen.

Wat kan ik zelf doen om privacy te waarborgen?
Wees op de eerste plaats voorzichtig met inloggegevens: gebruik een goed wachtwoord dat uit meerdere letters en tekens bestaat, houd dat geheim en vervang het om de zoveel tijd. Check of de verbinding die je gebruikt, veilig is. Een openbare wifi-verbinding in de bibliotheek of op het station is eenvoudig af te tappen. Denk voor het versturen van persoonsgegevens goed na over het doel en aan wie je ze verstuurt: mogen de ontvangers wel over deze informatie beschikken? Gebruik tot slot geen usb-sticks voor gevoelige informatie, want die raken nog al eens kwijt.

Op www.kennisnet.nl

staan vijf vuistregels voor het omgaan met leerlinggegevens en een online aanpak voor scholen. De website www.autoriteitpersoonsgegevens.nl biedt een lespakket voor groep 7 en 8. Kijk op www.sambo-ict.nl

voor informatie over privacy in het mbo.

Onderwijs positief over privacywet
Gevoelige documenten blijven een halve dag bij de printer liggen, wachtwoorden staan in de agenda en leerlingdossiers blijven eindeloos bewaard. Menno Kolk, leerkracht op de Flambouw in Nigtevecht, onderwijskundig ict’er en voorzitter van de AOb-startersgroep Groene Golf, vindt dat het onderwijs vrij laconiek omgaat met persoonsgegevens. Met de nieuwe wet valt volgens hem “veel winst te behalen”.
Ook collega’s zien vooral positieve kanten. Dylan Heldenbergh, mbo-docent op de Utrechtse Zorgacademie is blij dat de privacy van jonge mensen beter wordt beschermd. “De meeste studenten denken niet zo na over privacy. Even Facebook op afgeschermd zetten, en that’s it, maar ze hebben geen idee dat er een bedrijf achter zit dat van alles met de gegevens kan doen. Een school heeft hier een belangrijke rol in.” Volgens Hans Vos, directeur van jenaplanschool de Lispeltuut in Lelystad zorgt de nieuwe wet ervoor dat het onderwijs kritischer kijkt naar het gebruik van data. “Dat is belangrijk.”
Scholen zijn druk bezig met de nieuwe wet. “Sommige docenten lijken in een soort paniekstand te schieten”, zegt Heldenbergh. “Ze zijn bang dat hun vrijheid wordt beperkt, maar dat is onzin. Experimenteren met ict-middelen kan nog, alleen je moet wel goed nadenken over welke gegevens ervoor nodig zijn of er afspraken over maken. De tijd dat er cijferlijsten in de gang hingen die iedereen kan zien, is echt voorbij.”
Volgens Kolk zijn vuistregels die Kennisnet heeft opgesteld voor leraren handig: waarom wil ik gegevens gebruiken, welke informatie is daarvoor noodzakelijk en zijn de betrokkenen ervan op de hoogte?
Maar het meeste werk zit op bestuurlijk niveau. Op de Utrechtse Zorgacademie gaan papieren dossiers dezer dagen de versnipperaar in. “De wet leeft in het team nog niet zo”, zegt Heldenbergh. “Maar binnenkort is er een studiedag over. Het is belangrijk af te spreken hoe lang we gegevens bewaren en wat we delen. Voorheen mailden we gewoon alles, dat kan niet meer.”
Kolk is bezig met het afsluiten van contracten met zo’n vijftig aanbieders van leermiddelen over wat zij met leerlinggegevens mogen doen. “Als school zul je verder goede afspraken moeten maken over wie tot welke gegevens toegang krijgt”, zegt hij. “Daar hoef je niet heel krampachtig over te doen, maar je moet er wel over nadenken. Stel dat een kind uit een andere groep valt en je wilt de dokter bellen? Dan is het handig dat je als pleinwacht wel bij die gegevens kunt. Er is dus veel mogelijk als je het maar goed kunt beargumenteren en de toestemming regelt.”
De Utrechtse Zorgacademie maakt relevante informatie voortaan in een map beschikbaar via Google Drive. Heldenbergh: “Daarvan kun je eenvoudig, maar expliciet aangeven wie er toegang heeft en voor hoe lang en of degene de informatie mag lezen, kopiëren of bewerken. Ook voor kinderen werkt Google makkelijk, ze kunnen thuis eenvoudig verder werken. Ik durf met zekerheid te zeggen dat Google Suite for education veilig is. Ik heb een contract met ze afgesloten en daar is niets ingewikkelds aan. Ik vind het vreemd dat Google steeds ter discussie staat, terwijl Apple en Microsoft zich nauwelijks hoeven te verdedigen.”