Privacywetgeving: onbekend maakt (nog steeds) onbemind

In 2018 is de Algemene Verordening Gegevensbescherming (AVG) ingevoerd. Sindsdien hebben onderwijsinstellingen enorme stappen gemaakt in de waarborging van privacy en naleving van privacywetgeving. Scholen hebben zich organisatorisch aangepast en het ‘privacybewustzijn’ is verhoogd. De toepassing van de regelgeving gaat echter nog lang niet altijd goed. Zowel te strikte (!) als te coulante toepassing komt nog vaak voor. AVG-expert Joris Voorhuis van Marxman Advocaten deelt zijn tips.

Toestemming

Om persoonsgegevens te verzamelen is een wettelijke grondslag nodig. Scholen doen er goed aan om bij de verzameling van persoonsgegevens kritisch te kijken op welke grondslag dit mogelijk is. Vaak grijpt men naar de grondslag ‘toestemming’, terwijl een andere grondslag ook mogelijk is. Toestemming is namelijk een wettelijke grondslag die je wil vermijden. Het levert veel administratieve rompslomp op (het vastleggen) en toestemming kan ook weer ingetrokken worden.

Bijvoorbeeld het vragen van toestemming voor het maken van foto’s bij schoolactiviteiten. Gaat het om foto’s van leerlingen die openbaar gepubliceerd worden, bijvoorbeeld op de publieke schoolwebsite, dan is inderdaad toestemming nodig. Toestemming is echter niet per se nodig als foto’s van een schoolactiviteit alleen worden geplaatst op een afgeschermde omgeving van de website. Bijvoorbeeld waar alleen ouders en leerlingen toegang tot hebben. Een school zou in dat geval de rechtsgrondslag ‘gerechtvaardigd belang’ kunnen gebruiken. Dit moeten ze dan wel uitleggen in de algemene privacyverklaring.

Werk samen waar mogelijk

Scholen verwerken naast ‘normale’ persoonsgegevens in sommige gevallen ook bijzondere of gevoelige persoonsgegevens van leerlingen. Wanneer hiervoor de dienst of applicatie van een derde partij wordt ingeschakeld moet in de meeste gevallen een ‘DPIA’ uitgevoerd worden. Een Data Protection Impact Assessment (DPIA) is een instrument om vooraf de privacyrisico’s van gegevensverwerking in kaart te brengen. Hoewel een DPIA nuttig is, ziet men dit ook vaak als een papieren tijger. Het is efficiënt als scholen hierin hun krachten bundelen. Wanneer een verwerking gelijksoortig is volstaat namelijk één DPIA. Scholen zullen een bepaalde tool of applicatie vaak op eenzelfde manier gebruiken en kunnen een uitgevoerde DPIA daarom ook met elkaar delen of gezamenlijk uitvoeren. Dit bespaart veel dubbel werk.