Privacyrecht
Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Hoewel ook voor de invoering van de AVG het verwerken van persoonsgegevens al aan regels gebonden was en de Wet meldplicht datalekken het nodige stof had doen opwaaien, is de aandacht voor privacy en gegevensbescherming sinds de invoering van de AVG flink toegenomen. Ook bij onderwijsinstellingen is er terecht veel aandacht gekomen voor privacy en gegevensbescherming.
Bijzondere persoonsgegevens in het onderwijs
Veel onderwijsinstellingen verwerken niet alleen ‘gewone’ persoonsgegevens, maar ook bijzondere of gevoelige persoonsgegevens. Zo registreren nagenoeg alle primair of voortgezet onderwijsinstellingen gegevens over de gezondheid van leerlingen, in het kader van verzuim en/of de extra begeleiding voor passend onderwijs. Zeker scholen voor (voortgezet) speciaal onderwijs slaan gegevens van leerlingen op die kwalificeren als bijzondere persoonsgegevens. Aan de verwerking van deze bijzondere persoonsgegevens worden in de AVG extra eisen gesteld.
Wettelijke verplichtingen om persoonsgegevens te verwerken
Op de meeste onderwijsinstellingen rusten wettelijke verplichtingen ten aanzien van registratie van onder meer verzuim van leerlingen en verantwoording van besteding van bekostiging aan het Ministerie van Onderwijs, Cultuur en Wetenschap. In dat kader zijn veel onderwijsinstellingen verplicht om persoonsgegeven van leerlingen aan diverse overheidsorganen te verstrekken. Vaak moeten zij daarbij, ter identificatie, het burgerservicenummer meesturen. Zolang zij daarbij in overeenstemming handelen met een wettelijke verplichting levert dat over het algemeen geen problemen op.
In de praktijk blijkt echter dat onderwijsinstellingen vaak ook persoonsgegevens delen met derden en dat ook andere verwerkingen van persoonsgegevens plaatsvinden, zonder dat daaraan een wettelijke verplichting ten grondslag ligt. Denk bijvoorbeeld aan het maken van klassenfoto’s waarop leerlingen herkenbaar in beeld staan, het instellen van chatgroepen voor klassen en het uitwisselen van gegevens met samenwerkingspartners. Dergelijke verwerkingen roepen vragen op ten aanzien van de rechtsgeldigheid. Niet in alle gevallen zal de door de onderwijsinstelling gewenste verwerking van persoonsgegevens zijn toegestaan.
Toestemming voor het verwerken van persoonsgegevens in het onderwijs
Ook het al dan niet verkrijgen van toestemming voor de verwerking van persoonsgegevens kent in het onderwijs zijn eigen dynamiek. Omdat vaak sprake is van minderjarige betrokkenen moeten onderwijsinstellingen stilstaan bij de handelingsbekwaamheid. Bovendien bepaalt de Uitvoeringswet AVG dat toestemming in de zin van de AVG toestemming van de wettelijk vertegenwoordiger vereist als de betrokken persoon jonger is dan 16 jaar.
Rechten van betrokkenen in het onderwijs
Daarnaast worden ouders en leerlingen/studenten steeds mondiger en zijn zij ook steeds beter bekend met hun rechten in de privacy wet- en regelgeving. Dat roept vragen op als: hoe ver gaat het inzagerecht van ouders/leerlingen? Hebben ouders bijvoorbeeld het recht om de aantekeningen op te vragen die de leraar/docent over de leerling/student heeft gemaakt?
Toezicht op privacywetgeving in het onderwijs
In Nederland wordt het toezicht op de privacywetgeving gehandhaafd door de Autoriteit Persoonsgegevens (AP). Daarbij kan de AP een onderzoek instellen naar onderwijsinstellingen, waarbij de AP vooral zal toetsen of de documentatie op het gebied van gegevensbescherming (beleid, verwerkersovereenkomsten, register van verwerkingen, privacy statements) op orde is.
Daarnaast voert de AP onderzoeken uit naar specifieke onderwerpen zoals de toegangsrechten van medewerkers van onderwijsinstellingen tot persoonsgegevens van leerlingen in hun leerlingvolgsystemen.
Als de AP een overtreding van de AVG constateert kan de AP advies geven en/of handhavend optreden, onder meer door het opleggen van een last onder dwangsom en/of een forse boete.
Juridisch advies over privacy in het onderwijs
De privacyspecialisten van Nysingh helpen onderwijsinstellingen onder meer bij het opstellen van het privacybeleid en privacystatements en het uitonderhandelen en opstellen van verwerkersovereenkomsten. Daarnaast adviseren zij onder meer over de specifieke regels met betrekking tot de verwerking van persoonsgegevens in het onderwijs, over (het melden van) datalekken, inzageverzoeken en het uitwisselen van persoonsgegevens. Neem voor advies gerust contact op met een van onze specialisten. Wij helpen u graag.