"Scholen doen een realistische inspanning"
Ieder jaar wordt op de 'Europese dag van de privacy' stilgestaan bij het belang van het beschermen van dit stukje persoonlijke integriteit. Binnen scholen worden ook veel persoonsgegevens 'verwerkt', van zowel leerlingen als medewerkers. Elan Onderwijsgroep heeft met Ferenc Jacobs een externe functionaris gegevensbescherming aangesteld. Hij houdt toezicht op het beschermen van deze gegevens en adviseert over te nemen maatregelen. We gaan met hem in gesprek over de aanleiding, de voordelen én de misvattingen rondom de AVG.
In de aanloop naar mei 2018 werden schoolbesturen verplicht maatregelen te treffen om te voldoen aan de richtlijnen die de AVG geeft. Ook Elan Onderwijsgroep heeft hierin destijds de eerste stappen gezet, onder andere door met een werkgroep te kijken naar beleid en basisinstructies voor in het klaslokaal. Sindsdien wordt stapsgewijs gewerkt aan het blijven verbeteren van privacybewustzijn. "De AVG is geen statisch proces, het heeft op bijna alle zaken binnen een bestuur invloed", aldus Ferenc. "Daarom breng ik samen met het bestuur in beeld op welke terreinen extra maatregelen nodig zijn. Dit wordt jaarlijks herhaald, omdat de wereld nu eenmaal snel verandert."
Rechten en plichten
Een belangrijk onderdeel van de AVG is dat je als leerling, ouders en medewerker een aantal rechten hebt als het op jouw persoonsgegevens aankomt. Ferenc zegt hierover: "Je kunt bijvoorbeeld om inzage in je dossier vragen, of om rectificatie of verwijdering als je het ergens niet mee eens bent. Dit is alleen geen absoluut recht, want er moet naar meer gekeken worden dan alleen de AVG. Sowieso heeft een school tot een maand de tijd om gehoor te geven aan een schriftelijk verzoek, dit kan in complexe situaties zelfs verlengd worden. Soms is die tijd echt nodig om uit te zoeken of er sprake is van bijvoorbeeld ouderlijk gezag. En of bijvoorbeeld de belangen van andere personen niet worden geschaad. Ik kijk naar het totaalplaatje en spiegel dit aan de regels. Het kan soms zijn dat een verzoek niet ingewilligd kan worden."
Foto's en video's
Ferenc ziet ook nog een andere uitdaging waar het gaat om de AVG. Met de toename van sociale media wordt er op en om het schoolplein veel gefotografeerd en gefilmd. Een school moet voor het delen van zulke foto's toestemming vragen aan ouders, omdat dit niet valt onder de wettelijke taak. Maar die verantwoordelijkheid werkt twee kanten op.
Hij vertelt hierover: "Het is goed dat foto's niet zomaar overal gedeeld worden en in de praktijk gebruiken veel scholen ook een apart ouderportaal. Ik merk wel dat foto's en video's die door ouders zelf zijn gemaakt gemakkelijk gedeeld worden. Hiervoor is het eigenlijk niet anders: het is beter om beelden alleen via de leerkracht te delen. Die weet welke kinderen op de foto mogen. Die verantwoordelijkheid ligt dus niet alleen bij de school, ook als ouders heb je invloed op de rechten van anderen."
Geen 'politieagent'
Ondanks een toezichthoudende rol is Ferenc geen 'politieagent'. Hij zegt hierover: "Ik ben een onafhankelijk aanspreekpunt voor betrokkenen. Soms geef ik ook ongevraagd advies. De AVG vraagt dat scholen een realistische inspanning doen om zo goed mogelijk te voldoen aan wat gevraagd wordt. Het is voor mij belangrijk dat ik hierin contact hou met de praktijk, op de werkvloer. Dat bepaalt wat een realistische inspanning is. Dit betekent in sommige gevallen dat er verbeterpunten zijn die door het bestuur worden opgepakt. Vaak gaat er ook vanuit professionaliteit al veel goed. In de basis mag je ervanuit gaan dat leerkrachten ook dit stukje zorg voor leerlingen serieus nemen."
Wat is de AVG?
De Algemene Verordening Gegevensbescherming (AVG) is ingevoerd om de grootscheepse verwerking van persoonsgegevens voor de lidstaten van de Europese Unie en een aantal andere Europese landen beter te reguleren. Begin deze eeuw was er een toename van bedrijven – denk aan Google, Facebook – die het gebruiken van persoonlijke data tot een onderdeel van het verdienmodel maken. De AVG zorgt ervoor dat je als 'betrokkene' meer controle hebt over wat organisaties doen met jouw gegevens.
Zo stelt de AVG dat een organisatie een grondslag moet hebben om iets met persoonsgegevens te mogen doen. Dit kan wetgeving zijn of algemeen belang, waarbij je kunt denken aan overheden. Zo zijn er in totaal zes grondslagen op basis waarvan je gegevens van natuurlijke personen mag verwerken. Een organisatie moet transparant zijn over welke gegevens ze verwerken en vanuit welke grondslag dit gebeurt.
"Ik hoor vaak de uitspraak dat 'iets niet mag van de AVG'. Dat klopt alleen niet altijd. Voor wat een schoolbestuur 'mag' verwerken moet je voornamelijk kijken naar nationale wetgeving", aldus Ferenc. "Voor onderwijsbesturen bepaalt bijvoorbeeld de Wet op Primair Onderwijs en onderliggende besluiten welke dingen in een leerlingdossier moeten staan. Nagenoeg alle verwerkingen van een school vallen onder de grondslag wettelijke verplichting, voor maar een paar dingen is een andere grondslag nodig."