De AVG in het onderwijs: wat scholen nu eigenlijk moeten regelen

Voor een school komt de AVG, zoals die in Nederland heet, neer op één principe: je mag gegevens van leerlingen alleen gebruiken voor het doel waarvoor je ze hebt verzameld, je mag ze alleen bewaren zolang je ze nodig hebt, en je moet kunnen aantonen dat je er zorgvuldig mee omgaat. Dat klinkt als papierwerk, maar in de praktijk gaat het vooral om gedrag: wie deelt welk bestand met wie, via welk kanaal, en wie heeft er nog toegang tot een systeem dat hij of zij twee jaar geleden heeft verlaten.

Hieronder bekijken we welke gegevens scholen eigenlijk verwerken, wie daarvoor verantwoordelijk is, wat je moet afspreken met de leveranciers van je digitale leermiddelen, hoe datalekken op een school echt ontstaan, en hoe dit alles aansluit bij het Normenkader IBP waar scholen naartoe werken.

Welke gegevens verwerken scholen, en waarom zijn die gevoelig?

Scholen hebben meer persoonsgegevens in hun bezit dan de meeste organisaties van dezelfde omvang, en een groot deel daarvan betreft minderjarigen. Juist daarom zijn de regels hier strenger dan bij een bedrijf met evenveel medewerkers.

• Basisgegevens van leerlingen. Namen, adressen, geboortedata, burgerservicenummers, gegevens van ouders of voogden. Op het eerste gezicht heel gewoon, maar super waardevol voor iedereen die een profiel wil samenstellen.
• Leerprestaties en resultaten. Cijfers, toetsresultaten, rapporten, aantekeningen in het leerlingvolgsysteem. Gevoelig, omdat deze gegevens een kind jarenlang volgen.
• Dossiers over zorg en ondersteuning. Verklaringen over dyslexie, medische aantekeningen, rapporten van ondersteuningsteams. Dit zijn gegevens van een speciale categorie en die moeten hier in het gebouw met de grootste zorg worden behandeld.
• Beelden en opnames. Foto’s op de website van de school, een video van een schoolreisje, opnames van een les. Toestemming hiervoor is specifiek, herroepbaar en wordt vaak vergeten.
• Communicatie met ouders. E-mails en berichten over individuele leerlingen, bijvoorbeeld over conflicten en moeilijke situaties thuis.

Wat dit anders maakt dan bij een bedrijf, is de combinatie: de gegevens zijn gevoelig, het gaat om kinderen die de gevolgen niet kunnen overzien, en de mensen die ermee omgaan zijn leraren, wier taak het lesgeven is en niet gegevensbescherming.

Wie is er op school verantwoordelijk voor de AVG?

Officieel is het schoolbestuur de verwerkingsverantwoordelijke. Dat is de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt, en de partij waar de Autoriteit Persoonsgegevens zich tot wendt als er iets misgaat. Veel besturen stellen een functionaris voor gegevensbescherming aan, en in het onderwijs is er meestal ook een IBP-coördinator die ervoor zorgt dat informatiebeveiliging en privacy in de praktijk goed worden geregeld.

De kloof die de meeste problemen veroorzaakt, zit tussen die formele verantwoordelijkheid en de dagelijkse praktijk. Het bestuur draagt de verantwoordelijkheid, maar de daadwerkelijke uitvoering gebeurt in de klas en op het secretariaat: een leraar die een klassenlijst exporteert, een administratief medewerker die een zorgdossier doorstuurt, een invalkracht die inlogt met een gedeeld account. Beleid dat nooit bij die mensen terechtkomt, is geen naleving, maar slechts papierwerk.

Verwerkingsovereenkomsten met je leveranciers

Scholen maken gebruik van externe tools: het leerlingvolgsysteem, digitaal lesmateriaal, een communicatie-app voor ouders, een cloudopslagdienst. Elke leverancier die namens jou leerlinggegevens verwerkt, is een verwerker, en voor die relatie is een verwerkersovereenkomst nodig waarin staat wat ze met de gegevens mogen doen, hoe ze die beveiligen, hoe lang ze die bewaren en wat er gebeurt als het contract afloopt.

Twee praktische opmerkingen. Ten eerste: controleer of zo’n overeenkomst daadwerkelijk bestaat voor elke tool die je gebruikt, ook voor die tools die een enthousiaste docent stiekem heeft geïntroduceerd zonder het aan iemand te vertellen. Ten tweede: onthoud dat het ondertekenen ervan je verantwoordelijkheid niet wegneemt: als een leverancier gegevens lekt, blijft de school de verwerkingsverantwoordelijke en moet ze de betrokkenen nog steeds op de hoogte brengen.

Hoe datalekken op scholen eigenlijk ontstaan

Bijna nooit door een spectaculaire hack. De meldingen die de Autoriteit Persoonsgegevens uit de onderwijssector ontvangt, zijn overwegend alledaags, en dat is goed nieuws, want alledaagse oorzaken kun je door training voorkomen.

1. De verkeerde ontvanger. Een klassenlijst, een cijferoverzicht of een rapport dat per e-mail naar het verkeerde adres is gestuurd, of naar een hele groep ouders in het veld ‘Aan’ in plaats van in BCC. Dit is veruit de meest voorkomende inbreuk in het onderwijs.
2. Gedeelde inloggegevens. Eén account voor het leerlingvolgsysteem dat het hele team gebruikt, omdat het te lang duurde om aparte accounts aan te maken. Achteraf kan niemand meer zeggen wie wat heeft bekeken.
3. Apparaten en opslagmedia die zoekraken. Een laptop in de auto, een USB-stick met een back-up van de resultaten, een privételefoon met schoolfoto’s erop.
4. Phishing gericht op schoolaccounts. Aanvallers weten dat een schoolmailbox toegang geeft tot heel veel gegevens over minderjarigen. Eén klik op een valse inlogpagina is al genoeg.
5. Toegang die nooit is ingetrokken. De invaller van afgelopen voorjaar die nog steeds een actief account heeft, de collega die weg is en wiens toegang tot de gedeelde schijf niemand heeft uitgeschakeld.

Als er toch iets misgaat, telt elke seconde. Een datalek dat een risico vormt voor de betrokkenen moet zonder onnodige vertraging en in principe binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens, en de getroffenen moeten op de hoogte worden gebracht als het risico voor hen groot is. Die deadline is alleen haalbaar als een docent die iets vermoedt het nog dezelfde ochtend meldt, en dat is meer een kwestie van cultuur dan van procedure. Het onderwerp levend houden helpt: privacybewustzijn dat in kleine dosisjes terugkomt, werkt beter dan een jaarlijkse briefing, en een luchtige vorm zoals GDPR-trainingsspelletjes zorgt voor meer deelname in een drukke teamruimte dan een beleidsdocument.

De koppeling met het Normenkader IBP

Privacy en informatiebeveiliging gaan op scholen hand in hand. Het Normenkader IBP voor het basis- en voortgezet onderwijs bundelt beide in concrete eisen, en scholen werken hieraan met 1 januari 2027 als streefdatum. Veel van wat het kader vraagt, overlapt met wat de AVG al verwachtte: weet welke gegevens je hebt, regel de toegang goed, sluit afspraken met leveranciers en zorg dat je kunt aantonen dat je personeel weet wat het moet doen.

Die overlap is de moeite waard om te benutten. Een school die het bewustwordingsgedeelte van het Normenkader serieus neemt, doet tegelijkertijd haar huiswerk voor de AVG, en andersom. Als je ze als twee aparte projecten behandelt, zorgt dat ervoor dat besturen uiteindelijk hetzelfde werk twee keer doen, met twee verschillende stapels papierwerk.

Hoe Guardey scholen helpt met de menselijke kant

De beveiligingsbewustzijnstraining van Guardey is speciaal ontwikkeld voor teams die geen tijd te verliezen hebben: wekelijkse uitdagingen van zo’n drie minuten, gamificatie met ranglijsten en reeksen, en inhoud die aansluit bij de bedreigingen die daadwerkelijk de ronde doen. Voor scholen betekent dat herkenbare scenario’s, van een phishingmail gericht op een schoolaccount tot de vraag welke foto op de website mag komen.

KONOT, een onderwijsorganisatie, gebruikt Guardey om het beveiligingsbewustzijn van haar docenten te verbeteren, en onze beveiligingsbewustzijnstraining voor scholen is speciaal voor die context opgezet. Docenten volgen de training via de mobiele app voor iOS en Android of gewoon in de browser; geïntegreerde phishing-simulaties laten zien of herkenning ook echt tot actie leidt, en de rapportage geeft het bestuur iets concreets om te laten zien voor het Normenkader IBP. Het opzetten duurt maar een paar minuten.

Veelgestelde vragen over de AVG in het onderwijs

Mag een school foto’s van leerlingen publiceren?

Alleen met geldige toestemming, wat voor jongere kinderen betekent dat de ouders of voogden toestemming moeten geven. Die toestemming moet specifiek aangeven waar de foto gebruikt gaat worden en kan op elk moment worden ingetrokken. In de praktijk is het probleem zelden het toestemmingsformulier zelf, maar het bijhouden wie er nee heeft gezegd, en ervoor zorgen dat de collega die iets op sociale media plaatst, hiervan op de hoogte is.

Hoe lang mag een school gegevens van leerlingen bewaren?

Alleen zo lang als nodig is voor het doel, met wettelijke bewaartermijnen voor bepaalde delen van het dossier. De praktische vraag is niet hoe lang precies, maar of iemand daadwerkelijk iets verwijdert: veel scholen bewaren jarenlange oude dossiers simpelweg omdat er niemand was aangewezen om ze op te ruimen.

Is een leraar persoonlijk aansprakelijk voor een datalek?

Bijna nooit. Het schoolbestuur heeft de leiding en draagt de verantwoordelijkheid. Dat is het waard om hardop te zeggen in de lerarenkamer, want angst om de schuld te krijgen is de belangrijkste reden waarom een fout te laat wordt gemeld, en die late melding zorgt ervoor dat een klein incident uitgroeit tot een toezichtsprobleem.

Hebben we een functionaris voor gegevensbescherming nodig?

Overheidsinstanties en -organen moeten er een aanstellen, en scholen vallen over het algemeen onder die categorie, hoewel de manier waarop dat in zijn werk gaat verschilt: sommige besturen stellen hun eigen contactpersoon aan, andere delen er één met een groep scholen. Wat belangrijker is, is dat de functie daadwerkelijk bereikbaar is voor de mensen die dagelijkse vragen hebben.

De scholen die hun AVG op orde hebben, zijn zelden de scholen met de dikste beleidsmap. Het zijn juist de scholen waar een leraar weet wat hij moet doen met een verdachte e-mail, waar een account de week nadat iemand vertrekt meteen wordt uitgeschakeld, en waar het melden van een fout heel normaal is in plaats van gênant. Dat is een cultuur, en culturen bouw je stap voor stap op.