Mede door de opkomst en de toename van de digitale middelen wordt het steeds gemakkelijker om informatie snel onder een grote doelgroep te verspreiden. Ook scholen hebben hiermee te maken. De mogelijkheden lijken tegenwoordig eindeloos. Echter, de praktijk leert dat scholen hierbij nog wel eens vergeten rekening te houden met de wettelijke kaders die hiervoor gelden.
In dit artikel willen we mede aan de hand van een aantal praktijkvoorbeelden aandacht besteden aan de Wet bescherming persoonsgegevens (Wbp). Deze wet krijgt en behoeft in het onderwijs steeds meer aandacht, omdat veel scholen niet weten dat het niet naleven van de regels vervelende gevolgen kan hebben. Eventuele boetes kunnen oplopen tot ruim 8 ton!
In de praktijkvoorbeelden richten we ons met name op leerlinggegevens, maar de uitgangspunten zijn ook van toepassing op personeelsgegevens.
Wanneer is de Wbp van toepassing?
De Wbp is van toepassing als persoonsgegevens worden ‘verwerkt’. Het verwerken van persoonsgegevens in de zin van de wet betreft elke handeling die ziet op persoonsgegevens, zoals het verzamelen, vastleggen, ordenen, verspreiden, opvragen, gebruiken, beschikbaar stellen en vernietigen hiervan. Deze definitie maakt dat de Wbp een erg ruim bereik heeft en op bijna elke situatie waarin iets met persoonsgegevens wordt gedaan van toepassing is. De uitzondering hierop betreft de verwerking van persoonsgegevens ten behoeve van persoonlijke, huishoudelijke of journalistieke doeleinden.
De handeling moet altijd zien op ‘persoonsgegevens’. Een persoonsgegeven is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Kortom: aan de hand van een gegeven dan wel gegevens moet een persoon te herleiden c.q. te identificeren zijn. Enkel de vermelding van een geboortedatum, zonder nadere informatie, kan in dit verband niet als persoonsgegeven worden gezien. Dit kan echter wel weer het geval zijn als dit bijvoorbeeld wordt gebruikt in combinatie met een adresgegeven. Per situatie moet dus bekeken worden of het om een persoonsgegeven in de zin van de Wbp gaat.
Wanneer is het toegestaan om persoonsgegevens te verwerken?
Artikel 8 van de Wbp bevat een aantal grondslagen op grond waarvan mag worden overgegaan tot verwerking van persoonsgegevens. Als een school persoonsgegevens van een leerling wil verwerken, kan dit dus alleen als de verwerking kan worden gebaseerd op ten minste één van de in de Wbp genoemde grondslagen:
a) Ondubbelzinnige toestemming;
b) Gegevensverwerking is noodzakelijk voor de nakoming van een overeenkomst;
c) Gegevensverwerking is noodzakelijk om een wettelijke verplichting na te komen;
d) Gegevensverwerking is noodzakelijk ter vrijwaring van een vitaal belang van de betrokkene;
e) Gegevensverwerking is noodzakelijk voor de goede vervulling van een publiekrechtelijke taak door een bestuursorgaan;
f) Gegevensverwerking is noodzakelijk voor de behartiging van het gerechtvaardigd belang van de verantwoordelijke of van een derde tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.
Het verwerken van leerlinggegevens zal in veel gevallen gebaseerd kunnen worden op art. 8 sub b. Als ouders hun kind inschrijven op school, komt daarmee als het ware een overeenkomst tot stand tussen de ouders en de school, waarmee de school de verantwoordelijkheid op zich neemt om het kind van onderwijs te voorzien. De school kan vervolgens enkel uitvoering geven aan deze taak als zij bepaalde leerlinggegevens verwerkt.
Uiteraard kunnen niet alle gegevensverwerkingen gebaseerd worden op art. 8 sub b. Verderop in dit artikel treft u een aantal praktijkvoorbeelden aan waarbij de gegevensverwerking wordt gebaseerd op een andere grondslag.
Aan welke eisen moet de gegevensverwerking voldoen?
Naast het feit dat er een grondslag moet bestaan om de persoonsgegevens te mogen verwerken, kent de wet ook nog andere eisen waar de gegevensverwerking aan moet voldoen. Vereist is dat gegevens behoorlijk, zorgvuldig en in overeenstemming met de wet worden verwerkt. Ook mogen er enkel gegevens worden verzameld met een bepaald gerechtvaardigd doel. Dit doel (of deze doelen) dient (dienen) duidelijk omschreven te worden voordat begonnen wordt met het verzamelen van gegevens.
Bij elke gegevensverwerking zal vervolgens vastgesteld moeten worden of het verwerken van de persoonsgegevens nodig is om het doel te bereiken. Is het bijvoorbeeld mogelijk om een andere weg te bewandelen waardoor hetzelfde doel wordt bereikt en waarbij het niet nodig is om persoonsgegevens te verwerken of er wellicht minder persoonsgegevens verwerkt hoeven te worden? Ook betekent dit dat persoonsgegevens niet eindeloos bewaard mogen worden. Als bepaalde gegevens waarvoor geen wettelijke bewaarplicht geldt niet meer nodig zijn en hun waarde hebben verloren, moeten ze worden verwijderd.
Zijn er nog andere verplichtingen waaraan moet worden voldaan op grond van de Wbp?
Naast de eisen die gesteld worden aan een verwerking, kent de Wbp een aantal andere verplichtingen. Een van deze verplichtingen is de meldingsplicht. Dit houdt in dat, indien er persoonsgegevens worden verwerkt, hiervan melding moet worden gemaakt bij de Autoriteit Persoonsgegevens.
Voor gebruikelijke gegevensverwerkingen bestaan er echter vrijstellingen welke zijn vastgelegd in het Vrijstellingsbesluit. Zo is de meldingsplicht onder andere niet van toepassing voor gebruikelijke gegevensverwerkingen in het kader van de leerlingadministratie en de personeelsadministratie. In het Vrijstellingsbesluit is ook de maximale bewaarperiode opgenomen van gegevens. Om gebruik te kunnen maken van de vrijstelling, mogen gegevens dus niet langer worden bewaard.
Een voorbeeld hiervan is het leerlingdossier. Deze gegevens dienen uiterlijk twee jaar nadat de leerling is uitgeschreven, verwijderd te worden, tenzij sprake is van een wettelijke verplichting. Zo is bijvoorbeeld ten aanzien van de leerlingadministratie in het Bekostigingsbesluit vastgelegd dat deze gegevens minimaal 5 jaar bewaard moeten worden na uitschrijving.
Een andere verplichting die voortvloeit uit de wet, is dat een betrokkene (i.c. ouders/leerlingen van 16 jaar of ouder) de verantwoordelijke (i.c. schoolbestuur) kan vragen of en zo ja welke persoonsgegevens over hem/haar worden verwerkt. Er bestaat dus inzagerecht. Ook mag de betrokkene vragen om zijn gegevens te corrigeren (verbeteren, aanvullen of verwijderen). Een schoolbestuur is verplicht deze verzoeken binnen 4 weken te honoreren. Gegevens kunnen alleen gecorrigeerd worden als ze feitelijk onjuist, onvolledig of niet ter zake dienend zijn voor het doel waarvoor ze worden verwerkt of op andere wijze in strijd met de Wbp of een andere wet zijn verwerkt.
Een derde belangrijke verplichting die is opgenomen in de wet, is dat het schoolbestuur passende technische en organisatorische maatregelen moet treffen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking tegen te gaan.
De Wbp toegelicht aan de hand van praktijksituaties
We hebben de website van onze school vernieuwd. Mogen we daarop ook de klassenfoto’s en de namen van leerlingen vermelden?
In dit voorbeeld wordt gesproken over klassenfoto’s en namen van leerlingen. De naam van een leerling betreft altijd een persoonsgegeven. Een klassenfoto kan ook persoonsgegevens bevatten als kinderen herkenbaar in beeld zijn gebracht. Als dit het geval is, betreffen dit dus ook persoonsgegevens. Verwerking (plaatsing op de website) is dus enkel toegestaan als daar een grondslag (a t/m f van artikel 8) uit de Wbp voor bestaat. Met andere woorden: als er geen toestemming is gegeven door de ouders van de leerling (of de leerling zelf als hij/zij 16 jaar of ouder is), zal vastgesteld moeten worden of sprake is van een gerechtvaardigd belang (de andere grondslagen bieden immers in deze situatie geen grondslag om de gegevens te mogen verwerken). Of sprake is van een gerechtvaardigd belang, zal afhangen van de vraag of het belang van de school bij plaatsing van de foto’s en de namen groter is dan het privacybelang van de leerling. Dit zal naar alle waarschijnlijkheid in de meeste situaties niet het geval zijn. Plaatsing van de foto’s en de namen is dan dus zonder toestemming niet toegestaan.
Jeugdzorg/Veilig Thuis vraagt informatie op over een leerling. Ben ik verplicht om mee te werken?
Ook voor deze casus geldt dat er een grondslag moet zijn uit de Wbp. Geven de ouders toestemming, dan is het geen probleem om de gevraagde informatie te verstrekken. Toestemming is echter niet altijd noodzakelijk. Als er serieuze zorgen zijn over de leerling, kan de school zowel gevraagd als ongevraagd informatie over de leerling verstrekken aan Jeugdzorg/Veilig Thuis voor zover dit noodzakelijk wordt geacht voor de behartiging van het gerechtvaardigd belang van de leerling, ook zonder toestemming van de ouders. In beginsel moet de school ouders hiervan wel vooraf op de hoogte stellen. Echter, als de veiligheid van het kind of van een ander in het geding is of er haast geboden is, kan hierop een uitzondering worden gemaakt. Op het moment dat het specifiek om (een redelijk vermoeden van) kindermishandeling gaat, biedt artikel 5.2.6 van de Wet Maatschappelijke Ondersteuning 2015 (Wmo) zelfs een wettelijke basis voor de gegevensverstrekking. Dit artikel bepaalt namelijk dat een school informatie aan Veilig Thuis mag geven om de kindermishandeling te laten stoppen of een redelijk vermoeden van kindermishandeling te laten onderzoeken.
Een leerling verlaat de basisschool. Ouders zijn het niet eens met het opgestelde onderwijskundig rapport en willen geen toestemming geven om dit rapport te verstrekken aan de vervolgschool. Mag het rapport toch worden doorgegeven?
Ja, dit mag. In de Wet op het primair onderwijs is namelijk opgenomen dat een schooldirecteur van elke leerling die de school verlaat een onderwijskundig rapport moet opstellen ten behoeve van de ontvangende school. Het is dus niet nodig dat ouders toestemming geven voor het verstrekken van het onderwijskundig rapport aan de vervolgschool. Er bestaat in dit geval een wettelijke verplichting om het rapport aan de vervolgschool te overhandigen. De gegevensverwerking kan dus gebaseerd worden op art. 8 sub c Wbp.
Ouders hebben er bezwaar tegen dat de leerkracht van hun kind bepaalde zorgen die er leven met betrekking tot hun kind, bespreekt met collega’s. Mogen deze gegevens onderling worden uitgewisseld?
Binnen de school vindt doorgaans veel overleg plaats over leerlingen. Van periodieke klasbesprekingen tot de bespreking van individuele leerlingen met specifieke problematiek. Deze verwerking van persoonsgegevens vindt zijn grondslag in het feit dat verwerking noodzakelijk is om de onderwijsovereenkomst die de school met de ouders heeft na te komen (art. 8 onder b Wbp). Dit is (in het primair en voortgezet onderwijs althans) geen fysieke overeenkomst, maar doordat de ouders hun kind op school hebben ingeschreven, is de school verantwoordelijk voor het geven van goed onderwijs aan en de begeleiding van de betreffende leerling. Onderdeel van het geven van onderwijs aan en het begeleiden van leerlingen binnen de school is dat degenen die belast zijn met deze activiteiten of daarbij noodzakelijk zijn betrokken, periodiek overleggen. Ter uitvoering van hun taak mogen zij de daarvoor noodzakelijke gegevens ontvangen. Een leerkracht mag dus overleg voeren over de leerling met bijvoorbeeld een duo-partner of een intern begeleider, die belast is met de begeleiding van een leerling. Een leerkracht kan echter niet zomaar gegevens over de leerling verstrekken aan een collega van bijvoorbeeld een andere groep die op geen enkele wijze betrokken is bij het onderwijs aan en de begeleiding van de betreffende leerling. Ook derden kunnen belast zijn met onderwijs- en begeleidingsactiviteiten of daarbij noodzakelijk zijn betrokken. Zij zijn door de school ingeschakeld en hebben een taak binnen de reguliere ontwikkeling en begeleiding van leerlingen. Niet van belang is of deze derde, bijvoorbeeld een remedial teacher, in dienst is van de school of niet.
Een leerling van 17 jaar wil niet dat zijn ouders zijn dossier inzien. Dient de school zich hieraan te conformeren?
16 jaar is een belangrijke leeftijdsgrens in de Wbp. De leerling kan alleen een inzageverzoek met betrekking tot de eigen persoonsgegevens indienen als hij/zij 16 jaar of ouder is. Op het moment dat de leerling jonger is dan 16 jaar, kunnen de wettelijk vertegenwoordigers (bijvoorbeeld de ouders) een dergelijk verzoek doen. Een leerling van 17 jaar heeft dus het recht om zijn eigen dossier in te zien. Zijn ouders hebben op grond van de Wbp geen recht meer om het leerlingdossier van hun kind in te zien. Echter, uit de Wet op het primair onderwijs en de Wet op het voortgezet onderwijs vloeit voort dat de school verplicht is om de ouders, voogden of verzorgers te rapporteren over de vorderingen van de leerling zolang de leerling nog minderjarig is. Gelet op deze wettelijke verplichting (art. 8 onder c Wbp) dient de school in deze casus, ondanks het bezwaar van de leerling, de ouders toch inzage te geven in het leerlingdossier. Dit is echter wel beperkt tot informatie omtrent de vorderingen van het kind en geldt enkel zolang de leerling minderjarig is.
Daarnaast geldt dat in de meeste gevallen eventueel ook een beroep kan worden gedaan op het gerechtvaardigd belang (art. 8f). ‘De meeste gevallen’, omdat uiteraard elke keer een belangenafweging gemaakt dient te worden tussen het belang van de leerling en het belang van de ouders. Ouders dienen op grond van de het Burgerlijk Wetboek voor hun kinderen te zorgen, financieel zelfs tot hun kind 21 jaar is. In dat kader hebben ouders belang bij de informatie die is opgenomen in het leerlingdossier. Dit is dus breder dan enkel de informatie over de vorderingen. Als de ouders echter niet meer betrokken zijn bij de opvoeding van het kind, zal het belang van de leerling hoogstwaarschijnlijk zwaarder wegen en kan een ouder niet met een beroep op het gerechtvaardigd belang om inzage vragen in het leerlingdossier.
Aangezien privacy een zeer ruim onderwerp is, kunnen wij in dit artikel lang niet alles bespreken. Heeft u andere privacy vragen – bijvoorbeeld over de informatievoorziening aan gescheiden ouders en/of datalekken – aarzelt u dan niet contact op te nemen met de helpdesk van uw profielorganisatie.
Dit artikel is tot stand gekomen in samenwerking tussen de juridische helpdesks van de profielorganisaties ISBO, VBS, Verus, VGS en VOS/ABB.
Informatie: Onderwijsjuristen, 0348-405250 van 08.30 tot 12.30 uur, onderwijsjuristen@vosabb.nl