Q&A – Onderwijs op afstand en privacy

Rond april 2020 is er veel gepubliceerd over de (mogelijke) privacyrisico’s van Zoom. Veel scholen zijn daarna onmiddellijk gestopt met Zoom. Dat was op dat moment terecht, Zoom was een onveilige tool met alle problemen van dien. Inmiddels heeft Zoom een groot verbeterprogramma uitgevoerd.

Hierdoor is de tool inmiddels qua veiligheid te vergelijken met Skype, Teams of Google Meets. Dat betekent niet dat er nu nul privacyrisico’s zijn. Het is daarom van belang om de betaalde versie te gebruiken; die maakt het namelijk mogelijk om privacygevoelige informatie op te slaan op een server binnen Europa (EER), zoals wordt voorgeschreven door de AVG. Kies in de instellingen voor het datacenter in Duitsland.

 Daarnaast zijn de volgende aandachtspunten nog van belang:

• Stel een wachtwoord in voor de meeting en weiger alle niet-relevante cookies.
• Verwijder data bij Zoom nadat je klaar bent met een sessie.
• Sluit een verwerkersovereenkomst af met Zoom.

De Autoriteit Persoonsgegevens heeft n.a.v. de verbeteringen bij Zoom ook deze infographic geüpdatet. Neem deze gerust eens door.  Op dit moment is ZOOM te vergelijken met andere gangbare videotools.

Op verschillende scholen gaan de voorbereidingen voor de kerstviering weer van start. Sommige scholen oriënteren zich op de mogelijkheden voor het livestreamen van de kerstviering. Dat is een mooie mogelijkheid om, zij het in een andere vorm, toch een kerstviering te laten plaatsvinden. Op het gebied van privacy dienen er dan wel maatregelen genomen te worden:

• Zorg voor goede en passende beveiligingsmaatregelen. Maak alleen gebruik van veilige en betrouwbare streamingsdiensten. Maak ook afspraken met de streamingsdienst door een verwerkersovereenkomst af te sluiten. Zorg dat je de livestream op “verborgen” zet in de privacyinstellingen van YouTube of een andere streamingsdienst. Op deze wijze is de video alleen te zien door degenen die de link hebben gekregen. Denk ook na of en hoe lang de livestream achteraf nog terug te bekijken is.
• Beelden waarop leerlingen en personeel zichtbaar zijn bevatten persoonsgegevens. Om persoonsgegevens te verwerken is er een grondslag nodig. Omdat de school geen gerechtvaardigd belang heeft bij het uitzenden van een kerstviering, is de meest geschikte grondslag het vragen toestemming aan ouders. Begin daarom op tijd met het uitvragen van toestemming voor de livestream. Wees helder in de informatie die je verstrekt rond het geven van toestemming. Zo kunnen ouders een doordachte keuze maken. Een eerder gegeven toestemming voor andere specifieke beeldverwerking (zoals de schoolfotograaf) kan niet gebruikt worden voor de kerstviering.
• Geef aan ouders mee dat de video bedoeld is voor thuisgebruik. Het door ouders maken van opnames of foto’s van de livestream valt onder de verantwoordelijkheid van de ouders zelf (persoonlijk of huishoudelijk gebruik). Spreek wel met de ouders af dat niets van de livestream openbaar gedeeld mag worden.

Nu de basisscholen (deels) weer open mogen, gaan de voorbereidingen voor de schoolmusical op verschillende scholen toch weer van start. Sommige scholen oriënteren zich op de mogelijkheden voor het livestreamen van de schoolmusical. Dat is een mooie mogelijkheid om, zij het in een andere vorm, toch een schoolmusical te laten plaatsvinden. Op het gebied van privacy dienen er dan wel maatregelen genomen te worden:

• Zorg voor goede en passende beveiligingsmaatregelen. Maak alleen gebruik van veilige en betrouwbare streamingsdiensten. Maak ook afspraken met de streamingsdienst door een verwerkersovereenkomst af te sluiten. Zorg dat je de livestream op “verborgen” zet in de privacyinstellingen van YouTube of een andere streamingsdienst. Op deze wijze is de video alleen te zien door degenen die de link hebben gekregen. Denk ook na of en hoe lang de livestream achteraf nog terug te bekijken is.
• Beelden waarop leerlingen en personeel zichtbaar zijn bevatten persoonsgegevens. Om persoonsgegevens te verwerken is er een grondslag nodig. Omdat de school geen gerechtvaardigd belang heeft bij het uitzenden van een schoolmusical, is de meest geschikte grondslag het vragen toestemming aan ouders. Begin daarom op tijd met het uitvragen van toestemming voor de livestream. Wees helder in de informatie die je verstrekt rond het geven van toestemming. Zo kunnen ouders een doordachte keuze maken. Een eerder gegeven toestemming voor andere specifieke beeldverwerking (zoals de schoolfotograaf) kan niet gebruikt worden voor de schoolmusical.
• Geef aan ouders mee dat de video bedoeld is voor thuisgebruik. Het door ouders maken van opnames of foto’s van de livestream valt onder de verantwoordelijkheid van de ouders zelf (persoonlijk of huishoudelijk gebruik). Spreek wel met de ouders af dat niets van de livestream openbaar gedeeld mag worden.

De Autoriteit Persoonsgegevens (AP) beantwoord de vraag ‘Mag mijn school of universiteit mij filmen voor les op afstand?’ samengevat als volgt:
Tijdens de coronacrisis kun je les krijgen via videobellen. Daarbij word je thuis gefilmd. Dat is een inbreuk op je privacy. Maar het is niet altijd verboden. Het mag als lesgeven op een andere manier niet kan. Zoals nu met corona. Je school of universiteit moet er dan wel voor zorgen dat de inbreuk op jouw privacy zo klein mogelijk is.
Je school of universiteit moet jou (of je ouders) ook duidelijke informatie geven over wat er precies met je gegevens gebeurt. Zoals waarom jouw gegevens verwerkt worden en wanneer jouw gegevens worden gewist.
In de lijn van bovenstaande punten dient de school de betrokkenen duidelijk te informeren over het hoe en waarom van de inzet van camera’s en is het gebruik van videolessen met cameragebruik door leerlingen toegestaan als lesgeven op een andere manier niet kan. Dit kan je nu tijdens Corona uitleggen als een gerechtvaardigd belang van de school.
Ons advies:

Als school moet je een goede afweging maken of en zo ja, wanneer het nodig is om de leerlingen (herkenbaar) in beeld te brengen. Voor het delen van de lessen met leerlingen thuis is dat wellicht niet (altijd) nodig maar om te zien of iedereen aanwezig is en participeert wellicht wel.
Het is vanuit AVG bezien altijd aan te bevelen om zo min mogelijk gegevens te verwerken en privacyinbreuk te voorkomen. Het cameragebruik niet toepassen dan wel dit zo veel mogelijk beperken, past bij dit uitgangspunt. Je kan bijvoorbeeld door de camera alleen op de leerkracht en of het digibord richten en kiezen de camera’s van leerlingen niet (continu) aan te (laten) zetten als dat niet nodig is.
Voor de inzet van camera’s bij het onderwijs kan de school, nu tijdens Corona, kiezen voor de grondslag gerechtvaardigd belang en dan geldt dat de school hier geen toestemming voor hoeft te vragen. Maar let op, gerechtvaardigd belang laat wel ruimte voor concreet individueel bezwaar van betrokkenen. In een dergelijk geval moet opnieuw bekeken worden of de inzet van een camera’s in dat specifieke geval gepast is.

Het is bij de inzet van camera’s, of dit nu middels toestemming of gerechtvaardigd belang gebeurt, vooral belangrijk dat je transparant bent naar alle betrokkenen over jullie aanpak en toelicht hoe de beelden veilig worden gebruikt en waarom. Het opstellen van gedragsregels kan hierbij helpen, m.n. doordat leerlingen en docenten zich bij het verantwoord gebruik van camera’s veiliger voelen. De kans op bezwaar is dan wellicht minder groot.

Het mag van leraren verwacht worden dat ze meewerken aan het geven van onderwijs op afstand wanneer dit noodzakelijk is, dit is het gerechtvaardigd belang van de school. Dat betekent dus dat de school hiervoor geen toestemming hoeft te vragen aan de leerkracht. Wel is er ruimte voor concreet individueel bezwaar van een leraar. Het advies is daarom om gebruik te maken van een degelijke tool en om duidelijke afspraken te maken voor het afstandsonderwijs zodat deze aanpak een veilige manier van werken is. In de privacyverklaring moet de school dit proces voor medewerkers duidelijk uiteen zetten.

Omgeving
Kijk goed naar de omgeving waarin je thuiswerkt en naar de achtergrond die zichtbaar is in beeld. Zijn er privacygevoelige zaken of teksten in beeld? Haal deze dan weg of kies een andere achtergrond. Bij onderwijs op afstand is de leraar hoorbaar en zichtbaar in het huishouden van de leerling. Dit kan de leraar kwetsbaar maken omdat hij/zij niet weet wie er thuis meekijken/luisteren. Kies daarom een rustige omgeving waar anderen niet kunnen meekijken en/of luisteren en spreek met je leerlingen af dat zij dat ook doen. Dat is ook bevorderlijk voor de concentratie. Gebruik bij voorkeur een headset of koptelefoon.

Gebruik van beelden/audio
Maak goede afspraken met de ouders en leerlingen over het opslaan van de videobeelden en/of het delen van beelden (bijv. via social media). In dit kader kan het verstandig zijn met leerlingen (en ouders) af te spreken dat het niet toegestaan is om opnames te maken van het onderwijs, laat staan deze te delen op social media. Je kunt lessen ook vooraf opnemen en als video delen. Je kunt dan nagaan of datgene wat je als leraar zegt goed is en er geen rare dingen in beeld gebeuren.

Wil je opnames bewaren? Ga dan eerst na of dit echt noodzakelijk is. Wanneer dit zo is, dien je met ouders en leerlingen te communiceren dat er opnames van de lessen worden gemaakt. Zorg dat de opnames zoveel als mogelijk is via het eigen netwerk opslaat, niet openbaar zijn en niet via een publieke link te bereiken zijn (bijv. via YouTube). Denk na over de bewaartermijn van de opnamen en welke personen er toegang hebben tot de opnames.

Gebruik accounts
Bij voorkeur loggen de leerlingen in via hun schoolaccount. Bij het aanmaken of gebruiken van een privé-account worden persoonsgegevens verwerkt en moet je jezelf de vraag stellen of dit wel veilig is en wenselijk is, aangezien de gegevens met derden worden gedeeld. In veel gevallen heb je bij het aanmaken van privé-accounts ook toestemming nodig van ouders.

Er zijn diverse gratis oplossingen voor videoconferencing beschikbaar (Zoom, Skype etc). Natuurlijk enorm handig als het gaat om onderwijs op afstand, maar dit roept wel de vraag op welke gegevens er worden verzameld en wat er met deze gegevens gebeurt.

Ons advies is om voorzichtig te zijn met de inzet van gratis tools omdat je als school(bestuur) richting ouders en leerlingen wel verantwoordelijk bent voor wat de aanbieder van de tool met de gegevens doet. Zo bracht het gebruik van ZOOM verschillende privacyrisico’s met zich mee, inmiddels zijn de grootste risico’s door ZOOM opgelost. Ons advies is om gebruik te maken van tools van partijen waarmee je al goede privacy-afspraken hebt gemaakt, bijvoorbeeld Teams van Microsoft en Meets/Classroom in de Google Suite for Education. Zij hebben heldere voorwaarden in het Nederlands en de data wordt opgeslagen binnen Europa (EER). Mocht je als schoolbestuur desondanks voor een andere tool kiezen dan adviseren we om in ieder geval:

– Een verwerkersovereenkomst af te sluiten (data processing agreement)
– Leerlingen geen accounts aan te laten maken en geen locatiegegevens laten delen
– Terughoudend te zijn in wat je deelt en opslaat
– Bij Amerikaanse aanbieders alleen gebruik te maken van aanbieders die zijn aangesloten bij het ‘EU-VS-privacyshield’.

Meer informatie over dit onderwerp lees je op de website van Kennisnet en de Keuzehulp van de Autoriteit Persoonsgegevens. Ook hebben wij een gratis poster ontwikkeld die je helpt om de vraag te beantwoorden of je een video-app mag gebruiken. Met onze posters ben je maar een paar stappen van het juiste antwoord verwijderd!

Als gevolg van de crisis zijn er allerlei partijen die extra informatie willen van of aanbieden aan scholen. Deze periode van drukte is voor criminelen dé kans om via phishingmails proberen binnen te komen op het netwerk van de school of computers van medewerkers of leerlingen. Er is nu al een verhoogde activiteit zichtbaar op dit gebied. Wees daarom juist nu extra alert en klik niet direct op links in e-mailberichten. Controleer eerst de link door met je muis over de link te bewegen, je kunt dan de URL controleren. Open geen bijlagen van e-mails die je niet verwacht of vreemd voorkomen. Vul nooit gegevens in bij e-mailberichten die je niet verwacht of van een onbekende afzender zijn. Denk je te maken te hebben met een malafide e-mail? Open deze niet en neem dan direct contact op met je ICT-beheerder of servicedesk.

Omdat het geven van afstandsonderwijs voor iedereen nieuw is, is het verstandig om afspraken te maken hoe om te gaan met deze nieuwe manier van lesgeven. Gedragsregels zorgen er voor dat het afstandsonderwijs ‘veiliger’ wordt voor de leraren en de leerlingen. Geef bijvoorbeeld aan ouders en leerlingen mee dat:
– Er geen opnames gemaakt mogen worden van de lessen door leerlingen of ouders
– De reguliere regels van school ook gelden bij afstandsonderwijs
– Alleen de leerling in beeld hoeft te zijn, ouders of overige huisgenoten hoeven de les niet te volgen
– De link om deel te nemen aan de videoles vertrouwelijk is

Het is belangrijk om gedragsregels, zoals bovenstaande voorbeelden, te delen met leraren, leerlingen en ouders.

Is de coronacrisis een ontheffing voor de AVG? Nee, de AVG is nog steeds van toepassing. Gebruik dus zoveel mogelijk de leeromgevingen en -platforms waarvoor je als organisatie een verwerkersovereenkomst hebt afgesloten. Zorg ook voor verwerkersovereenkomsten bij nieuwe applicaties, denk aan videoconferencing en de (gratis) leermiddelen die uitgeverijen en leveranciers beschikbaar stellen. Sluit verwerkersovereenkomsten af, ook al zeggen leveranciers dat dit niet (direct) nodig is. Als je nieuwe accounts door leerlingen (jonger dan 16 jaar) laat aanmaken voor het kunnen gebruiken van gratis online tools uit bijvoorbeeld de appstores, dan is hier vaak toestemming voor nodig van de ouders. Over het algemeen geldt dit niet voor digitale leermiddelen die de school heeft aangeschaft. Vraag om advies bij je Functionaris  Gegevensbescherming of gebruik onderstaand formulier voor meer informatie.

We zitten middenin de tweede coronagolf. Inmiddels is de capaciteit van de GGD voor het bron- en contactonderzoek niet meer toereikend. Dat zorgt voor vragen bij scholen. Hoe acteer je als school op oplopende besmettingen? En hoe ver mag je gaan? In dit artikel praten we je uitgebreid bij over COVID-19 in relatie tot de privacy van de leerlingen en medewerkers. 

Een werkgever heeft geen grondslag om gegevens omtrent de reden van een ziekmelding te verwerken. Je hoeft daar als werkgever dus ook niet naar te vragen.

Geeft een medewerker zelf vrijwillig aan dat deze positief getest is voor corona? Leg deze informatie dan niet vast. Ga ook niet op eigen houtje leerlingen, ouders en collega’s informeren over de zieke medewerker en/of testresultaten. Dit is namelijk privé-informatie. Gezondheidsgegevens zijn bijzondere persoonsgegevens. 

Natuurlijk moet er wel actie ondernomen worden, dit ligt echter bij de GGD. De GGD zal een protocol nalopen, bron- en contactonderzoek uitvoeren en de contacten zelf benaderen. Heb je vragen over de rol van de school in dit bron- en contactonderzoek? Benader dan de regionale GGD.

Allereerst is het belangrijk om te weten dat bezoekersregistratie plaatsvindt op vrijwillige basis.

De registratiegegevens mogen niet langer bewaard worden dan nodig voor het doel waarvoor je ze hebt verzameld. In dit geval gaat om het eventueel uitvoeren van een bron- en contactonderzoek door de GGD. Gelet op de incubatietijd (tijd tussen besmetting en eerste symptomen) adviseren wij een bewaartermijn van 14 dagen.

Let op: gegevens over de gezondheid van bezoekers mogen niet door de school geregistreerd worden. Dat zijn namelijk bijzondere persoonsgegevens die alleen op basis van een – hier ontbrekende – wettelijke uitzondering verwerkt mogen worden. Dit geldt bijvoorbeeld ook voor de horeca (men mag er wel naar vragen, maar dit niet vastleggen). Vraag dus alleen de contactgegevens schriftelijk uit. Vaak is een naam en een telefoonnummer al voldoende.

Verder mogen bezoekers niet elkaars gegevens zien, dus een lange bezoekerslijst is niet handig. Maak daarom bijvoorbeeld gebruik van een apart formuliertje per bezoeker. Onder deze verklaring kan je aangegeven waarom deze gegevens wordt gevraagd (bron- en contactonderzoek) en dat deze na 14 dagen worden vernietigd. Gebruik deze gegevens dan ook niet voor eventuele PR-doeleinden.

De AP vertelt op haar website: Dat er veel zorgen zijn over het verzamelen van persoonsgegevens bij digitaal thuisonderwijs tijdens de coronacrisis. Zijn de systemen die scholen gebruiken om te videobellen wel veilig, of vallen gegevens niet in verkeerde handen en wat gebeurt er precies met al die gegevens? Dit blijkt uit de grote hoeveelheid signalen die de AP hierover ontvangt. De AP deelt zorg en gaat bij scholen na of zij de privacy wel goed op orde hebben.

Wat is protectoring?
Proctoring is het digitaal surveilleren of monitoren van leerlingen of studenten bij tentamen of toetsen. Voorbeelden zijn:

• de leerling of student moet bijvoorbeeld foto’s maken van de ruimte waarin zij zijn.
• de onderwijsinstelling kijkt mee op hun scherm, registreert toetsaanslagen en houdt via webcam(s) het gedrag in de gaten.

Met een Proctoring kan veel en gevoelige informatie worden verzameld en verwerkt. Daarom moeten onderwijsinstellingen zich afvragen of al deze gegevens daadwerkelijk noodzakelijk zijn. En of er geen andere manier is om examenfraude te bestrijden, die minder impact heeft op leerlingen en studenten.

Gevoelige informatie
Er is veel informatie te halen uit de beelden die bij beeldbellen en proctoring (digitaal surveilleren) worden verzonden naar onderwijsinstellingen of medestudenten.

• hoe leerlingen of studenten presteren
• hoe zij zich gedragen
• hoe het is gesteld met hun concentratie
• maar ook over religieuze uitingen
• wat gezinsleden doen die in de achtergrond zichtbaar zijn

Wat is het risico?

• Er worden veel (gevoelige) gegevens gedeeld bij beeldbellen en proctoring
• In tegenstelling tot in de normale lespraktijk, kunnen deze observaties nu makkelijk worden opgeslagen en verspreid.

Wat moet je doen? Zie ook de tips van de AP

1. Doel en noodzaak bepalen:
• Is het noodzakelijk om (al) de gegevens te verwerken?
• Is er een andere manier die minder impact heeft op de privacy?
2. Kies een betrouwbaar systeem en verwerker:
• Stel hoge eisen aan de leveranciers van het systemen
• Sluit een (verwerkers)overeenkomst af.
• Let er op dat het systeem niet meer gegevens verwerkt dan noodzakelijk en deze gegevens niet langer bewaard dan noodzakelijk.
3. Wees transparant:
• Informeer leerlingen, studenten, docenten en de ouders van minderjarige kinderen over hoe hun persoonsgegevens worden beschermd
• Betrek (G)MR bij het kiezen van de oplossing.
4. Aantoonbaar:
• Als verantwoordelijke moet je aantonen hoe (dat) je de bescherming van de privacy voldoende hebt geregeld. Met bovenstaande stappen laat je zien dat je zorgvuldig omgegaan bent met de privacy en deze voldoende beschermt is.

Gebruik de appchecker van Kennisnet om na te gaan of je veilig gebruik kunt maken van de educatieve tool of app of download onze gratis poster.

– Appchecker Kennisnet 
– Poster Privacy op School over gebruik educatieve tools en apps (PDF)

Tip: Gebruik zo min mogelijk persoonsgegevens bij het gebruik van ‘gratis’ apps.

In de schoolgids of op de website worden vaak namen van medewerkers vermeld. Je laat leerlingen en ouders zo zien wie er op school werkt. Omdat je zou kunnen zeggen dat de leraar, mentor, decaan of directielid zijn werk niet goed kan doen als zijn naam niet bekend mag zijn, hoef je hier geen toestemming voor te vragen. In dit geval is – mits goed gemotiveerd – de grondslag gerechtvaardigd belang van toepassing. Je moet je medewerkers wel informeren dat je hun persoonsgegevens vermeld. Deel alleen de zakelijke contactgegevens en stem met je personeel af wat wenselijk is. Ze kunnen dan eventueel – onderbouwd – bezwaar maken tegen de publicatie. Deel de gegevens alleen met ouders en doe dit via een veilige methode.

Voor snelle communicatie worden er soms WhatsAppgroepen aangemaakt. Maar door het gebruik van WhatsApp(groepen) worden ongevraagd persoonsgegevens, je contacten uit je adresboek, gedeeld met WhatsApp (Facebook). Het advies is daarom om bij voorkeur via de schoolaccounts en bestaande communicatiekanalen (LAS/LVS) te communiceren en niet via persoonlijke mailaccounts en/of WhatsApp. Vaak zijn er chat of berichtenfuncties mogelijk via de platforms die door school worden gebruikt. Informeer bij je afdeling ICT of kijk hier voor een aantal mogelijkheden.

Onder de AVG bestaat een categorie bijzondere persoonsgegevens. Gezondheidsgegevens, en dus gegevens omtrent vaccinatie, vallen onder deze categorie. Deze bijzondere persoonsgegevens verkrijgen extra bescherming. Het is in principe zelfs verboden om bijzondere persoonsgegevens te verwerken. Er gelden wel een aantal uitzonderingen, maar deze uitzonderingen zijn niet van toepassing op het huidige vaccinatievraagstuk.

Werkgevers mogen dus geen gegevens omtrent vaccinatiestatus van medewerkers verwerken. Geeft een werknemer dit uit zichzelf aan? Ook dan mag er alsnog geen registratie plaatsvinden.

Voor het proces en gebruik van digitale leermiddelen is het in principe toegestaan om e-mailadressen van ouders en leerlingen te verwerken. Het is wel belangrijk dat de betrokkenen hierover door de school worden geïnformeerd, bijvoorbeeld via de privacyverklaring. Tevens dien je zorg te dragen voor een verwerkersovereenkomst met de uitgevers en distributeurs die de gegevens van ouders en leerlingen via de school ontvangen.

Ook kunnen ouders en leerlingen tegen de verwerking van deze gegevens bezwaar maken. De school kan ouders aanraden om een apart of nieuw mailadres aan te maken (bijv. Outlook of Gmail) zodat de bezwaren tegen het gebruik van hun prive-mailadres worden beperkt of zelfs weggenomen.

Mag je aan ouders om een werkgeversverklaring vragen bij een vermoeden van misbruik van de regeling voor noodopvang bij cruciale beroepen?

Tijdens een lockdown kan een maatregel zijn dat het onderwijs alleen middels afstandsonderwijs wordt gegeven. Kinderen met ouders die werken in een cruciaal beroep groep mogen wel naar de basisschool, kinderopvang of buitenschoolse opvang.

Wanneer een schoolbestuur het vermoeden heeft dat een ouder van deze uitzondering misbruik maakt, zou je dit willen controleren. Op de website van de rijksoverheid staat: “Wanneer u een cruciaal beroep hebt, kunt u dit aangeven bij uw school of kinderopvanglocatie. U hoeft dit niet aan te tonen door een verklaring van uw werkgever. We vertrouwen erop dat in deze uitzonderlijke tijd alleen ouders die werkzaam zijn in een cruciale beroepsgroep een beroep doen op de noodopvang, ook om het systeem niet te veel te belasten.”

De ouders/verzorgers zijn dus niet verplicht om een werkgeversverklaring te overhandigen.

Uitgeverijen, leveranciers of distributeurs van digitale leermiddelen, maken het over het algemeen mogelijk om digitale leermiddelen thuis te kunnen gebruiken. In veel gevallen gebruikt de school hiervoor een online leeromgeving. Via het schoolaccount van de leerling kan dan gebruik worden gemaakt van de leermiddelen door in te loggen op de online leeromgeving. Je wordt dan veelal ook automatisch ingelogd voor het gebruik van het digitale leermiddel.

Het kan ook zijn dat leerlingen worden gevraagd om rechtstreeks in te loggen om het digitale leermiddel te kunnen gebruiken. Ook dan zou bij voorkeur het schoolaccount moeten worden gebruikt.

Je mag het e-mailadres van ouders en leerlingen gebruiken om hen te informeren over het proces waarmee ze de digitale leermiddelen kunnen gebruiken.

Geen schoolaccount
Als er niet direct of indirect ingelogd kan worden vanuit huis met een bestaande schoolaccount, dan zal er een account via het mailadres van de leerling of ouder aangemaakt moeten worden. Het e-mailadres zelf wordt vaak gebruikt als gebruikersnaam of -iD voor het leermiddel. Hiervoor moet veelal het persoonlijke e-mailadres van de leerling of ouder door de school worden doorgegeven aan de uitgever of distributeur. Dit mag de school doen, maar het is wel belangrijk om de ouders hier vooraf over te informeren. Let op, ouders mogen hiertegen bezwaar maken, dit is hun recht. In deze gevallen kun je de ouders aanraden om een apart of nieuw mailadres aan te maken (bijv. Outlook of Gmail) zodat de bezwaren tegen het gebruik van hun prive-mailadres worden beperkt of zelfs weggenomen.

Zorg er ook voor dat je als schoolbestuur met de uitgevers en distributeurs een verwerkersovereenkomst hebt. Een goed model hiervoor is het model van het Privacy Convenant (www.privacyconvenant.nl). Hierin moet ook de verwerking van het mailadres van ouders en leerlingen vermeld zijn. Door goede afspraken te maken in de verwerkersovereenkomst houdt de school de regie over de persoonsgegevens (waaronder prive e-mailadressen van leerlingen of ouders). 

Schoollaptops – of tablets
Zorg ervoor dat laptops of tablets van de school beveiligd zijn met een wachtwoord. Het is de bedoeling dat uitsluitend de leerling op het apparaat werkt voor schoolwerkzaamheden. Maar hierover duidelijk afspraken met de leerlingen als die er nog niet zijn. Een tweede belangrijke afspraak is dat de leerling niet zelfstandig software download of installeert. Hiermee wordt voorkomen dat er virussen of andere schadelijke software (malware) wordt geïnstalleerd.

Voor medewerkers, leerlingen en/of ouders is het belangrijk dat er gebruik wordt gemaakt van een bruikleenovereenkomst. Hierin staan ook afspraken over wie de laptop of tablet mag gebruiken en waarvoor.

Er zijn ook scholen die tweedehands laptops of tablets inzetten bij gebrek aan voldoende eigen devices. Zorg er als school voor dat deze apparaten wel opgeschoond en opnieuw zijn geïnstalleerd/ingericht met onder andere beveiligingssoftware.

Privé laptops en tablets
Als je thuis gebruik laat maken van laptops en tablet die eigendom zijn van medewerkers of ouders en leerlingen, zorg er dan voor dat er afspraken zijn gemaakt over het beveiligen van privé laptops of tablets met een wachtwoord, het gebruik van een virusscanner en het automatisch / dagelijks bijwerken van beveiligingsupdates. Het kan namelijk voorkomen dat bestanden met vertrouwelijke informatie of persoonsgegevens geïnfecteerd worden door virussen of in handen komen van hackers of andere criminelen, denk aan diefstal.

Sla bestanden niet lokaal op, verwijder werkbestanden en andere tussentijds opgeslagen bestanden zo snel mogelijk. Download geen persoonsgegevens op de eigen computer, tenzij dit nodig is voor de bewerking ervan. In dat geval is het belangrijk om na het uploaden de bewerkte documenten te verwijderen. Let op: verwijder deze documenten ook uit de map ‘Downloads’.

Tip: Ga je thuiswerken? Lees dan zeker de aandachtspunten van het NCSC en de aandachtspunten voor thuiswerken van de Autoriteit Persoonsgegevens.

Sommige gemeenten vragen aan scholen en kinderopvangorganisaties om te registreren welke kinderen opvang wordt geboden en welke vitale functies de ouders hebben.

Vooralsnog hebben de gemeente (nog) geen primaire verantwoordelijk voor het geopend houden van kinderopvang voor ouders met vitale beroepen. Dat betekent dat de registratie onder directe verantwoordelijkheid valt van de onderwijsinstellingen en kinderopvang en niet van de gemeenten.

Er is dus nu geen verplichting en/of belang om deze gegevens, registratieformulieren, aan de gemeente toe te sturen. Het kan zijn dat deze omstandigheden veranderen en dat de gemeente hierin wel een primaire verantwoordelijkheid krijgt maar vooralsnog is dat dus niet het geval.

Heeft jouw organisatie al gegevens gedeeld met de gemeente dan adviseren we om:

1. De gemeente te verzoeken om de aangeleverde gegevens te vernietigen en de uitvoering hiervan te bevestigen.
2. Het incident op te nemen in je beveiligingsincidenten en datalekken registratie. Dat is niet verplicht maar wel zorgvuldig.
3. Het datalek dan niet te melden aan de AP of de betrokken personen. Omdat de gemeente een betrouwbare partij is mag je ervan uitgaan dat zij de gegevens zorgvuldig zullen verwijderen en dat de kans op nadelige gevolgen voor de betrokkenen zeer klein zijn.

Ook kunnen gemeenten de school verzoeken om persoonsgegevens aan te leveren om te identificeren voor welke kinderen extra maatregelen getroffen moeten worden in het kader van begeleiding.

Het is lastig om hier een passende grondslag bij te vinden, nu de aan scholen verspreide brief van minister Slob hierover ook geen duidelijkheid geeft. In de wet worden wel enkele handreikingen gedaan, waardoor een school persoonsgegevens in het kader van begeleiding uit kan wisselen met de gemeente. Op basis van art. 8 Wet PO en art. 17 Wet VO kan een ingang gevonden worden om gegevens uit te wisselen met de gemeente inzake extra ondersteuning en individuele begeleiding. In het licht van de brief van het ministerie lijkt dit voldoende om – mits goed gemotiveerd – de wet als grondslag aan te houden voor de uitwisseling van persoonsgegevens met de gemeente in het kader van begeleiding voor leerlingen.