Hoe ver is het onderwijs met de invoering van de nieuwe wetgeving AVG?

De Algemene verordening gegevensbescherming (AVG) is op 25 mei 2018 ingevoerd. Vlak voor de zomervakantie maken we de stand op: hoe ver is het onderwijs met de invoering van de nieuwe wetgeving? Dat vroegen we aan Tonny Plas, onderwijsadviseur en mede-eigenaar Privacy op School B.V.

Hebben scholen hun huiswerk over de AVG wel goed gedaan?
“Dat verschilt enorm per school. Sommige schoolbesturen zijn al een jaar geleden begonnen; andere hebben pas net de eerste voorbereidingen getroffen. Deze scholen hebben nog een lange weg te gaan, want het duurt gemiddeld twee jaar om de nieuwe wet goed vorm te geven. Verder blijft het een continu proces. Organisaties die zeggen dat ze honderd procent compliant zijn, geloof ik niet. Het menselijk handelen blijft de zwakste schakel. Je kunt gegevens wel technisch beveiligen, maar zolang mensen zich niet bewust zijn van het feit dat ze met persoonsgegevens werken, heb je nog een grote uitdaging. Dan bewaren zij gevoelige gegevens gewoon op een onversleutelde USB-stick. Bewustwording en voorlichting zijn daarom belangrijke eerste stappen in het proces.”

Wat zijn de tips en tops voor scholen?
“Het is van belang dat er op organisatorisch vlak meters worden gemaakt: taken en verantwoordelijkheden moeten duidelijk worden belegd binnen de school en niet alleen bij de centrale staf. Daarnaast moet de primaire focus van scholen nu liggen op de aspecten waar de Autoriteit Persoonsgegevens veel aandacht aan besteedt. Zoals het verlenen van de juiste toegang tot applicaties, afspraken over bewaartermijnen en het vernietigen van persoonsgegevens, en het regelen van toestemming voor bijvoorbeeld beeldmateriaal. Dit laatste is echt een klus. Bij publicatie van beeldmateriaal moet je je namelijk afvragen: heb ik hier toestemming voor nodig? Toestemming brengt veel werk met zich mee, omdat het moet worden geregistreerd. Hopelijk komen hiervoor snel goede oplossingen op de markt.
Ook het uitwisselen van gegevens met andere partijen is een heikel punt. Zo vraagt de GGD geregeld leerlinggegevens op en werden tot voor kort zeer gevoelige persoonsgegevens, waaronder het BSN, door de school verstrekt. Gelukkig wordt dit nu sectoraal opgepakt, maar het kan nog beter. Denk aan wettelijke verplichtingen, zoals het uitvoeren van Data Protection Impact Assessements (DPIA) of het gezamenlijk opzetten van een (gevuld) verwerkingenregister. Dit is een uitgelezen kans om als sector samen te werken en antwoorden te vinden op de vragen die elke school heeft.”

Zijn de veranderingen voelbaar binnen scholen?
“Niet alleen de kosten, maar ook de werkdruk loopt op. Verantwoordelijkheden beleggen, mensen vrijmaken om hiermee aan de slag te gaan, een FG (functionaris voor de gegevensbescherming) van buitenaf inhuren: het kost allemaal tijd en geld. De administratieve lasten die gemoeid gaan met het afhandelen en beoordelen van de verwerkersovereenkomsten of het regelen van toestemming zijn groot. Dit verandert ook de manier van werken en dat creëert soms weerstand. Soms schieten scholen zelfs een beetje te ver door in hun maatregelen. Dan besluiten ze bijvoorbeeld helemaal geen foto’s meer te delen van kinderen of medewerkers. Als je als organisatie kunt motiveren dat je sommige gegevens deelt ten behoeve van het onderwijs en je doet dit zorgvuldig, dan is er best veel mogelijk. Je hebt de AVG, maar je moet hierbij wel het GBV, oftewel het gezond boerenverstand blijven gebruiken.”