Nieuwe privacytool gaat scholen veel tijd besparen

Privacy op School helpt scholen door het hele land met het ‘AVG-proof’ maken van hun datahuishouding. Een half jaar na de lancering van de nieuwe wet voor gegevensbescherming is het team, dat bestaat uit FG’ers, ICT’ers en juristen, drukker dan ooit. Inmiddels leggen zij de laatste hand aan een tool die scholen duidelijkheid geeft over de door hen nog te nemen stappen.

In de tool zitten de lessen verwerkt die initiatiefnemer Tonny Plas met zijn team in de afgelopen jaren opdeed. De adviseur stond een groot aantal scholen in het basis- en voortgezet onderwijs bij in het optimaliseren van hun beleid op het gebied van informatiebeveiliging en privacy (IBP). Geen eenvoudige zaak, want er moet het nodige gebeuren om te kunnen voldoen aan de AVG. “Op bestuurlijk gebied moeten er beleidsafspraken gemaakt worden, maar je moet er ook voor zorgen dat medewerkers die afspraken daadwerkelijk in de praktijk gaan brengen.” Om de relevante beleidsinformatie aan medewerkers, ouders en – in het geval van voortgezet onderwijs – leerlingen, beschikbaar te stellen en up-to-date te houden, is het IBP-portaal ontwikkeld, met daarin een kennisbank voor het toegankelijk maken van het IBP-beleid.

“Ik zal niet beweren dat ze met onze oplossing in één keer klaar zijn, maar het bespaart wel heel veel uren”

Drietrapsoplossing

De scholen voor wie het team van Plas dit deed, waren enthousiast. “Maar er kwamen wel meer vragen voorbij, want ze moeten aan meer zaken voldoen volgens de AVG. Scholen hebben naast een informatieplicht namelijk ook een verantwoordingsplicht. Dit gaat bijvoorbeeld om het inzichtelijk maken van risico’s en het aantoonbaar maken van genomen maatregelen.” Daarom is er ook een IBP-dashboard aan het portaal toegevoegd, waardoor scholen inzicht en grip krijgen op de implementatie van de AVG.

Het IBP-portaal dat bestaat uit een kennisbank, een IBP-dashboard een online verwerkingsregister, moet scholen optimaal ontzorgen, denkt Plas. Vooral scholen die nu nog geen verwerkingsregister hebben – iets wat als gevolg van artikel 30 van de AVG nu een wettelijke verplichting is – kunnen een vliegende start maken. In het register, dat aansluit bij het dataregister van Kennisnet, leggen scholen onder meer vast welke persoonsgegevens zij verwerken, voor welk doeleinden, met wie deze uitgewisseld worden, wie er toegang toe heeft en welke risico’s hierbij van belang zijn.

De complete oplossing wordt in december getest en is vanaf januari 2019 beschikbaar. Plas verwacht dat scholen enthousiast zullen reageren. “We horen nu van scholen dat het hen veel tijd kost om risico’s te inventariseren, medewerkers en leerlingen voor te lichten en het verwerkingsregister in te vullen. Ik ga overigens niet beweren dat ze met onze oplossing nu in één keer klaar zijn, maar het bespaart ze wel heel veel uren.” Scholen kunnen de tool afnemen voor een bedrag per leerling en krijgen daarvoor een eigen omgeving die direct ‘live’ kan. “Het is wel belangrijk om als school te kijken wat je zelf nog wilt doen, bijvoorbeeld het toevoegen van eigen beleidsdocumenten aan de omgeving, maar in principe kun je er snel mee aan de slag.”

Toezicht en benchmarking

Het beeld van hoever Nederlandse scholen zijn in het ‘AVG-proof’ maken van hun schoolorganisatie verschilt sterk. “Sommige scholen moeten zelfs nog beginnen. De meeste zijn al wel bezig, maar vragen zich daarbij af hoe goed ze het nu geregeld hebben.” Het dashboard geeft hen scores op basis van de implementatie van de verschillende maatregelen. Dit maakt de tool ook interessant voor de Functionaris Gegevensbescherming, die hierop moet toezien.

Scholen kunnen de uitslagen vergelijken met die van andere scholen. Iets wat overigens niet wil zeggen dat scholen de scores van alle andere scholen in kunnen zien. Wel kunnen scholen zelf besluiten om hun scores te delen met andere scholen. Privacy op School streeft – in navolging van het mbo – naar de ontwikkeling van een specifiek normenkader waarmee scholen in het primair en voortgezet onderwijs hun IBP-beleid kunnen toetsen.

Het naleven van beleidsafspraken is op dit moment een van de grootste uitdagingen binnen scholenorganisaties, ziet Plas. “Zaken als het gebruik van foto- en filmmateriaal en het gebruik van educatieve apps waarin persoonsgegevens verwerkt worden, vragen om een dialoog binnen de organisatie.” Daarnaast zouden scholen in ieder geval al een begin gemaakt moeten hebben met hun verwerkingsregister.

Gericht op meerdere groepen

De tool van Privacy op School is gericht op meerdere groepen gebruikers. De kennisbank is publiekelijk beschikbaar voor ouders en leerlingen. Het gedeelte voor medewerkers is toegankelijk via de Kennisnet Entree-login. Medewerkers van scholen die verantwoordelijk zijn voor de communicatie over de AVG of het IBP-beleid van de school kunnen, naast de generieke en meegeleverde informatie in de kennisbank, aanvullingen doen die voor hun organisatie van belang zijn. Dit kan via een aan de kennisbank gekoppeld CMS dat – evenals het gehele portaal – gebaseerd is op een wiki-platform van XL&Knowledge. Het IBP-dashboard en online verwerkingsregister zijn vooral gericht op de Privacy Officer en FG. Meer informatie over het IBP-portaal is te vinden op privacyopschool.nl.