Als leraar speel je een belangrijke rol in het zorgvuldig en veilig omgaan met gegevens van leerlingen. Waar moet jij als leraar aan denken? Een korte opfrisser na de zomervakantie.

Een school verwerkt veel persoonsgegevens van leerlingen. Dat begint al bij het inschrijven van leerlingen op de school. Daarnaast werken leraren met digitale systemen zoals een leerlingadministratiesysteem en programma’s die het lesgeven ondersteunen. En we moeten natuurlijk niet de social media kanalen vergeten.

Scholen hebben vaak een wettelijke verplichting als het gaat om de verwerking van persoonsgegevens. Denk hierbij aan het bijhouden van leerprestaties en het verwerken van persoonsgegevens met betrekking tot de ontwikkeling van de leerling. Over de onderwijskundige taken moet de onderwijsinstelling verantwoording afleggen aan de inspectie voor het onderwijs. Onder persoonsgegevens verstaan we informatie waar leerlingen direct aan te herkennen zijn, zoals naam, adres, geboortedatum en Burgerservicenummer (BSN). Maar ook indirecte gegevens zoals een portretfoto, leerstoornis of ouderbijdrage. Daarnaast moeten scholen zich houden aan de wettelijke eisen die gelden volgens de Algemene Verordening Gegevensbescherming (AVG).

Hoe ga je goed om met de persoonsgegevens van je leerlingen? Graag lichten we enkele onderwerpen toe die jou beslist bekend voorkomen.

School en social media

Social media is niet meer weg te denken in onze huidige maatschappij en dus ook niet bij iedereen die betrokken is bij het onderwijs. Social media is een verzamelbegrip voor online platformen waar de gebruikers, zonder of met minimale tussenkomst van een professionele redactie, de inhoud verzorgen. Hieronder valt ook het gebruik van programma’s waarmee online informatie kan worden opgezocht, gedeeld en gepresenteerd. Denk bijvoorbeeld aan Facebook, Instagram, YouTube, LinkedIn, TikTok of Snapchat.

Het is bekend dat social media kan helpen om het onderwijs te verbeteren en de lessen leuker te maken. Maar het gebruik van social media brengt ook risico’s met zich mee, zoals pesten en het ongewild delen van foto’s of andere gegevens. De school maakt hierover meestal afspraken en deze worden opgenomen in een zogenaamd social media protocol. Graag delen wij enkele tips over het verstandig gebruik van social media:

• Respecteer elkaars privacy. Wil je een foto-, film en geluidsopnamen van aan school gerelateerde situaties waarop leerlingen zijn afgebeeld? Als school/leraar vraag je altijd eerst een schriftelijke toestemming aan ouders. Dit geldt voor zowel school- als persoonlijke social media.

• Zorg als leraar dat je weet hoe de social media werken voordat je ze gebruikt, zorg dat de security- en privacy instellingen goed staan en je niet meer informatie deelt dan je zou willen. Alles wat wordt gecommuniceerd via internet en social media, blijft nog lang vindbaar.

• Als leraar heb je een bijzondere verantwoordelijkheid bij het gebruik van social media. Privémeningen kunnen hierdoor eenvoudig verward worden met de officiële standpunten van je school.

• Als leraar ben je verantwoordelijk voor wat je zelf plaatst op social media, en je kunt hierop aangesproken worden. Dat geldt ook voor het delen en verspreiden van een uiting van een ander. Let goed op wat je schrijft en hou rekening met de goede naam van je school.

• Hoewel het soms een sport lijkt om zoveel mogelijk digitale vrienden te verzamelen verdient het toch aanbeveling om kritisch te zijn op wie je allemaal toevoegt aan je ‘vriendengroep’, en daarmee toegang geeft tot de door jouw geplaatste content.

• Indien je social media wilt gebruiken in de les, dan dienen ouders bij kinderen onder de 16 jaar hiervoor toestemming te geven.

Communiceren met ouders en leerlingen

Vaak bestaat de wens of gewoonte om gegevens in een gesprek langer te bewaren dan noodzakelijk. De AVG vraagt een tegengestelde beweging; het systematisch verwijderen van gegevens. Met het opschonen van persoonsgegevens kun je ervoor zorgen dat er fysieke of digitale gegevens te lang bewaard blijven. Het is ook belangrijk om ervoor te zorgen dat persoonsgegevens op de daarvoor bestemde plek, veilig worden bewaard. Vanuit school worden er vaak richtlijnen gesteld voor docenten hoe zij moeten communiceren met ouders en leerlingen. We zien vaak (een combinatie van) de volgende type systemen bij scholen:

• Persoonlijke systemen: Een systeem waarbij geen centrale organisatie ligt rondom het beheer van persoonsgegevens, en waar het selecteren van ontvangers ‘open’ is (je kan een bericht sturen naar allerlei nummers, en een typefout zit in een klein hoekje). Een goed voorbeeld hiervan is Whatsapp. Je hebt hier ook risico’s rondom het delen en bewaren van persoonlijke data, je bent hier namelijk zelf verantwoordelijk voor. Hierover meer
• Centrale systemen: Teams (voor vakinhoudelijke communicatie met leerlingen) of Hoy (voor school-brede communicatie met ouders, leerlingen en collega’s) zijn hier goede voorbeelden van. Hierbij bepaalt een centrale administratie aan wie je een bericht kan sturen. Je hebt daardoor meer controle over wat en met wie je communiceert! Centrale systemen hebben vaak op schoolniveau al afspraken gemaakt en processen op z'n plek om gegevens te bewaren en te verwijderen.
• E-mail: Een systeem wat ook centraal is geregeld is het e-mailadres van school. Echter vallen ouders buiten het systeem. Je moet daarom hier zelf ontvangers invoeren, waardoor gegevens toch nog wel eens bij de verkeerde ontvanger terecht komen. Bovendien komen de gegevens buiten je centrale systeem. Hiermee verlies je de controle over deze gegevens. Deze kunnen ongemerkt terecht komen bij andere personen, apps of in de Cloud.

Het gebruik van Whatsapp

WhatsApp – onderdeel van Meta/Facebook - is ook op scholen nog een veel gebruikte App. Interne chatgroepen worden gebruikt om de communicatie tussen medewerkers eenvoudiger te maken. Daarnaast bestaan er klassenapps waar leerlingen en leraar met elkaar communiceren. Maar is Whatsapp wel zo geschikt als communicatiemiddel op school? Het ‘probleem’ begint al bij de leeftijdgrens. Om Whatsapp te mogen gebruiken moeten gebruikers 16 jaar of ouder zijn. Kinderen onder de 16 jaar mogen volgens de privacywet niet zonder toestemming van hun ouders op Whatsapp zitten.

Daarnaast weet Whatsapp – ondanks de versleutelde berichtgeving- heel veel van haar gebruikers. Het zijn dan niet direct je berichten, maar wel alles wat er ‘omheen’ hangt zoals telefoonnummer, IP-adres, locatiegegevens, wanneer je met wie interactie hebt etc. En dat is waardevolle informatie voor Meta/Facebook. Het gebruik betekent ook het automatisch delen van je contactenlijst met Whatsapp. Hiervoor moet in principe toestemming aan de ander worden gevraagd. Maar in de praktijk is dit niet echt realiseerbaar.

Als er via Whatsapp foto’s/bestanden worden verzonden, komen die vaak ook automatisch in het interne geheugen van je telefoon terecht. Dit is problematisch omdat vaak andere apps ook toegang hebben tot het interne geheugen van je telefoon. En voor het ‘gemak’ wordt van alles automatisch een back-up gemaakt en opgeslagen in de Cloud.

Er zitten dus veel privacy haken en ogen aan het gebruik van WhatsApp en is daardoor geen veilig communicatiemiddel binnen een schoolomgeving.

Ons advies:

• De leeftijdsgrens voor het gebruik van WhatsApp ligt op 16 jaar. Geef als leraar het goede voorbeeld en gebruik WhatsApp niet als communicatiemiddel voor jonge leerlingen.
• Deel als leraar geen persoonsgegevens/bestanden/afbeeldingen/video’s via (interne)chatgroepen. Hiermee verlies je de controle over deze gegevens. Deze kunnen ongemerkt terecht komen bij andere personen, Apps of in de Cloud.
• Er bestaan alternatieven voor deze chatfunctionaliteit die beter aansluiten bij de wensen van docenten. Ga dus op onderzoek uit!
• Bestanden en persoonsgegevens dienen op een veilige manier te worden verstuurd en opgeslagen. Gebruik hiervoor alleen de door de school voorgeschreven programma’s en raadpleeg bij twijfel de ‘Gedragsregels ICT en Internetgebruik’ en het ‘Social media protocol’.

Opschonen van de e-mail inbox

Laten we eens kijken naar de e-mailbox. Voor veel leraren is e-mail meer dan een communicatiemiddel. Het is vaak een persoonlijk archief en kennissysteem. Als leraar beschik je vaak over grote hoeveelheden persoonsgegevens. Denk daarbij aan e-mails over leerlingen, bijlagen bij mail of bestanden met leerlinggegevens en leerresultaten. Maar ook e-mails of gegevens met betrekking tot de gezondheid van leerlingen, ziekmeldingen of privésituaties van collega’s. Graag delen we enkele tips over het opruimen van je mailbox:

• Verwijder e-mails met persoonsgegevens uit je inbox, verzonden items, verwijderde items en archiefmappen. Denk daarbij aan e-mails die leerling namen, leerresultaten of gezondheidsgegevens bevatten. Zorg daarnaast ook dat je prullenbak en download map automatisch worden leeggemaakt.

• E-mail toch bewaren? Sla de e-mail op/exporteer naar, (op) een veilige plaats (in de daarvoor geschikte systemen) en verwijder daarna de e-mail uit je mailbox.

• Check na het verwijderen de map ‘verwijderde items’ en maak die ook leeg als daar de verwijderde e-mails in staan.

• Ruim niet alleen je persoonlijke mailboxen op maar ook je gedeelde-/groeps mailboxen.

• En na de opschoon actie? Zorg er continu voor dat er geen persoonsgegevens in de mailbox blijven staan. Leer jezelf aan om iedere keer een e-mail met persoonsgegevens te verwijderen (of eventueel op een daarvoor geschikte, veilige plaats te bewaren).

• Liever chatten dan mailen: informatie delen of communiceren via Teams en Hoy is altijd veiliger dan het gebruik van e-mail. Als je via deze systemen deelt in plaats van mailt, dan hoeft je sowieso geen mail meer te verwijderen.

Aanschaf nieuwe software

Gegevens moeten goed beschermd en veilig zijn. Dit geldt niet alleen voor papieren gegevens, maar ook voor digitale gegevens. Je hebt een interessant softwareproduct oftewel leermiddel ontdekt en je wilt dit aanschaffen of eens uitproberen in de klas. Kan dat zomaar? Nee, dat kan helaas niet zomaar. Ieder software-product dient eerst goed beoordeeld te worden op het gebied van veiligheid en privacy. De school is immers verantwoordelijk voor het veilige gebruik hiervan. Om hier een goede inschatting van te maken dien je eerst een Pre-DPIA uit te voeren. Dit is een (risico)inventarisatie waarmee je een beter beeld krijgt van het product. Vergeet ook niet dat er vóór het gebruik of aanschaf een Verwerkersovereenkomst dient te worden afgesloten met de leverancier. Dat klinkt moeilijk en lastig, maar is ook niet direct de taak van jou als leraar. Ga daarom vóór het gebruik of aanschaf altijd eerst even langs bij je Teamleider, ICT- of de inkoopafdeling van je school. Vaak zullen deze je doorverwijzen naar een Privacy Officer of een ICT-coördinator. Ook kan de Functionaris Gegevensbescherming (FG) adviezen geven over een verwerking van persoonsgegevens.

Vragen over privacy

Waar kun je als leraar terecht met vragen over privacy? Scholen zijn wettelijk verplicht om een FG aan te stellen. Dit is een onafhankelijk en deskundig persoon, intern of extern, voor de school met als taak het informeren over de omgang met persoonsgegevens. Bij privacy vragen kun je natuurlijk altijd de Functionaris Gegevensbescherming (FG) raadplegen. Grotere scholen beschikken vaak ook over één of meerdere Privacy Officers. Deze kan hier ook behulpzaam bij zijn.

En anders zijn wij er nog…😊

Paul Deguelle is privacy adviseur bij PrivacyTeam. PrivacyTeam biedt alle ondersteuning rondom privacy en informatiebeveiliging voor meerdere sectoren zoals onderwijs, zorginstellingen, en de publieke sector. Meer weten? Bezoek https://www.privacyteam.nl/