Klaas Pater (hoofd ICT-afdeling Pieter Zandt, Kampen), directeur Henrie Dokter (Groen van Prinstererschool, Kampen) en jurist Arnoud Engelfriet over privacyregels
Een leuke foto van leerlingen op de voorpagina van de schoolgids: heeft de school toestemming nodig om die te mogen plaatsen? Op de Pieter Zandt is tijdelijk gekozen voor de veiligste route. Sinds de invoering van de privacywet publiceert de school geen foto’s van leerlingen.
Een pasfoto, cijfers, maar ook een behandeltraject of een diagnose, het dossier van een leerling bevat gevoelige informatie. Toen Klaas Pater, hoofd van de ICT-afdeling op de Pieter Zandt, 23 jaar geleden op de scholengemeenschap begon met zijn werk, was het beschermen van gegevens al een belangrijk onderdeel van zijn taak. Niet dat er spannende pogingen zijn gedaan om het informatieprogramma Magister te hacken. ‘Het enige wat weleens is gebeurd, waren individuele pogingen van leerlingen die handig waren met computers en uit hobbyisme probeerden om rond te kijken in het systeem. Sinds vijftien jaar hebben we een reglement waarin staat wat
leerlingen wel en niet mogen doen.’
Ondanks dat het lijkt dat de scholengemeenschap weinig digitale inbraken hoeft te duchten, vindt Pater het een goede zaak dat de overheid privacyregels heeft vastgelegd in de Algemene verordening gegevensbescherming (AVG). Vanaf mei 2018 moeten organisaties hun gegevens conform die verordening bewaren. ‘De AVG borduurt voort op al langer bestaande regels. Het is goed om de privacy van leerlingen en werknemers te waarborgen. Al denk ik wel dat de AVG meer is ontstaan als reactie op de informatiehonger van commerciële websites en bedrijven als Google.’
Geen toestemming
Een concrete stap die de Pieter Zandt deed op weg naar mei 2018 was het aanstellen van een functionaris gegevensbescherming. Van andere reformatorische scholen in het voortgezet onderwijs weet Pater dat ze gezamenlijk iemand in dienst hebben genomen om die functie te vervullen. De Pieter Zandt nam Lumen Group in de arm om de school te adviseren in zaken over privacy.
Omdat de school nog geen toestemming heeft gevraagd van ouders om foto’s te gebruiken voor bijvoorbeeld pr-doeleinden, is met de docenten afgesproken dat er dit schooljaar zo min mogelijk foto’s worden gemaakt. Wel ontwikkelt de school een softwaremodule waarin ouders kunnen aangeven of personeel foto’s mag maken van hun kinderen. In die module wordt onderscheid gemaakt tussen bijvoorbeeld gebruik voor het fotojaarboek of voor de website van de school. ‘We moeten binnen die tool ook weer verschil maken tussen leerlingen onder en boven de zestien jaar, want de oudere leerlingen hebben hier zelf ook inspraak in.’
‘Wanneer een docent bijvoorbeeld video-interactiebegeleiding krijgt, is toestemming vragen aan ouders niet nodig’
Klaas Pater
Niet te krampachtig
Pater benadrukt dat scholen ook weer niet te krampachtig moeten omgaan met de privacywetgeving. Wanneer een school duidelijk aangeeft met welk doel een foto gemaakt wordt én daarnaar handelt, is er niet zoveel aan de hand, aldus de ICT’er. ‘Als een docent bijvoorbeeld video-interactiebegeleiding krijgt, is het niet nodig ouders toestemming te vragen om te filmen in de les. Het is gewoon een bedrijfsmatige toepassing.’
De verordening kent naast de regels over het vragen van toestemming ook regels over de opslag van gegevens en het recht om inzage te krijgen. ‘In al die jaren dat ik hier werk, heb ik nooit een vraag gekregen om inzage in leerling- of personeelsgegevens.’ Het aspect van “recht op vergetelheid” is iets waar volgens de ICT-coördinator nog aan gewerkt moet worden. ‘Eigenlijk is het net als met een papieren opslag of een boekenkast: als er genoeg ruimte is, laten we het staan. Het weggooien van dossiers is een administratieve aangelegenheid waar we nog mee aan de slag moeten.’
Een belangrijke rol in het handhaven van de privacyregels is weggelegd voor de docenten zelf, meent Pater. ‘Wanneer een docent Magister open heeft staan en vervolgens de klas uitloopt, is dat eigenlijk al een datalek. Leraren moeten hun computer afsluiten voor ze het lokaal verlaten. In nieuwsbrieven leggen we daar ook de nadruk op. De ketting is zo sterk als de zwakste schakel. We willen door bewustwording een basis creëren voor het juiste gebruik van gegevens.’
‘Voor een basisschool is de AVG wat zwaar aangezet’
De privacywet is volgens directeur Henrie Dokter van de Groen van Prinstererschool in Kampen wat zwaar aangezet voor basisscholen. ‘Bij het vernietigen van oude dossiers heb ik me weleens afgevraagd: gaat hier niet veel historie van de school verloren?’ Toch koos het bestuur van de Groen bewust voor een strakke invulling om zo te voldoen aan de eisen.
Voor het managementteam van de Groen van Prinsterer was er werk aan de winkel toen in mei 2018 de AVG werd ingevoerd. Dokter: ‘Vorig voorjaar zijn de managementassistent en ik naar bijeenkomsten van de VGS geweest over dit thema. We hebben gebruikgemaakt van het Handboek privacy, een boek van drie centimeter dik dat we van voor tot achter moesten invullen. We hebben overleg gehad met het bestuur over de termijnen waarbinnen leerlingendossiers vernietigd moeten worden. Privégegevens van leerlingen verwijderen we na twee jaar, gegevens over de inschrijving na vijf jaar. We wilden ons bewust zijn van onze keuzes en hebben zo goed mogelijk aan de eisen voldaan.’
‘Stel dat we een boek willen maken over het honderdjarig bestaan van de school, kunnen we dan nog genoeg informatie terugvinden?’
Henrie Dokter
Geen kinderfoto’s
De Kamper basisschool had al de gewoonte ouders om toestemming te vragen voor het gebruik van fotomateriaal. Op het aanmeldingsformulier van de school was een alinea opgenomen over toestemming voor het maken en gebruiken van foto’s van de leerlingen. De Groen van Prinsterer vraagt alleen bij de aanmelding van het kind toestemming. ‘Wanneer er iets verandert in de situatie van de ouders of het kind, is het natuurlijk altijd mogelijk voorkeuren te wijzigen’, zegt Dokter.
Dit jaar staan er voor het eerst geen foto’s van kinderen in de schoolgids. Ook de privénummers van leerkrachten staan er niet meer in. ‘We hebben een creatieve ontwerper die een leuke gids heeft weten te maken’, zo relativeert de directeur de afwezigheid van kindergezichten.
In ParnasSys veranderde de school de instellingen dusdanig, dat leerkrachten alleen informatie kunnen bekijken over hun eigen leerlingen. ‘Soms vinden collega’s dat wel lastig, bijvoorbeeld als ze willen kijken in dossiers van leerlingen die ze na de zomervakantie in de klas krijgen. We zijn daar nu iets soepeler in geworden, maar blijven wel werken volgens het “need to know”-principe. Leerkrachten moeten kunnen uitleggen waarom ze meer toegang willen.’ Ook vroeg de directeur de meesters en juffen om hun wachtwoorden minder eenvoudig te maken, zodat het hacken van ParnasSys moeilijker wordt.
Papierversnipperaar
Bij het verwijderen van oude gegevens gingen heel wat oude dossiers de papierversnipperaar in. ‘We hebben van de nood een deugd gemaakt en dat wat bewaard moest worden meteen gedigitaliseerd. Tegelijk vroeg ik me wel af: is het echt nodig om deze gegevens te vernietigen? Gaat er geen waardevolle historie van de school verloren? Stel dat we een boek willen maken over het honderdjarig bestaan van de school, kunnen we dan nog genoeg informatie terugvinden, zoals de gegevens van oud-leerkrachten die willen meewerken aan zo’n uitgave? Of zijn we dan afhankelijk van informatie die alleen in de hoofden van leerkrachten zit?’
De Groen van Prinstererschool heeft nog geen functionaris gegevensbescherming omdat het in mei 2018 niet meteen duidelijk was of een school daartoe verplicht was. ‘Nu we weten dat ook wij zo’n functionaris moeten hebben, denken we na of we dat gaan regelen via de VGS of op een andere manier.’
‘Terecht voorzichtig’
Arnoud Engelfriet, jurist op het gebied van privacy en ICT-recht, reageert op de aanpak van de beide Kamper scholen:
‘De scholen zijn terecht voorzichtig in het omgaan met foto’s van leerlingen. Als er toestemming gevraagd is voor het plaatsen van foto’s in de schoolkrant, mag een school die niet ook gebruiken voor de schoolgids. Het is belangrijk om het doel specifiek te formuleren en je er daarna ook aan te houden.
De AVG eist dat je data verwijdert, tenzij je kunt rechtvaardigen dat die nog nodig zijn. Een schoolarchief voor historische doeleinden is een gerechtvaardigd belang, maar dan moet een school die foto’s vervolgens wel alleen voor het archief gebruiken en niet bijvoorbeeld verkopen als een Stockfoto.’
