Privacy van leerlingen en AVG: hoe wij dat in de praktijk aanpakken

Een docent vindt een handige app waarmee leerlingen direct kunnen stemmen tijdens de les. De tool is gratis, werkt soepel en de leerlingen zijn enthousiast. Maar dan volgt die ene vraag: mag dit eigenlijk wel? Welke gegevens worden er vastgelegd, waar staan ze en hebben we hier afspraken over gemaakt? Het is een herkenbare situatie op veel scholen. De AVG is geen abstracte wet die ergens in een la ligt, maar iets dat dagelijks terugkomt zodra we ict in het onderwijs inzetten. In dit artikel delen wij hoe wij op onze school privacy van leerlingen vormgeven: van grondslagen en verwerkersovereenkomsten tot AI in de klas en digitale geletterdheid.

De AVG in het onderwijs: waar hebben we het eigenlijk over?

De Algemene Verordening Gegevensbescherming (AVG) is sinds 2018 van kracht en geldt ook voor scholen. Zodra wij persoonsgegevens van leerlingen verwerken — van namen en leerlingnummers tot toetsresultaten en foto’s — moeten we ons aan de regels houden. De Autoriteit Persoonsgegevens (AP) houdt hierop toezicht en heeft meerdere keren benadrukt dat scholen vaak nog stappen te zetten hebben, bijvoorbeeld op het gebied van beveiliging en het vastleggen van verwerkingen.

Binnen onze organisatie speelt de Functionaris Gegevensbescherming (FG) een centrale rol. De FG houdt intern toezicht op de naleving van de AVG, adviseert bij nieuwe projecten en is het aanspreekpunt voor vragen van docenten en ouders. Bij ons is de FG bereikbaar via een vast e-mailadres, zodat iedereen laagdrempelig een vraag kan stellen voordat een tool in gebruik wordt genomen.

Grondslagen voor gegevensverwerking in het onderwijs

Voor elke verwerking van persoonsgegevens hebben we een wettelijke grondslag nodig. In het onderwijs komen vooral deze grondslagen voor:

• Wettelijke verplichting: bijvoorbeeld het bijhouden van een leerlingadministratie of het doorgeven van gegevens aan DUO.
• Publieke taak: het verzorgen van onderwijs is een publieke taak, wat de basis vormt voor veel onderwijskundige verwerkingen.
• Toestemming: bijvoorbeeld voor het publiceren van een foto van een leerling in de schoolkrant of op de website.
• Gerechtvaardigd belang: in beperkte mate, bijvoorbeeld bij sommige beveiligingsmaatregelen.

Belangrijk is dat we per verwerking vastleggen welke grondslag geldt. Voor toestemming geldt bovendien dat deze vrijwillig, specifiek en intrekbaar moet zijn. Een leerling mag dus altijd ‘nee’ zeggen tegen het gebruik van een foto, zonder dat dit gevolgen heeft voor de les.

Rechten van leerlingen en ouders

Leerlingen en hun ouders hebben verschillende rechten. Ze mogen opvragen welke gegevens wij van hen verwerken, verzoeken om correctie of verwijdering, en bezwaar maken tegen bepaalde verwerkingen. Wij hebben hier een vaste procedure voor: een verzoek komt binnen bij de FG, die binnen een maand reageert. In de praktijk gaat het vaak om inzage in het leerlingdossier of om vragen over een specifieke app.

Veelvoorkomende privacyrisico’s bij ict in het onderwijs

In de dagelijkse praktijk lopen we tegen een aantal terugkerende risico’s aan. De meeste daarvan ontstaan niet uit kwade wil, maar uit gemak: een tool werkt goed, dus gebruiken we hem. Juist daarom is het belangrijk om vooraf stil te staan bij wat er met de gegevens gebeurt.

Gratis tools en verwerkersovereenkomsten

Veel populaire tools zoals Kahoot! en Quizlet bieden een gratis versie aan. Het probleem: bij die gratis varianten is niet altijd duidelijk wat er met leerlinggegevens gebeurt, en ontbreekt soms een verwerkersovereenkomst. Een verwerkersovereenkomst legt vast welke gegevens een leverancier namens ons verwerkt, met welk doel, hoe lang en met welke beveiliging. Zonder zo’n overeenkomst mogen wij geen persoonsgegevens van leerlingen invoeren. Onze vuistregel: geen verwerkersovereenkomst, geen leerlinggegevens. Waar mogelijk gebruiken we daarom varianten zonder persoonsgegevens, of kiezen we voor een alternatief dat wél aan de eisen voldoet.

Datalekken: wat doen we als het misgaat?

Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan of onbedoeld in handen van anderen komen. Denk aan een verloren USB-stick, een verkeerd geadresseerde e-mail of een gehackt account. Wij hanteren een vaste meldprocedure:

1. De medewerker meldt het incident direct bij de FG via het meldformulier.
2. De FG beoordeelt of er sprake is van een datalek en wat de impact is.
3. Bij een risico voor leerlingen of ouders melden we het lek binnen 72 uur bij de Autoriteit Persoonsgegevens.
4. We informeren betrokkenen als het lek hun gegevens raakt.
5. We registreren het lek en nemen maatregelen om herhaling te voorkomen.

Privacy en AI in de klas: nieuwe uitdagingen

De opkomst van AI-tools zoals ChatGPT heeft de discussie over privacy in het onderwijs in een stroomversnelling gebracht. Deze tools zijn krachtig en kunnen docenten en leerlingen ondersteunen, maar ze roepen ook nieuwe vragen op. Waar komt de data terecht? Wordt invoer gebruikt om modellen te trainen? En mogen leerlingen er zomaar hun eigen werk in stoppen?

AI-tools en leerlinggegevens: waar ligt de grens?

Onze grens is duidelijk: we voeren geen persoonsgegevens van leerlingen in bij publieke AI-tools. Geen namen, geen leerlingnummers, geen citaten uit dossiers. Bij tools die door de school zijn goedgekeurd, controleren we eerst of er een verwerkersovereenkomst is en of de leverancier voldoet aan de eisen van de Autoriteit Persoonsgegevens. Bij generatieve AI zoals ChatGPT geldt bovendien dat we transparant zijn naar ouders en leerlingen over wat we gebruiken en waarom.

Praktische afspraken voor AI in de klas

Om docenten houvast te geven, hebben we een aantal afspraken op papier gezet:

• Gebruik alleen AI-tools die door de school zijn goedgekeurd.
• Voer nooit persoonsgegevens of vertrouwelijke schoolinformatie in.
• Vraag bij twijfel altijd advies aan de FG of de ict-coördinator.
• Vermeld in de les dat AI wordt gebruikt en bespreek met leerlingen wat dat betekent.
• Leg bij toetsing vast hoe AI wel en niet mag worden ingezet.

Digitale geletterdheid en privacy: een gedeelde verantwoordelijkheid

Privacy is niet alleen een taak van de ict-coördinator of de FG. Elke docent, elke onderwijsassistent en elk lid van het managementteam heeft ermee te maken. Daarom koppelen wij privacy expliciet aan digitale geletterdheid. Leerlingen die begrijpen hoe hun gegevens worden gebruikt, zijn weerbaarder online. Docenten die weten welke afspraken gelden, kunnen met vertrouwen ict in het onderwijs inzetten.

Privacy als onderdeel van het curriculum

In onze lessen besteden we structureel aandacht aan digitale geletterdheid, met privacy als vast onderdeel. Denk aan opdrachten waarin leerlingen onderzoeken welke gegevens een app verzamelt, of discussies over de vraag waarom een gratis spel eigenlijk gratis is. Zo leren ze niet alleen de regels, maar ook het waarom erachter.

Samenwerken met ouders en leerlingen

We betrekken ouders actief bij ons privacybeleid, bijvoorbeeld via de ouderraad en tijdens informatieavonden. Ook organiseren we jaarlijks een leerlingenpanel waarin we bespreken welke tools zij gebruiken en hoe zij tegen privacy aankijken. Die inbreng gebruiken we om ons beleid bij te stellen. Zo wordt privacy iets van ons allemaal, in plaats van een papieren verplichting.

Concrete stappen voor een privacyvriendelijke leeromgeving

Hoe pak je dit nu concreet aan? Wij werken met een stappenplan dat we jaarlijks herhalen en bijstellen. Het begint bij een helder privacybeleid dat is afgestemd met de medezeggenschapsraad, en bij een actueel register van verwerkingen. Daarin staat per verwerking welke gegevens we gebruiken, waarom, hoe lang we ze bewaren en wie de verantwoordelijke is.

Checklist voor leermiddelen en apps

Voordat we een nieuw leermiddel of een nieuwe app invoeren, lopen we deze checklist langs:

• Is er een verwerkersovereenkomst met de leverancier?
• Welke persoonsgegevens worden verwerkt en is dat noodzakelijk?
• Waar staan de gegevens en hoe lang worden ze bewaard?
• Is er een privacyverklaring die begrijpelijk is voor ouders en leerlingen?
• Zijn er alternatieven zonder persoonsgegevens?
• Is de FG betrokken bij de beoordeling?

Monitoring en evaluatie met de onderwijsmonitor

Om te weten of ons beleid in de praktijk werkt, gebruiken we de onderwijsmonitor. Deze monitor helpt ons om jaarlijks te meten hoe het staat met ict in het onderwijs, digitale geletterdheid en het gebruik van leermiddelen. Door privacyvragen daarin mee te nemen, zien we waar het goed gaat en waar we moeten bijsturen. De uitkomsten bespreken we in het team en met de medezeggenschapsraad, zodat verbeteringen niet vrijblijvend blijven.

Veelgestelde vragen

Mogen we zomaar een gratis app zoals Kahoot! gebruiken in de les?

Niet zonder meer. Als er persoonsgegevens van leerlingen worden verwerkt en er is geen verwerkersovereenkomst, dan mag het niet. Gebruik de app alleen in een variant zonder persoonsgegevens, of kies een alternatief dat wel aan de eisen voldoet.

Wat doet een Functionaris Gegevensbescherming precies op school?

De FG houdt intern toezicht op de naleving van de AVG, adviseert bij nieuwe tools en projecten, behandelt vragen en verzoeken van ouders en leerlingen, en is het eerste aanspreekpunt bij een datalek. De FG is onafhankelijk gepositioneerd binnen de organisatie.

Mag ik ChatGPT gebruiken om lesmateriaal te maken?

Dat mag, zolang je geen persoonsgegevens van leerlingen invoert en de tool door de school is goedgekeurd. Wees ook transparant naar leerlingen en ouders over het gebruik van AI, en leg vast hoe AI wel en niet mag worden ingezet bij toetsing.

Wat moeten we doen als er een datalek is?

Meld het incident direct bij de FG. Die beoordeelt de ernst en meldt het lek indien nodig binnen 72 uur bij de Autoriteit Persoonsgegevens. Betrokkenen worden geïnformeerd als hun gegevens geraakt zijn.

Hoe betrekken we ouders bij privacy op school?

Door privacy structureel te agenderen, bijvoorbeeld via de ouderraad, informatieavonden en een begrijpelijke privacyverklaring. Ouders kunnen ook altijd een verzoek tot inzage of correctie doen via de FG.

Privacy is geen obstakel, maar een kans. Door bewust om te gaan met leerlinggegevens bouwen we aan vertrouwen tussen school, ouders en leerlingen, en creëren we een veilige digitale leeromgeving waarin ict in het onderwijs echt iets toevoegt. Met heldere afspraken, betrokkenheid van het hele team en monitoring via de onderwijsmonitor houden we dat niet alleen op papier, maar ook in de praktijk vol.