Privacy

Laatst gewijzigd: 15-12-2016

Privacy is ook in het middelbaar beroepsonderwijs de laatste jaren een belangrijk thema geworden. Hoewel de privacywetgeving al sinds 2001 bestaat, is er door allerlei ontwikkelingen (waaronder verdergaande digitalisering, privacy-incidenten in de media maar ook een actievere rol van de autoriteit persoonsgegevens) een bewustwording op gang gekomen ten aanzien van de noodzaak tot het beschermen van de privacy van studenten, maar ook de eigen medewerkers.  

Dagelijks 'verwerkt' een mbo-school van vele studenten en medewerkers, gegevens die herleidbaar zijn tot de persoon. Op de mbo-school rust als ‘verantwoordelijke’ de verplichting zorgvuldig om te gaan met deze persoonsgegevens en daar ook transparant over te zijn naar de betrokkenen.

Privacy - Afbeelding van G4ll4Is, Flickr.com, CC-licentie

Wet bescherming persoonsgegevens

De wet bescherming persoonsgegevens bepaalt de spelregels waaraan de mbo-school zich moet houden bij de verwerking van persoonsgegevens. Verwerken is een verzamelbegrip voor alle handelingen die met persoonsgegevens plaats kunnen vinden, van verzamelen, gebruiken, bewaren tot vernietigen.  

Belangrijkste uitgangspunten waarmee de mbo-school in haar bedrijfsvoering rekening mee moet houden:

  1. Het verwerken van persoonsgegevens gebeurt op basis van een vooraf welbepaald doel en alleen voor zover noodzakelijk voor de realisatie van dat doel.
  2. De verwerking kent één van de grondslagen zoals opgesomd in de wet (bijvoorbeeld: toestemming van de student of ter uitvoering van de onderwijsovereenkomst).
  3. De mbo-school moet zorg dragen voor een adequate beveiliging van de persoonsgegevens.

Bij dit laatste punt raakt het thema privacy duidelijk aan het thema informatiebeveiliging. Besteedt een mbo-school de verwerking van persoonsgegevens uit, bijvoorbeeld doordat studentgegevens in een administratie- of leerlingvolgsysteem staan? Dan rust op de mbo-school ook de verplichting om via een zogenoemde bewerkersovereenkomst juridische afspraken te maken met degene die de verwerking doet: de 'bewerker'. Op deze wijze wordt vastgelegd wat de bewerker van de mbo school wel en niet mag met de persoonsgegevens en kan de mbo-school verlangen dat de bewerker dezelfde beveiliging van de gegevens garandeert.

Wet meldplicht datalekken

Sinds 1 januari 2016 is de Wet meldplicht datalekken ingevoerd. Dit betekent dat de mbo school een datalek (een inbreuk op de beveiliging van persoonsgegevens) moet melden aan de autoriteit persoonsgegevens wanneer dit leidt tot ernstig nadelige gevolgen voor de bescherming van persoonsgegevens of er een aanzienlijke kans bestaat dat dit gebeurt. Heeft een datalek waarschijnlijk ook ongunstige gevolgen voor de persoonlijke levenssfeer van de betrokkene dan moet de mbo-school het datalek ook aan deze betrokkene melden. Niet melden kan worden bestraft met een boete.

Met de invoering van de meldplicht datalekken is ook de boetebevoegdheid van de autoriteit persoonsgegevens uitgebreid. Op het niet naleven van de verplichtingen uit de Wet bescherming persoonsgegevens staan sinds 1 januari 2016 aanzienlijke boetes die kunnen oplopen tot een bedrag van € 820.000. De Autoriteit persoonsgegevens is bevoegd deze boetes uit te delen.

Algemene verordening gegevensbescherming

Een andere belangrijke ontwikkeling op het gebied van privacy is de komst van de Europese verordening op het gebied van gegevensbescherming. Deze verordening werkt rechtstreeks door in alle lidstaten en zal naar verwachting in 2018 in Nederland ingevoerd zijn. Voor de mbo-scholen betekent de komst van deze Verordening dat er van hen verwacht wordt dat zij hun privacy aantoonbaar op orde hebben. Dus het enkele feit dat de mbo-school privacybeleid heeft of een privacyreglement is niet voldoende. De mbo-school zal ook moeten kunnen aantonen dat dit beleid wordt nageleefd en geëvalueerd en bijgesteld waar nodig. Verder wordt met de AVG de rechten van betrokkenen aangescherpt, net als de (boete)bevoegdheden van de toezichthoudende autoriteiten.