Privacy en AVG bij oudergesprekken
Een planningssysteem voor oudergesprekken verwerkt persoonsgegevens van minderjarigen. Dat maakt de papieren eromheen niet optioneel. Hieronder staat wat de AVG hier vraagt, en wat wij feitelijk vastleggen — inclusief wat er nog niet af is.
De school beslist, de leverancier voert uit
De school is verwerkingsverantwoordelijke: die bepaalt waarom en hoe er verwerkt wordt. De leverancier is verwerker en doet niets buiten die opdracht om. Dat klinkt formeel, maar het heeft een praktisch gevolg: een leverancier die met jouw leerlinggegevens zijn product wil verbeteren of modellen wil trainen, hoort daar expliciet toestemming voor te vragen — en die hoort hij niet te krijgen.
Grondslag
Doorgaans artikel 6 lid 1 sub e AVG: een taak van algemeen belang, binnen de wettelijke onderwijstaak. Toestemming past hier meestal niet — er is een afhankelijkheidsrelatie, en de gesprekken gaan ook door zonder.
Verwerkersovereenkomst
Verplicht op grond van artikel 28 AVG. Biedt jullie bestuur het model uit het Convenant Digitale Onderwijsmiddelen en Privacy aan, teken dan dat model: jullie functionaris hoeft dan geen nieuw contract te beoordelen.
DPIA
Bij gegevens van minderjarigen doorgaans aangewezen. De leverancier levert de technische inbreng; de school stelt hem vast. Wij hebben die inbreng klaarliggen, inclusief de risico's die niet zijn weg te nemen.
Het sterkste argument is de lijst die er niet is
Artikel 5 lid 1 sub c AVG vraagt om niet meer gegevens dan nodig. Bij een gesprekkenplanner is dat opvallend weinig. Onderstaande lijst is niet een selectie uit ons datamodel — het ís ons datamodel.
Wat we vastleggen
- Van de leerling: voornaam, achternaam, klas
- De koppeling leerling – docent, per ronde
- Van de ouder: optioneel een e-mailadres, alleen zelf ingevuld
- Optioneel een korte vraag, maximaal 500 tekens
- Van het ip-adres alleen een hash, nooit het adres zelf
Wat niet bestaat in het datamodel
- Adres, woonplaats, telefoonnummer
- Geboortedatum, geslacht, leerlingnummer, BSN
- Cijfers, verzuim, zorgindicaties
- Docentnotities over een leerling
- De naam van de ouder
Dat verschil is meer dan een belofte. Een veld dat niet in het schema staat kan niet per ongeluk gevuld worden bij een import, niet meekomen in een export, en niet vergeten worden bij het opruimen.
Een termijn die niet wordt uitgevoerd, is geen termijn
| Gegeven | Termijn | Hoe |
|---|---|---|
| Vraag en e-mailadres van de ouder | 30 dagen na de ronde | Dagelijkse taak om 03:15 |
| Oudersessies | 7 dagen | Database-TTL plus dezelfde taak |
| Uitnodigingscodes | Bij het sluiten van de ronde | Dagelijkse taak |
| Leerlingen, koppelingen, afspraken | 400 dagen | Ruim een schooljaar, zodat een oude ronde nog te openen is |
| Vastlegging van handelingen | 24 maanden | Bevat handelingen, geen leerlinggegevens |
De taak legt elke nacht vast hoeveel er is verwijderd en of de ronde slaagde. Mislukt hij, dan gaat er binnen een kwartier een alarm uit. Dat is geen theorie: het is één keer gebeurd door een ontbrekende database-index, en de bewaking is naar aanleiding daarvan ingericht.
Het vrije vraagveld
Er is één veld waarin per ongeluk bijzondere persoonsgegevens kunnen belanden: het vraagveld waarin een ouder kan opschrijven waar het gesprek over moet gaan. Schrijft iemand daar over de gezondheid van zijn kind, dan staat er een gezondheidsgegeven in een systeem dat daar niet voor bedoeld is.
Wat we eraan doen: een begrensde lengte, een expliciete melding bij het veld dat het voor gespreksonderwerpen is en niet voor vertrouwelijke informatie, verwijdering na dertig dagen, en de tekst komt nooit in de vastlegging terecht — daar staat alleen óf er een vraag was.
Dat verkleint het risico, het neemt het niet weg. Je kunt een ouder niet beletten te schrijven wat hij wil. Vindt jullie school dit te ver gaan, dan zet je het veld per ronde uit; dan verdwijnt het risico volledig en blijft de rest werken.
Wat er nog niet af is
Er is nog geen onafhankelijke pentest uitgevoerd. De databaseregels zijn geautomatiseerd getest — 36 tests, waarvan het merendeel toetst wat er niet mag — en de opzet is meermaals nagelopen, maar dat is iets anders dan een test door een derde partij.
Toetst jullie bestuur daarop, zeg het bij de aanvraag: dan plannen we er een in voordat de eerste echte ronde opengaat. Het leek ons beter dat je dit hier leest dan dat je het zelf moet vragen.
De volledige verwerkersovereenkomst met drie bijlagen en de DPIA met alle tien beoordeelde risico's sturen we op verzoek mee. Vraag ernaar in het bericht bij je aanvraag, dan krijgt jullie functionaris ze meteen.
Veelgestelde vragen
Is er een verwerkersovereenkomst nodig voor een gesprekkenplanner?
Ja. Zodra een leverancier persoonsgegevens van leerlingen verwerkt in opdracht van de school, is de school verwerkingsverantwoordelijke en de leverancier verwerker. Artikel 28 AVG verplicht dan tot een verwerkersovereenkomst.
Zonder getekende overeenkomst mag de verwerking niet plaatsvinden. Regel dit dus vóór de eerste echte ronde, niet erna.
Welke grondslag heeft de school hiervoor?
Doorgaans artikel 6 lid 1 sub e AVG: een taak van algemeen belang, in het kader van de wettelijke onderwijstaak. Contact met ouders over de vorderingen van de leerling hoort daarbij.
Toestemming is meestal niet passend: er is een afhankelijkheidsrelatie tussen school en ouder, en de gesprekken vinden ook plaats als een ouder geen toestemming geeft. De school stelt de grondslag zelf vast.
Is een DPIA verplicht?
Vaak wel. Het gaat om persoonsgegevens van minderjarigen, en kwetsbare betrokkenen is een van de criteria uit de richtsnoeren WP248. Twee criteria maken een DPIA doorgaans aangewezen; hier is er in elk geval één duidelijk aanwezig.
Bij twijfel is de DPIA de goedkopere keuze. Onze inbreng ligt klaar, dus het meeste werk is al gedaan.
Welke leerlinggegevens zijn echt nodig?
Voornaam, achternaam en klas, plus de koppeling tussen leerling en docent. Meer heeft een planner niet nodig om een gesprek in te plannen.
Bij ons bestaan de overige velden niet in het datamodel, dus ze kunnen ook niet per ongeluk gevuld raken bij een import uit het leerlingvolgsysteem.
Zelf uitproberen?
Je krijgt een eigen demo-omgeving waarin je alles kunt instellen. Binnen één werkdag antwoord, geen verplichtingen.