Privacy en beveiliging bijwagen op scholen

Ouders Online duikt een eerder dit jaar al gepresenteerd rapport van PwC op, gemaakt voor het ministerie van onderwijs. Dat er maar geen ruchtbaarheid aan gaf. De reden laat zich raden. De samenvattende conclusies luiden

* De scholen in het onderzoek passen de Wet Bescherming Persoonsgegevens toe op basis van “gezond verstand”. Dit omvat in de eerste plaats de aard en hoeveelheid gegevens die worden vastgelegd;

* De precieze eisen die de Wet Bescherming Persoonsgegevens stelt t.a.v. de verwerking zijn bij geen van de door ons geïnterviewde instellingen bekend;

* We hebben enkele malen kunnen waarnemen dat deze scholen gegevens vastleggen die niet strikt noodzakelijk zijn en mogelijk zelfs strijdig met de Wbp zijn, overigens met de beste bedoelingen voor het welzijn van de leerling.

* De scholen in het onderzoek passen ook beveiligingsmaatregelen toe binnen hun invloedssfeer op basis van “gezond verstand”. Deze maatregelen worden getroffen op basis van ervaring en incidenten;

* Het is onduidelijk in hoeverre de leveranciers (bijvoorbeeld de ICT-leveranciers die de infrastructuur beheren) voldoende maatregelen hebben getroffen, en of deze effectief functioneren;

* De scholen in het onderzoek hebben hier beperkt inzicht in en de leveranciers verantwoorden zich niet proactief.

* De markt voor Leerlingvolgsystemen en Digitale Leermiddelen is in handen van een klein aantal leveranciers. De scholen hebben niet voldoende gewicht om tegenwicht aan leveranciers te bieden en eisen te stellen t.a.v. privacy en beveiliging;

* De leveranciers van Leerlingvolgsystemen en Digitale Leermiddelen verwerken gegevens over bijvoorbeeld leerlingen en docenten. Het is onduidelijk hoe deze gegevens gebruikt worden, met welke partijen deze gegevens worden gedeeld en hoe deze gegevens adequaat worden beschermd;

* De beschikbare documentatie zoals privacy statements laten hiertoe ruimte. Er kan worden gesteld dat er een commercieel belang is om breder gebruik te maken van data;

* De risico’s die uit deze bevindingen voortvloeien moeten ook worden beschouwd in het licht van de volgende ontwikkelingen. Deze ontwikkelingen zullen naar onze verwachting de risico’s voor de toekomst vergroten:

1) Het gebruik van ICT-middelen door onderwijsinstellingen zal in de toekomst toenemen, en daarmee ook de data die verzameld (kunnen) worden over betrokkenen (leerlingen, docenten en ouders). De scholen moeten met het oog op toekomstige ontwikkelingen (bijvoorbeeld Passend Onderwijs) meer en meer gevoelige gegevens vastleggen.

2) De technische mogelijkheden om grote hoeveelheden data te combineren en te analyseren, en hieruit zinvolle informatie over individuele personen te destilleren nemen toe.

3) De gesprekken geven aan dat deze ontwikkeling bij scholen en bij de overheid nog in de kinderschoenen staat, het gebruik door leveranciers is niet bekend. Het is onze verwachting dat deze ontwikkeling zich zeker en in snel tempo zal doorzetten, zowel bij onderwijsinstellingen als bij leveranciers.

4) Het belang wordt door de onderzochte instellingen erkend. Het ontbreekt bij hen aan tijd en capaciteit om zich in de materie te verdiepen en additionele capaciteiten zoals regievoering op leveranciers in te richten.

5) Wij zien hier een rol voor koepelorganisaties en belangenorganisaties zoals Kennisnet om een voortrekkersrol in te nemen. Daarnaast is het van belang om de sector PO en VO bewust te maken van privacy en beveiliging, en hen de praktische handreikingen te geven om hun rol als Verantwoordelijke zoals die is omschreven in de Wbp te kunnen nemen.

6) Daarnaast zijn er activiteiten (zoals toezicht op leveranciers) die het best sectorbreed kunnen worden aangepakt.

Verder lezen bij Ouders.nl en in het rapport