Informatiebeveiliging en privacy

Laatst bijgewerkt op 14 augustus 2026

Scholen verwerken dagelijks persoonsgegevens van personeel, ouders en leerlingen en hebben de verantwoordelijkheid om hier zorgvuldig mee om te gaan. Informatiebeveiliging en privacy helpen om deze gegevens goed te beschermen en risico’s te beperken. Hieronder volgt meer over wat hierbij belangrijk is en welke rol de medezeggenschapsraad (MR) heeft.

Normenkader voor scholen

Het Normenkader Informatiebeveiliging en Privacy (IBP) is ontwikkeld in samenwerking met het onderwijs en op initiatief van het ministerie van OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad. Het bestaat uit richtlijnen die scholen en samenwerkingsverbanden helpen om de digitale veiligheid te vergroten. Het doel is om een digitaal veilige omgeving te creëren waarin persoonsgegevens van leerlingen, ouders en medewerkers goed worden beschermd en de continuïteit van het onderwijs wordt gewaarborgd. Het is overigens niet verplicht om dit normenkader op te volgen.

Het normenkader IBP bevat normen op het gebied van informatiebeveiliging en privacy. Iedere norm bevat een toelichting, maatregelen op verschillende volwassenheidsniveaus, voorbeeldmaatregelen en verwijzingen naar relevante wet- en regelgeving, zoals de AVG. Kennisnet ondersteunt scholen hierbij. Via het Groeipad IBP kunnen scholen bepalen welke stappen nodig zijn om toe te werken naar een informatiebeveiligings- en privacybeleid dat aan de normen voldoet.

Wat is informatiebeveiliging?

Informatiebeveiliging betekent dat een school ervoor zorgt dat informatie alleen toegankelijk is voor personen die hiervoor bevoegd zijn en deze informatie nodig hebben voor een legitiem doel. Dit betekent dat gegevens worden beschermd tegen ongeoorloofde toegang van buitenaf en dat medewerkers met toegang tot informatie deze alleen gebruiken wanneer dit noodzakelijk is. Hiervoor maakt de school afspraken over toegang tot gegevens en controleert zij of deze afspraken worden nageleefd.

De AVG speelt hierbij een belangrijke rol. De zes beginselen van de AVG zijn: rechtmatigheid, behoorlijkheid en transparantie, doelbinding, dataminimalisatie, juistheid, opslagbeperking en vertrouwelijkheid en integriteit. Voor scholen betekent dit onder andere dat persoonsgegevens alleen voor een duidelijk doel mogen worden verzameld, dat onnodige gegevens worden verwijderd en dat gegevens actueel en goed beschermd blijven.

Wat is privacy?

Privacy betekent dat mensen regie houden over hun eigen persoonsgegevens. Scholen beschikken over veel gegevens van personeel, ouders en leerlingen en moeten daarom zorgvuldig bepalen welke gegevens nodig zijn, waarvoor deze worden gebruikt en hoe deze worden opgeslagen en beschermd. De AVG bevat hiervoor richtlijnen en bepaalt onder andere welke rechten betrokkenen hebben.

In het privacybeleid, ook wel de privacyverklaring genoemd, beschrijft de school hoe wordt omgegaan met persoonsgegevens. Hierin staat welke gegevens worden verzameld, waarom deze nodig zijn, hoe ze worden beveiligd, met wie ze worden gedeeld en hoe betrokkenen eventuele zorgen of klachten kunnen melden. De privacyverklaring wordt openbaar gemaakt via bijvoorbeeld de website van de school en er wordt in de schoolgids meestal naar verwezen.

Rol van de MR

De verschillende geledingen van de MR hebben een instemmingsrecht op regelingen over het verwerken van en de bescherming van persoonsgegevens voor de eigen geleding (artikel 12 lid 1 sub m, artikel 13 lid 1 sub i, artikel 14 lid 2 sub f en artikel 14 lid 3 sub d WMS). De personeelsgeleding heeft dit recht voor persoonsgegevens van personeel, de oudergeleding voor persoonsgegevens van ouders en de leerlinggeleding voor persoonsgegevens van leerlingen.

Daarnaast kunnen besluiten worden genomen die invloed hebben op de veiligheid van informatie binnen de school, bijvoorbeeld bij cameratoezicht of het gebruik van wifi. De MR heeft een instemmingsrecht op het veiligheidsbeleid (artikel 10 sub e WMS), waaronder ook aspecten van informatiebeveiliging en privacy kunnen vallen.