Informatiebeveiliging en privacy

Elke school heeft de plicht om zorgvuldig om te gaan met de gegevens van personeel, ouders en leerlingen. In dit artikel staat informatie over hoe moet worden nagedacht over informatiebeveiliging en privacy en wat de rol van de medezeggenschapsraad (MR) is.

Normenkader voor scholen

Het Normenkader IBP is ontwikkeld in samenwerking met het onderwijs en op initiatief van het ministerie van OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad. En bestaat uit een set opgestelde set richtlijnen  die scholen en samenwerkingsverbanden helpt om de digitale veiligheid te vergroten.  Het doel is om een digitaal veilige omgeving te creëren waarin persoonsgegevens van leerlingen, ouders en medewerkers goed beschermd zijn en de continuïteit van het onderwijs gewaarborgd blijft.
Het normenkader IBP telt 69 normen op het vlak van informatiebeveiliging en 25 normen het beschermen van privacy. Elke norm bevat een toelichting waarom deze nodig is, maatregelen op verschillende volwassenheidsniveaus, voorbeeldmaatregelen en verwijzingen naar relevante wetten zoals de AVG. Kennisnet is de uitvoerende instantie die scholen hierbij ondersteunt. Op de website van Kennisnet staan de verschillen de fases van Het Groeipad en de te nemen interventies per fase beschreven. Elke school kan zo een eigen roadmap volgen. En een IBP opstellen dat aan alle normen voldoet.

Wat is informatiebeveiliging?

Met goede informatiebeveiliging wordt bedoeld dat scholen goed moeten regelen dat informatie die door de school wordt verwerkt, alleen kan worden ingezien door de personen die daartoe bevoegd zijn en een legitiem doel hebben. Dat houdt enerzijds in dat informatie niet gehackt moet kunnen worden door buitenstaanders, en anderzijds dat personen met toegang tot informatie deze toegang alleen gebruiken als het echt nodig is. Daarvoor behoren procedures te worden opgesteld over wie in welk geval waartoe toegang mag hebben. En controlemechanismen om te checken of dit goed gaat.

Van belang hierbij is ook de AVG. De zes beginselen van de AVG zijn: rechtmatigheid/behoorlijkheid/transparantie, doelbinding, dataminimalisatie, juistheid, opslagbeperking en vertrouwelijkheid/integriteit. Voor het onderwijs betekent dit dat de school alleen gegevens met een specifiek doel mag verzamelen en dat vooraf duidelijk moet zijn welk doel dit is, bijvoorbeeld als de wet dit vereist. Gegevens die niet meer nodig zijn, moeten worden verwijderd. Gegevens die oud zijn, moeten worden bijgewerkt. Welke gegevens wanneer worden gebruikt moet duidelijk zijn bij de schoolleiding én bij personeel, ouders en leerlingen. Bovendien moeten de gegevens goed beschermd zijn.

Wat is privacy?

Privacy is het recht om regie te houden over jouw eigen gegevens. Een school heeft namelijk veel gegevens van zowel personeel, ouders als leerlingen. Dit noemen we ook wel persoonsgegevens. De school moet daarom goed nadenken over welke gegevens er precies nodig zijn en hoe deze worden opgeslagen en veilig worden gehouden. Het moet voor iedereen van wie gegevens door de school worden gebruikt duidelijk zijn welke gegevens er worden gebruikt en met welk doel. In de Algemene verordening gegevensbescherming (AVG) staan hiervoor richtlijnen opgenomen.

In privacybeleid, ook wel de privacyverklaring genoemd, neemt de school op hoe er wordt omgegaan met persoonsgegevens van personeel, ouders en leerlingen. Zo staat er precies in welke gegevens er worden verzameld en waarom, hoe deze veilig worden gehouden, met wie de gegevens worden gedeeld en hoe misstanden kunnen worden gemeld. De privacyverklaring wordt openbaar op de website van de school geplaatst en in de schoolgids staat over het algemeen een link naar dit document opgenomen, zodat personeel, ouders en leerlingen kunnen lezen wat het privacybeleid is.

Rol van de MR

De geledingen van de MR hebben een instemmingsrecht met betrekking tot de regelingen over het verwerken van en de bescherming van persoonsgegevens voor die specifieke geleding (artikel 12 lid 1 sub m, artikel 13 lid 1 sub i, artikel 14 lid 2 sub f en artikel 14 lid 3 sub d WMS). De personeelsgeleding voor zover het persoonsgegevens van het personeel betreft, de oudergeleding voor zover het gegevens van ouders betreft en de leerlinggeleding voor zover het gegevens van leerlingen betreft.

Naast keuzes ten aanzien van het beschermen van persoonsgegevens, kunnen er ook andere besluiten worden genomen die raken aan het opslaan van informatie over bij de school betrokkenen. Bijvoorbeeld als het gaat om cameratoezicht of het gebruik van WiFi op school. De MR heeft een instemmingsrecht met betrekking tot het veiligheidsbeleid (artikel 10 sub e WMS), waar ook de veiligheid met betrekking tot zulke thema’s onder valt.

Meer weten over dit onderwerp?

Medezeggenschapsorganen en personen die lid zijn van de VOO kunnen elke schooldag contact opnemen met onze helpdesk met vragen over onderwijs en medezeggenschap. Verder hebben we een uitgebreid cursusaanbod en kunnen we begeleiden bij medezeggenschapskwesties.

Nog geen lid? Meer informatie over het lidmaatschap is op deze pagina te vinden, evenals de mogelijkheid om lid te worden. Naast contact met de helpdesk biedt het lidmaatschap voor medezeggenschapsorganen ook korting op alle cursussen en begeleiding, een gratis handboek voor nieuwe MR-leden en nog veel meer!