Rechten van betrokkenen
BetrokkenenDe personen van wie persoonsgegevens worden verwerkt. More zijn degenen van wie persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres. More worden verwerkt. Of het nu gaat om leerlingen, oudersWaar ouders staat worden de wettelijke vertegenwoordigers bedoeld: personen die de ouderlijke verantwoordelijkheid dragen voor het kind. Dit kunnen ook verzorgenden zijn. More of medewerkers. Volgens de Algemene Verordening Gegevensbescherming (AVG) hebben al deze mensen een aantal rechten als het gaat om wat je als school doet met die persoonsgegevens. Dat zijn de rechten van betrokkenen.
Het kan gebeuren dat een ouder op school graag inzageDe mogelijkheid die betrokkenen hebben om hun eigen persoonsgegevens in te zien of een overzicht te krijgen van de persoonsgegevens die worden verwerkt. More wil in het leerlingdossier van zijn of haar zoon of dochter. Of dat de administratie een verzoek binnen krijgt om informatie uit een dossier te schrappen. Kan dat zo maar? En waar moet je als school rekening mee houden bij dit soort verzoeken? Bij het verwerkenAlles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is dus onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen én uitwisselen. Het maakt dus niet uit wat je doet met persoonsgegevens: alles noemen we verwerken en valt onder de wettelijke bescherming. More en gebruiken van persoonsgegevens hebben leerlingen, hun ouders en medewerkers – de zogeheten betrokkenen – de volgende rechten:
- Recht op informatie
Als school moet je ouders, leerlingen en medewerkers informeren over wat je met hun persoonsgegevens doet en welke rechten ze daarbij hebben. - Recht op inzage
Ouders, leerlingen en medewerkers mogen hun eigen persoonsgegevens inzien. - Recht op rectificatie en correctie
Ouders, leerlingen en medewerkers mogen een school vragen onjuiste persoonsgegevens aan te passen. - Recht op vergetelheid
Ouders, leerlingen en medewerkers mogen persoonsgegevens laten verwijderen. Leerlingendossiers vormen hierop – gedeeltelijk – een uitzondering. - Recht op beperking van de verwerking
Als leerlingen en school onenigheid hebben over het verwerken van de persoonsgegevens. Bijvoorbeeld omdat de persoonsgegevens niet juist zijn of ouders, leerlingen en medewerkers van mening zijn dat de persoonsgegevens niet verwerk mogen worden. Dan mogen ouders, leerlingen en medewerkers vragen om persoonsgegevens – tijdelijk – niet meer te gebruiken. - Recht op dataportabiliteitDataportabiliteit betekent dat data overdraagbaar is aan een andere verwerkingsverantwoordelijke in een gestructureerde, gangbare en machineleesbare vorm. More
Leerlingen mogen hun persoonsgegevens meenemen naar een andere school. - Recht van bezwaar
Ouders, leerlingen en medewerkers mogen – in een aantal gevallen – bezwaar maken tegen het gebruiken van persoonsgegevens. - Recht met betrekking tot geautomatiseerde besluitvorming en profileringElke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen. More
Soms worden persoonsgegevens geautomatiseerd verwerkt en worden op basis daarvan besluiten genomen. Ouders, leerlingen en medewerkers mogen dat weigeren.
Let op: antwoorden op toetsen en examens en de bijbehorende beoordeling van een leraar zijn ook persoonsgegevens. De rechten van betrokkenen gelden hier dus ook voor. Meer informatie vind je op de pagina Digitaal toetsen.
Is het wettelijk verplicht?
Ja, volgens de AVG moet je leerlingen en hun ouders in de gelegenheid stellen gebruik te maken van hun rechten bij het verwerken van hun persoonsgegevens. Zijn leerlingen ouder dan 16 jaar? Dan mogen ze zelf gebruikmaken van die rechten. Zijn ze jonger dan 16 jaar? Dan maken hun ouders namens hun kinderen gebruik van die rechten.
Meer informatie vind je in artikel 7 en artikel 12-20 van de AVG. Raadpleeg het normenkader IBP po vo voor maatregelen die hierbij horen.
Let op: er zijn uitzonderingen waardoor de wettelijk plicht om betrokkenen in de gelegenheid stellen gebruik te maken van hun rechten bij het gebruiken en verwerken van hun persoonsgegevens niet geldt. Bijvoorbeeld in het geval van verdenking van misbruik of kindermishandeling.
Wie doet wat?
Bij het regelen van rechten van betrokken op school zijn verschillende rollen betrokken met elk hun eigen taken:
- Het schoolbestuurHet schoolbestuur is het bevoegd gezag en daarmee eindverantwoordelijk voor alles dat met IBP te maken heeft. More zorgt ervoor dat leerlingen, ouders en medewerkers hun rechten kunnen uitvoeren als het gaat om persoonsgegevens.
- De ict-coördinatorIn het po meestal betrokken bij de praktische uitvoering van IBP. Deze rol kan afhankelijk van het soort onderwijs (po of vo) en van de grootte van de organisatie, ook vervuld worden door een Privacy Officer, manager IBP, verantwoordelijke IBP, informatiemanager, Security Officer, functioneel beheerder, ict-beheerder of kwaliteitsmedewerker. More, Privacy OfficerIn het vo meestal betrokken bij de uitvoering van IBP. Deze rol kan ook afhankelijk van het soort onderwijs (po of vo) en van de grootte van de organisatie, ook vervuld worden door een manager IBP, verantwoordelijke IBP, informatiemanager, Security Officer, functioneel beheerder, ict-beheerder, ict-coördinator of kwaliteitsmedewerker. More of administratie stelt procedures op en handelt verzoeken om inzage af.
Meer weten over de rol- en taakverdeling voor IBP? Ga naar rollen en verantwoordelijkheden.
Aan de slag
Om ervoor te zorgen dat leerlingen en ouders gebruik kunnen maken van hun rechten rondom het verwerken van hun persoonsgegevens moet je een aantal procedures inrichten.
Stap 1 | Aanwijzen van een verantwoordelijke
Wijs iemand aan die verantwoordelijk is om verzoeken van betrokkenen te behandelen. Dat kan iemand van de administratie, een PrivacyHet recht om met rust te worden gelaten, om te weten en te bepalen wat er met gegevens over jou gebeurt en om te weten wie de beschikking heeft over jouw persoonsgegevens. More Officer, FG of een ict-coördinator zijn.
Stap 2 | Procedure
Leg in een procedure vast hoe het geven van inzage en het wijzigen, wissen, verwijderen of overdragen van persoonsgegevens in de praktijk werkt.
Stap 3 | Informeren
Informeer ouders en leerlingen op het moment dat zij – voor het eerst – persoonsgegevens actief en bewust gaan delen met de school over hun rechten en hoe ze er gebruik van kunnen maken. Leg uit welke persoonsgegevens worden vastgelegd of doorgegeven aan een andere instantie en waarom. Je kunt hier bijvoorbeeld verwijzen naar het privacyreglement of de privacyverklaring.
Tools en voorbeelddocumenten
Hou rekening met
Alleen inzage in eigen persoonsgegevens
Geef alleen inzage in de eigen persoonsgegevens. Staan er persoonsgegevens van anderen bij? Haal die informatie dan weg of scherm het af. Je kunt er in dit geval ook voor kiezen om geen inzage in de persoonsgegevens te geven. Is de betrokkene jonger dan 16 jaar? Dan mogen de ouders namens de betrokkene het inzagerecht uitoefenen. Het inzagerecht is dus eigenlijk van de jongere.
Reactietermijn
Een leerling of ouder moet binnen een maand na ontvangst van het verzoek tot inzage antwoord hebben gekregen. Lukt dat niet? Dan kun je je reactie op het verzoek maximaal 2 keer en iedere keer met maximaal 1 maand uitstellen. Je moet de leerling of ouder binnen een maand over dit uitstel een bericht sturen. Heb je na 3 maanden nog niet gereageerd? Dan ben je in gebreke. Een leerling of ouder kan dan een klacht indienen bij de Autoriteit PersoonsgegevensDe Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de wettelijke regels voor de bescherming van persoonsgegevens. More of naar de rechter stappen.
Kosten
Je mag voor inzage of een kopie van de persoonsgegevens geen kosten in rekening brengen. Wil een ouder of leerlingen meerdere kopieën ontvangen? Dan mag je daarvoor op basis van administratieve kosten wel een redelijke vergoeding vragen.
Persoonlijke aantekeningen en werkaantekeningen
Zijn er persoonlijke aantekeningen of werkaantekeningen gemaakt over een leerling? Dan horen die niet bij het dossier. Een ouder of leerling krijgt die aantekeningen niet te zien. Het moet dan wel gaan om persoonlijke aantekeningen die niet gedeeld zijn met collega’s en niet zijn vastgelegd in een leerlingadministratie of -volgsysteem. Als dat wel het geval is, vallen ze onder het inzagerecht.
Inzage bij verdenking misbruik of kindermishandeling
In één geval kan inzage in het leerlingendossier of andere persoonsgegevens worden geweigerd: als het in het belang van de betrokkene is om geen inzage te geven. Denk aan verdenking van misbruik of kindermishandeling. Het is dan in het belang van het kind om de ouders géén inzage te geven in die informatie te geven. Met deze uitzondering moet terughoudend worden omgegaan. Meer hierover lees je in het Afwegingskader bij de meldcode kindermishandeling.
