Schoolgids en nieuwsbrief

Scholen publiceren jaarlijks een schoolgids. Daarnaast versturen veel scholen periodiek nieuwsbrieven of andere e-mailings aan oudersWaar ouders staat worden de wettelijke vertegenwoordigers bedoeld: personen die de ouderlijke verantwoordelijkheid dragen voor het kind. Dit kunnen ook verzorgenden zijn. More, verzorgers en leerlingen. Het is belangrijk dat je als school hierbij voorzichtig bent met het gebruik van persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres. More en met de plaats waarop je de schoolgidsen en nieuwsbrieven publiceert. Met web scraping kan content namelijk van je website worden gehaald en op plekken terechtkomen waar je er zelf geen controle meer over hebt.

Regelmatig duiken er berichten op over (vaak buitenlandse) organisaties die met ‘scrapingsoftware’ het internet afstruinen en zoveel mogelijk data verzamelen. Deze scrapers halen automatisch data uit openbaar gepubliceerde documenten. Scholen publiceren schoolgidsen en nieuwsbrieven regelmatig op het openbaar toegankelijke deel van hun website, waardoor deze informatie toegankelijk is voor alles en iedereen, en dus ook voor scrapers. Een grote hoeveelheid documenten is op deze manier gepubliceerd op buitenlandse websites, inclusief eventuele persoonsgegevens. Eenmaal gepubliceerd is die informatie daar bijna niet meer vanaf te krijgen. 

Een paar voorbeelden van hoe het mis gaat:  

• Je bent als school AVG-bewust te werk gegaan en hebt alle overbodige persoonsgegevens uit de schoolgids geweerd. Maar in oudere schoolgidsen stonden wél persoonsgegevens en die zwerven – door scraping – nog rond op het internet. 
• Je stuurt de ouders een nieuwsbrief: ‘Leraar [naam] van groep 5 is ook de komende tijd nog afwezig omdat hij moet aansterken na [x].’ Je verspreidt de nieuwsbrief via e-mail en plaatst een archief op de schoolwebsite. Als dit soort informatie voor iedereen vindbaar is op het internet (en eenmaal gescrapet nauwelijks van internet afgehaald kan worden), dan is dat schadelijk voor die persoon.  

Gelukkig zijn scholen zich door de AVG wel bewuster geworden van het gebruik van persoonsgegevens. Toch komt het ook nu nog voor dat documenten met onnodig veel persoonsgegevens openbaar worden gepubliceerd op een schoolwebsite.

Wat zegt de wet?

• In artikel 13 van de Wet op het primair onderwijs en in artikel 2.92 van de Wet op het voortgezet onderwijs staat welke informatie in de schoolgids moet staan. Dit is vooral algemene informatie over het beleid en de organisatie van de school; denk aan de gegevens van Scholen op de kaart. Oudere schoolgidsen hoeven niet online beschikbaar te blijven.
• De AVG geeft aan hoe je moet omgaan met persoonsgegevens.  Hiervoor zijn vijf vuistregels. Je mag persoonsgegevens alleen verwerkenAlles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is dus onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen én uitwisselen. Het maakt dus niet uit wat je doet met persoonsgegevens: alles noemen we verwerken en valt onder de wettelijke bescherming. More (publiceren) als dat nodig is voor een bepaald doel. Bijvoorbeeld: leerlingen en hun ouders of verzorgers moeten kunnen opzoeken wie de leraar Nederlands is, of aan wie je vragen kunt stellen over de school. Ook mogen niet meer gegevens worden verwerkt dan dat noodzakelijk is voor het doel. Je mag dus wel vermelden dat de juf van groep 5 afwezig is, maar niet vermelden dat dit komt door ziekte [x].

Wie doet wat?

Om scraping van schoolgidsen en nieuwsbrieven te voorkomen, is actie nodig van medewerkers met verschillende rollen:

• De schoolbestuurder is verantwoordelijk voor de publicatie van gegevens over de school en de mogelijkheden om veilig te e-mailen.
• De ict- of webcoördinator, Privacy OfficerIn het vo meestal betrokken bij de uitvoering van IBP. Deze rol kan ook afhankelijk van het soort onderwijs (po of vo) en van de grootte van de organisatie, ook vervuld worden door een manager IBP, verantwoordelijke IBP, informatiemanager, Security Officer, functioneel beheerder, ict-beheerder, ict-coördinator of kwaliteitsmedewerker. More of IBP-verantwoordelijke zorgt voor beveiliging van de website en (de inrichting van en voorlichting over) veilig e-mailen. Bijvoorbeeld door ervoor te zorgen dat schoolgidsen en nieuwsbrieven met veilige programma’s en oudercommunicatie-apps worden gemaakt en verspreid.
• De schoolleider of directeur heeft als taak te zorgen dat medewerkers weten welke informatie wel en niet in de schoolgids mag.

Wat kun je doen?

Oude schoolgidsen en nieuwsbrieven

1. Verwijder oude gidsen en nieuwsbrieven van de openbare onderdelen van de schoolwebsite.  
2. Vraag zoekmachinebedrijven (zoals Google) om oude links naar gevoelige informatie te verwijderen. Soms kan de hostingpartij van je schoolwebsite hiermee helpen. 
3. Dien bij de website waarop de informatie is gepubliceerd een verzoek in om de gegevens te verwijderen. Grote kans dat een reactie uitblijft, maar met dit verzoek kun je de Autoriteit PersoonsgegevensDe Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de wettelijke regels voor de bescherming van persoonsgegevens. More wel laten zien dat je geprobeerd hebt verspreiding van de gegevens te stoppen. 

Huidige en toekomstige schoolgidsen en nieuwsbrieven

• Bepaal of het nodig is om persoonsgegevens te vermelden in een schoolgids of nieuwsbrief. Als dit het geval is stel jezelf dan de vraag of het nodig is om deze gegevens op voor iedereen openbare plaats of document te zetten of dat het mogelijk is deze persoonsgegevens slechts in beperkte kring te delen. Bijvoorbeeld via een afgeschermd gedeelte van de website. 
• Schoon oude documenten aan het einde van het schooljaar op en voorkom een online verzameling van oude schoolgidsen, nieuwsbrieven of andere bestanden. 

Handige tools

• Maak je schoolgids met de module Vensters schoolgids. Dit is een gebruiksvriendelijke tool waarmee scholen een schoolgids samenstellen met bestaande schoolinformatie uit Vensters. De Vensters schoolgids bestaat uit onderdelen die er volgens de wet in moeten staan. Staat je school goed op scholenopdekaart.nl? Dan is het meeste werk voor de Vensters schoolgids al gedaan. 
• Communiceer met ouders en verzorgers via een veilige oudercommunicatie-app of ander geschikt platform.
• Gebruik CAPTCHA’s om geautomatiseerde toegang tot je website te voorkomen.   
• Maak een robots.txt-bestand aan. Dit is een bestand in de hoofdmap van de site waarin je aangeeft welke delen van je site niet toegankelijk moeten zijn voor crawlers van zoekmachines.