U bent hier

Mag een klassenfoto op de website van de school worden geplaatst?

Deze en vele vergelijkbare vragen worden door scholen regelmatig aan onze juridische helpdesk gesteld. Mede door de opkomst en de toename van de digitale middelen wordt het immers steeds makkelijker om informatie snel onder een grote doelgroep te verspreiden. Ook scholen krijgen hier vaker mee te maken, de mogelijkheden lijken tegenwoordig eindeloos. Echter, de praktijk leert dat scholen hierbij nog wel eens vergeten rekening te houden met de wettelijke kaders die hiervoor gelden. 

Wet bescherming persoonsgegevens

In dit artikel willen we daarom aandacht besteden aan een belangrijke wet, de Wet bescherming persoonsgegevens (Wbp). Een wet die in het onderwijs steeds meer aandacht krijgt en ook zeker behoeft, want wat veel scholen niet weten is dat het niet naleven van de regels vervelende gevolgen kan hebben, met zelfs boetes die kunnen oplopen tot ruim 8 ton.

We willen u met dit artikel inzicht verschaffen in deze complexe materie, mede aan de hand van een aantal praktijkvoorbeelden. We richten ons daarbij met name op leerlinggegevens, maar de uitgangspunten zijn op dezelfde manier van toepassing op personeelsgegevens.

Wanneer is de Wbp van toepassing?

De Wbp is van toepassing als persoonsgegevens worden ‘verwerkt’. Het verwerken van persoonsgegevens in de zin van de wet betreft eigenlijk elke handeling die ziet op persoonsgegevens, zoals het verzamelen, vastleggen, ordenen, verspreiden, opvragen, gebruiken, beschikbaar stellen en vernietigen hiervan. Deze definitie maakt dat de Wbp een erg ruim bereik heeft en op bijna elke situatie waarin iets met persoonsgegevens wordt gedaan van toepassing is. De uitzondering hierop betreft de verwerking van persoonsgegevens ten behoeve van persoonlijke, huishoudelijke of journalistieke doeleinden.

De handeling moet altijd zien op ‘persoonsgegevens’. Een persoonsgegeven is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Kortom, aan de hand van een gegeven dan wel gegevens moet een persoon te herleiden c.q. te identificeren zijn. Enkel de vermelding van een geboortedatum, zonder nadere informatie, kan in dit verband niet als persoonsgegeven worden gezien. Dit kan echter wel weer het geval zijn als dit bijvoorbeeld wordt gebruikt in combinatie met een adresgegeven. Per situatie moet dus bekeken worden of het om een persoonsgegeven in de zin van de Wbp gaat.

Wanneer is het toegestaan om persoonsgegevens te verwerken?

Artikel 8 van de Wbp bevat een aantal grondslagen op grond waarvan mag worden overgegaan tot verwerking van persoonsgegevens. Als een school persoonsgegevens van een leerling wil verwerken kan dit dus alleen als de verwerking kan worden gebaseerd op ten minste één van de in de Wbp genoemde grondslagen:

a) Ondubbelzinnige toestemming;

b) Gegevensverwerking is noodzakelijk voor de nakoming van een overeenkomst;

c) Gegevensverwerking is noodzakelijk om een wettelijke verplichting na te komen;

d) Gegevensverwerking is noodzakelijk ter vrijwaring van een vitaal belang van de betrokkene;

e) Gegevensverwerking is noodzakelijk voor de goede vervulling van een publiekrechtelijke taak door een bestuursorgaan;

f) Gegevensverwerking is noodzakelijk voor de behartiging van het gerechtvaardigd belang van de verantwoordelijke of van een derde tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Het verwerken van leerlinggegevens zal in veel gevallen gebaseerd kunnen worden op art. 8 sub b. Als ouders hun kind inschrijven op school komt daarmee als het ware een overeenkomst tot stand tussen de ouders en de school, waarmee de school de verantwoordelijkheid op zich neemt om het kind van onderwijs te voorzien. De school kan vervolgens enkel uitvoering geven aan deze taak als zij bepaalde leerlinggegevens verwerkt.

Uiteraard kunnen niet alle gegevensverwerkingen gebaseerd worden op art. 8 sub b. Verderop in dit artikel treft u aantal praktijkvoorbeelden aan waarbij de gegevensverwerking wordt gebaseerd op een andere grondslag.

Aan welke eisen moet de gegevensverwerking voldoen?

Naast het feit dat er een grondslag moet bestaan om de persoonsgegevens te mogen verwerken, kent de wet ook nog andere eisen waar de gegevensverwerking aan moet voldoen. 

Vereist is dat gegevens behoorlijk, zorgvuldig en in overeenstemming met de wet worden verwerkt. Ook mogen er enkel gegevens worden verzameld met een bepaald gerechtvaardigd doel. Dit doel (of deze doelen) dient duidelijk omschreven te worden voordat begonnen wordt met het verzamelen van gegevens. Bij elke gegevensverwerking zal vervolgens vastgesteld moeten worden of het verwerken van de persoonsgegevens nodig is om het doel te bereiken. Is het bijvoorbeeld mogelijk om een andere weg te bewandelen waardoor hetzelfde doel wordt bereikt en waarbij het niet nodig is om persoonsgegevens te verwerken of er wellicht minder persoonsgegevens verwerkt hoeven te worden? Ook betekent dit dat persoonsgegevens niet eindeloos bewaard mogen worden. Als bepaalde gegevens waarvoor geen wettelijke bewaarplicht geldt niet meer nodig zijn en hun waarde hebben verloren moeten ze worden verwijderd.

Zijn er nog andere verplichtingen waaraan ik moet voldoen op grond van de Wbp?

Naast de eisen die gesteld worden aan een verwerking kent de Wbp ook nog een aantal andere verplichtingen. Eén van deze verplichtingen is de meldingsplicht. Dit houdt in dat, indien er persoonsgegevens worden verwerkt, hiervan melding moet worden gemaakt bij de Autoriteit persoonsgegevens.

Voor gebruikelijke gegevensverwerkingen bestaan er echter vrijstellingen welke zijn vastgelegd in het Vrijstellingsbesluit. Zo is de meldingsplicht o.a. niet van toepassing voor gebruikelijke gegevensverwerkingen in het kader van de leerlingadministratie en de personeelsadministratie.

In het Vrijstellingsbesluit is ook de maximale bewaarperiode opgenomen van gegevens. Om gebruik te kunnen maken van de vrijstelling mogen gegevens dus ook niet langer worden bewaard. Een voorbeeld hiervan is het leerlingdossier. Deze gegevens dienen uiterlijk twee jaar nadat de leerling is uitgeschreven verwijderd te worden, tenzij sprake is van een wettelijke verplichting. Zo is bijvoorbeeld ten aanzien van de leerlingadministratie in het Bekostigingsbesluit vastgelegd dat deze gegevens minimaal 5 jaar bewaard moeten worden na uitschrijving.

Een andere verplichting die voortvloeit uit de wet is dat een betrokkene (i.c. ouders/leerlingen van 16 jaar of ouder) de verantwoordelijke (i.c. schoolbestuur) kan vragen of en zo ja welke persoonsgegevens over hem/haar worden verwerkt. Er bestaat dus een inzagerecht. Ook mag de betrokkene vragen om zijn gegevens te corrigeren (verbeteren, aan te vullen of te verwijderen). Een schoolbestuur is verplicht om deze verzoeken binnen vier weken te honoreren. Gegevens kunnen alleen gecorrigeerd worden als ze feitelijk onjuist, onvolledig of niet ter zake dienend zijn voor het doel waarvoor ze worden verwerkt of op andere wijze in strijd met de Wbp of een andere wet zijn verwerkt.

Een derde belangrijke verplichting die is opgenomen in de wet is dat het schoolbestuur passende technische en organisatorische maatregelen moet treffen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking tegen te gaan.

De Wbp toegelicht aan de hand van praktijksituaties

We hebben onze website van de school vernieuwd. Mogen we daarop ook de klassenfoto’s en de namen van leerlingen vermelden?

In dit voorbeeld wordt gesproken over klassenfoto’s en namen van leerlingen. De naam van een leerling betreft altijd een persoonsgegeven. Een klassenfoto kan ook persoonsgegevens bevatten als kinderen herkenbaar in beeld zijn gebracht. Als dit het geval is betreffen dit dus ook persoonsgegevens. Verwerking (plaatsing op de website) is dus enkel toegestaan als daar een grondslag (a t/m f van artikel 8) uit de Wbp voor bestaat.

Met andere woorden, als er geen toestemming is gegeven door de ouders van de leerling (of de leerling zelf als hij/zij 16 jaar of ouder is) dan zal vastgesteld moeten worden of sprake is van een gerechtvaardigd belang (de andere grondslagen bieden immers in deze situatie ook geen grondslag om de gegevens te mogen verwerken). Of sprake is van een gerechtvaardigd belang zal afhangen van de vraag of het belang van de school bij plaatsing van de foto’s en de namen groter is dan het privacybelang van de leerling. Dit zal naar alle waarschijnlijkheid in de meeste situaties niet het geval zijn. Plaatsing van de foto’s en de namen is dan dus zonder toestemming niet toegestaan.

Jeugdzorg/Veilig Thuis vraagt informatie op over een leerling. Ben ik verplicht om mee te werken?

Ook voor deze casus geldt dat er een grondslag moet zijn uit de Wbp. Geven de ouders toestemming dan is het geen probleem om de gevraagde informatie te verstrekken. Toestemming is niet altijd noodzakelijk. Op het moment dat er serieuze zorgen leven over de leerling, dan kan de school zowel gevraagd als ongevraagd informatie over de leerling verstrekken aan Jeugdzorg/Veilig Thuis voor zover dit noodzakelijk wordt geacht voor de behartiging van het gerechtvaardigd belang van de leerling, ook zonder toestemming van de ouders. In beginsel moet de school ouders hiervan wel vooraf op de hoogte stellen.

Echter, als de veiligheid van het kind of van een ander in het geding is of er haast geboden is, kan hierop een uitzondering worden gemaakt. Op het moment dat het specifiek om (een redelijk vermoeden van) kindermishandeling gaat, biedt artikel 5.2.6 van de Wet Maatschappelijke Ondersteuning 2015 (Wmo) zelfs een wettelijke basis voor de gegevensverstrekking. Dit artikel bepaalt namelijk dat een school informatie aan Veilig Thuis mag geven om de kindermishandeling te laten stoppen of een redelijk vermoeden van kindermishandeling te laten onderzoeken.

Een leerling verlaat de basisschool. Ouders zijn het niet eens met het opgestelde onderwijskundig rapport en willen geen toestemming geven om dit rapport te verstrekken aan de vervolgschool. Mag het rapport toch worden doorgegeven?

Ja, dit mag. In de Wet primair onderwijs is namelijk opgenomen dat een schooldirecteur van elke leerling die de school verlaat een onderwijskundig rapport moet opstellen ten behoeve van de ontvangende school. Het is dus niet nodig dat ouders toestemming geven voor het verstrekken van het onderwijskundig rapport aan de vervolgschool. Er bestaat in dit geval een wettelijke verplichting om het rapport aan de vervolgschool te overhandigen. De gegevensverwerking kan dus gebaseerd worden op art. 8 sub c Wbp.

Ouders hebben er bezwaar tegen dat de leerkracht van hun kind bepaalde zorgen die er leven m.b.t. hun kind, bespreekt met collega’s.

Mogen deze gegevens onderling worden uitgewisseld? Binnen de school vindt doorgaans veel overleg plaats over leerlingen. Van periodieke klasbesprekingen tot de bespreking van individuele leerlingen met specifieke problematiek. Deze verwerking van persoonsgegevens vindt zijn grondslag in het feit dat verwerking noodzakelijk is om de onderwijsovereenkomst die de school met de ouders heeft na te komen (art. 8 onder b Wbp). Dit is (in het Po en het Vo althans) geen fysieke overeenkomst, maar doordat de ouders hun kind op school hebben ingeschreven, is de school verantwoordelijk voor het geven van goed onderwijs aan en de begeleiding van de betreffende leerling.

Onderdeel van het geven van onderwijs aan en het begeleiden van leerlingen binnen de school is dat degenen die belast zijn met deze activiteiten of daarbij noodzakelijk zijn betrokken periodiek overleggen. Ter uitvoering van hun taak mogen zij de daarvoor noodzakelijke gegevens ontvangen. Een leerkracht mag dus overleg voeren over de leerling met bijvoorbeeld een duo-partner of een IB’er, die belast is met de begeleiding van een leerling.

Een leerkracht kan echter niet zomaar gegevens over de leerling verstrekken aan een collega van bijvoorbeeld een andere groep die op geen enkele wijze betrokken is bij het onderwijs aan en de begeleiding van de betreffende leerling. Ook derden kunnen belast zijn met onderwijs- en begeleidingsactiviteiten of daarbij noodzakelijk zijn betrokken. Zij zijn door de school ingeschakeld en hebben een taak binnen de reguliere ontwikkeling en begeleiding van leerlingen. Niet van belang is of deze derde, bijvoorbeeld een remedial teacher, in dienst is van de school of niet.

Een leerling van 17 jaar wil niet dat zijn ouders zijn dossier inzien. Dient de school zich hieraan te conformeren?

16 jaar is een belangrijke leeftijdsgrens in de Wbp. De leerling kan alleen een inzageverzoek m.b.t. de eigen persoonsgegevens indienen als hij/zij 16 jaar of ouder is. Op het moment dat de leerling jonger is dan 16 kunnen de wettelijk vertegenwoordigers (bijv. de ouders) een dergelijk verzoek doen. Een leerling van 17 jaar heeft dus het recht om zijn eigen dossier in te zien. Zijn ouders hebben op grond van de Wbp geen recht meer om het leerlingdossier van hun kind in te zien.

Echter, uit de Wpo en de Wvo vloeit voort dat de school verplicht is om de ouders, voogden of verzorgers te rapporteren over de vorderingen van de leerling zolang de leerling nog minderjarig is. Gelet op deze wettelijke verplichting (art. 8 onder c Wbp) dient de school in deze casus, ondanks het bezwaar van de leerling, de ouders toch inzage te geven in het leerlingdossier. Dit is echter wel beperkt tot informatie omtrent de vorderingen van het kind en geldt enkel zolang de leerling minderjarig is.

Daarnaast geldt dat in de meeste gevallen eventueel ook een beroep kan worden gedaan op het gerechtvaardigd belang (art. 8f). ‘De meeste gevallen’ omdat uiteraard elke keer een belangenafweging gemaakt dient te worden tussen het belang van de leerling en het belang van de ouders. Ouders dienen op grond van de het Burgerlijk Wetboek voor hun kinderen te zorgen, financieel zelfs tot hun kind 21 jaar is. In dat kader hebben ouders belang bij de informatie die is opgenomen in het leerlingdossier. Dit is dus breder dan enkel de informatie over de vorderingen.

Als de ouders echter niet meer betrokken zijn bij de opvoeding van het kind, zal het belang van de leerling hoogstwaarschijnlijk zwaarder wegen en kan een ouder niet met een beroep op het gerechtvaardigd belang om inzage vragen in het leerlingdossier.

Vragen over privacy, data en persoonsgegevens?

Aangezien privacy een zeer ruim onderwerp is, kunnen wij in dit artikel lang niet alles bespreken. Heeft u andere privacy vragen – bijv. informatievoorziening gescheiden ouders, datalekken – aarzel dan niet op contact op te nemen met onze juristen op de juridische helpdesk

Deze bijdrage is verzorgd door de juridische helpdesk van Verus. Mocht u vragen hebben over dit onderwerp of over andere vragen, schroom dan niet om contact met ons op te nemen. Bel ons op 0348 74 44 60 of stuur een e-mail naar helpdesk@verus.nl.

Dit artikel kwam tot stand in samenwerking met de juridische helpdesks van de ISBO, VBS, Verus, VGS en VOS/ABB. We werken met elkaar samen om ervaringen uit te wisselen en kennis te delen, met het doel de kwaliteit en eenduidigheid van onze adviezen te waarborgen. 
PO | VO | MBO | HBO | WO

Aanmelden voor de Verus nieuwsbrief

Iedere week het laatste nieuws uit het onderwijs