U bent hier

Wanneer is het toegestaan om persoonsgegevens te verwerken onder de AVG?

Op grond van de huidige Wet Bescherming Persoonsgegevens mogen alleen persoonsgegevens worden verwerkt als daarvoor een grondslag aanwezig is. Dit is onder de Algemene Verordening Gegevensbescherming (AVG), die per 25 mei 2018 in werking treedt, niet anders.

Als een schoolbestuur persoonsgegevens van een leerling of personeelslid wil verwerken dan mag dit alleen als de verwerking kan worden gebaseerd op ten minste één van de in art. 6 lid 1 van de AVG genoemde grondslagen. 

Deze grondslagen zijn:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; 
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; 
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; 
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; 
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; 
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

Voor elke verwerking geldt dus dat een van de hierboven genoemde grondslagen gebruikt moet kunnen worden, wil de verwerking rechtmatig zijn. 

Uitvoering van een overeenkomst 

Veel verwerkingen in het onderwijs zullen gebaseerd kunnen worden op art. 6 lid 1b van de AVG. Als ouders hun kind inschrijven op school, komt daarmee als het ware een overeenkomst tot stand tussen de ouders en de school, waarmee de school de verantwoordelijkheid op zich neemt om het kind van onderwijs te voorzien. De school kan vervolgens enkel uitvoering geven aan deze taak als zij bepaalde leerlinggegevens verwerkt. 

Hetzelfde geldt voor het verwerken van een groot deel van de gegevens van personeelsleden. Onderwijswerkgevers verwerken gegevens van hun personeelsleden om zo uitvoering te kunnen geven aan de arbeidsovereenkomst die gesloten is tussen werkgever en werknemer.

Schoolfoto op de website

Een ander voorbeeld waar u aan zou kunnen denken is het plaatsen van klassenfoto’s op de website van de school. Ook voor deze verwerking zal een grond aanwezig moeten zijn. Het vragen van toestemming aan de ouders vormt hiervoor de meest aangewezen weg (of de leerling zelf als hij/zij 16 jaar of ouder is). Wordt deze toestemming niet gegeven, dan kan de grondslag van het gerechtvaardigd belang (art. 6 lid 1f) misschien uitkomst bieden (de andere grondslagen bieden in deze situatie immers sowieso geen grondslag om gegevens te mogen verwerken). 

Of sprake is van een gerechtvaardigd belang zal afhangen van de vraag of het belang van de school bij plaatsing van de foto’s en de namen groter is dan het privacybelang van de betreffende leerling. Dit zal vrijwel nooit het geval zijn, waardoor het plaatsen van foto’s op de website van de school zonder toestemming in principe niet zal zijn toegestaan.

Wordt vervolgd…

Voor elke verwerking moet dus één van de hierboven genoemde grondslagen gebruikt kunnen worden. Maar daarnaast zal bij elke verwerking ook moeten worden voldaan aan een aantal basisbeginselen. In een volgend artikel gaan we hier nader op in.

PO | VO | MBO | HBO | WO

Aanmelden voor de Verus nieuwsbrief

Iedere week het laatste nieuws uit het onderwijs