Een ouder vraagt om inzage in het leerlingdossier van zijn kind. Een leerling wil weten welke informatie de school over hem heeft vastgelegd. Een oud-medewerker vraagt welke persoonsgegevens na zijn vertrek nog worden bewaard. Ook kan een ouder na een conflict met school willen weten welke e-mails, gespreksverslagen en interne notities over zijn kind zijn opgesteld.
Voor onderwijsorganisaties zijn dit herkenbare situaties. Scholen verwerken dagelijks veel persoonsgegevens van leerlingen, ouders en medewerkers. Deze informatie staat verspreid over leerlingadministratiesystemen, digitale leerlingdossiers, e-mailomgevingen, personeelsdossiers en andere applicaties.
Op grond van de Algemene verordening gegevensbescherming (AVG) hebben betrokkenen het recht om inzage te krijgen in hun persoonsgegevens. Een onderwijsorganisatie moet dergelijke verzoeken zorgvuldig en binnen de wettelijke termijn behandelen.
De Functionaris Gegevensbescherming (FG) speelt hierbij een belangrijke rol. Vanuit zijn onafhankelijke positie adviseert de FG over de toepassing van de AVG en houdt hij toezicht op de manier waarop de onderwijsorganisatie inzageverzoeken afhandelt.
In deze blog bespreken we hoe onderwijsorganisaties inzageverzoeken kunnen behandelen, welke aandachtspunten daarbij spelen en hoe de FG bijdraagt aan een zorgvuldig en goed georganiseerd proces.
Wat is een inzageverzoek volgens de AVG?
Het recht op inzage is vastgelegd in artikel 15 AVG. Dit recht geeft betrokkenen de mogelijkheid om te controleren welke persoonsgegevens een organisatie verwerkt en wat daarmee gebeurt.
Binnen het onderwijs kan een inzageverzoek betrekking hebben op persoonsgegevens van:
- Leerlingen en studenten.
- Ouders en wettelijk vertegenwoordigers.
- Medewerkers en oud-medewerkers.
- Sollicitanten.
- Andere personen van wie de onderwijsorganisatie persoonsgegevens verwerkt.
Een verzoeker hoeft in beginsel geen reden te geven voor het verzoek. Ook hoeft iemand niet precies te weten in welke systemen de persoonsgegevens zijn opgeslagen.
De onderwijsorganisatie moet onderzoeken welke persoonsgegevens onder het verzoek vallen en welke informatie zij moet verstrekken.
Welke persoonsgegevens vallen onder het inzagerecht?
Bij een leerling kunnen persoonsgegevens onder andere voorkomen in:
- Het leerlingadministratiesysteem.
- Het leerlingdossier en ontwikkelingsperspectief.
- Rapportages over leerresultaten en ontwikkeling.
- Verslagen van oudergesprekken en leerlingbesprekingen.
- Registraties van incidenten en verzuim.
- E-mailcorrespondentie over de leerling.
- Digitale leeromgevingen.
- Ondersteunings- en begeleidingsdossiers.
Ook beoordelingen, observaties en meningen van medewerkers over een leerling kunnen persoonsgegevens zijn. Dat betekent dat een inzageverzoek verder kan reiken dan het officiële leerlingdossier.
Wie mag inzage vragen in een leerlingdossier?
In het onderwijs vraagt de leeftijd van de leerling bijzondere aandacht. De onderwijsorganisatie moet beoordelen wie het inzagerecht mag uitoefenen en of de verzoeker bevoegd is om namens de leerling op te treden.
Volgens de Autoriteit Persoonsgegevens gelden voor het leerlingdossier de volgende uitgangspunten:
- Leerlingen jonger dan 12 jaar: de wettelijk vertegenwoordiger kan namens het kind inzage vragen.
- Leerlingen van 12 tot 16 jaar: zowel de leerling als de wettelijk vertegenwoordiger heeft recht op inzage.
- Leerlingen vanaf 16 jaar: de leerling oefent het inzagerecht zelfstandig uit. Ouders hebben niet automatisch recht op inzage op grond van de AVG.
Bij een verzoek van ouders moet de school ook controleren of zij daadwerkelijk bevoegd zijn om het kind te vertegenwoordigen.
Dit kan extra aandacht vragen bij gescheiden ouders, situaties waarin het ouderlijk gezag ter discussie staat of wanneer er sprake is van een conflict tussen ouders.
Daarnaast kunnen andere wettelijke regels van toepassing zijn, bijvoorbeeld regels over informatieverstrekking aan ouders vanuit het onderwijsrecht.
De FG kan adviseren over de juridische kaders en aandachtspunten bij dergelijke verzoeken. De onderwijsorganisatie blijft verantwoordelijk voor de uiteindelijke beoordeling en beslissing.
Hoe behandelt een onderwijsorganisatie een inzageverzoek?
Een duidelijke procedure helpt scholen om inzageverzoeken zorgvuldig, volledig en tijdig af te handelen.
- Herken en registreer het inzageverzoek.
- Controleer de identiteit en bevoegdheid.
- Bepaal welke gegevens onder het verzoek vallen.
- Beoordeel de informatie en bescherm de privacy van anderen.
- Verstrek de gegevens op een veilige manier.
Soms is een overzicht van de persoonsgegevens voldoende. In andere situaties is het noodzakelijk om documenten of relevante passages te verstrekken, zodat de betrokkene de gegevens goed kan begrijpen.
Naast de persoonsgegevens moet de organisatie onder meer informatie verstrekken over:
- De doeleinden van de verwerking.
- De categorieën persoonsgegevens.
- De ontvangers of categorieën ontvangers.
- De bewaartermijnen.
- De herkomst van de gegevens, wanneer deze niet rechtstreeks bij de betrokkene zijn verzameld.
- De overige privacyrechten.
- Het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
- Eventuele doorgifte buiten de Europese Economische Ruimte.
- Eventuele geautomatiseerde besluitvorming, voor zover van toepassing.
De persoonsgegevens moeten vervolgens via een passend beveiligde methode worden verstrekt. Bij gevoelige leerlinggegevens kan bijvoorbeeld gebruik worden gemaakt van een beveiligde digitale omgeving.
Binnen welke termijn moet een school reageren?
Op grond van artikel 12 lid 3 AVG moet een onderwijsorganisatie in beginsel binnen één maand na ontvangst van het verzoek reageren.
Bij ingewikkelde verzoeken of een groot aantal verzoeken van dezelfde betrokkene kan de termijn onder voorwaarden met maximaal twee maanden worden verlengd.
De verzoeker moet binnen de eerste maand worden geïnformeerd over de verlenging en de redenen daarvoor. Voor scholen is termijnbewaking een belangrijk aandachtspunt.
Een verzoek kan bijvoorbeeld vlak voor een schoolvakantie binnenkomen. De wettelijke termijn blijft dan gewoon doorlopen. Daarom is het verstandig om de behandeling van inzageverzoeken centraal te organiseren en duidelijke vervangingsafspraken te maken.
Praktijkvoorbeeld: ouders vragen inzage na een conflict op school
Een leerling in het voortgezet onderwijs is betrokken geweest bij meerdere incidenten. Na gesprekken met de mentor en afdelingsleider ontstaat er een conflict tussen de ouders en de school.
De ouders vragen vervolgens om alle persoonsgegevens die over hun 13-jarige zoon zijn vastgelegd.
Het verzoek heeft betrekking op:
- Het leerlingdossier.
- Incidentregistraties.
- Gespreksverslagen.
- Correspondentie tussen de mentor en schoolleiding.
- Interne notities over de begeleiding.
- Informatie die met externe betrokkenen is gedeeld.
Tijdens het onderzoek blijkt dat verschillende medewerkers eigen aantekeningen hebben gemaakt. Ook staan er gegevens in e-mails die niet zijn opgenomen in het officiële leerlingdossier.
Welke aandachtspunten spelen hierbij?
De school moet vaststellen welke gegevens betrekking hebben op de leerling en welke informatie onder het inzagerecht valt. Ook moet worden beoordeeld of de documenten persoonsgegevens van andere leerlingen bevatten. De school moet bij de afhandeling rekening houden met de bescherming van de rechten en vrijheden van anderen.
Welke rol heeft de FG?
De FG kan vanuit zijn onafhankelijke positie:
- Adviseren over de toepassing van artikel 15 AVG.
- Aandachtspunten signaleren bij de afbakening van het verzoek.
- Adviseren over de bescherming van persoonsgegevens van andere leerlingen en medewerkers.
- Toezien op de naleving van wettelijke termijnen.
- Controleren of de procedure in overeenstemming met de AVG wordt uitgevoerd.
- Het schoolbestuur adviseren wanneer juridische of organisatorische knelpunten ontstaan.
De FG neemt de verantwoordelijkheid van het schoolbestuur hierbij niet over. Het schoolbestuur moet ervoor zorgen dat het verzoek op de juiste manier wordt behandeld en dat de betrokkene een zorgvuldig antwoord ontvangt.
De rol van de FG bij inzageverzoeken in het onderwijs
De Functionaris Gegevensbescherming heeft op grond van artikel 39 AVG een onafhankelijke, adviserende en toezichthoudende rol. Binnen een onderwijsorganisatie betekent dit dat de FG onder meer toezicht houdt op de manier waarop privacyrechten zijn georganiseerd en worden uitgevoerd. Bij inzageverzoeken richt de FG zich bijvoorbeeld op de volgende onderwerpen.
Toezicht op het proces
De FG beoordeelt of de onderwijsorganisatie beschikt over een duidelijke procedure voor het behandelen van inzageverzoeken. Daarbij kijkt de FG naar de taakverdeling, registratie, termijnbewaking en wijze van afhandeling.
Adviseren bij complexe verzoeken
Sommige inzageverzoeken vragen om een aanvullende juridische beoordeling. Dit speelt bijvoorbeeld bij conflicten tussen ouders en school, verzoeken van gescheiden ouders, persoonsgegevens van andere leerlingen of interne beoordelingen. De FG kan adviseren over de wettelijke kaders en de belangen die bij de beoordeling moeten worden betrokken.
Signaleren van structurele privacyrisico’s
Een inzageverzoek kan zichtbaar maken dat persoonsgegevens op verschillende plaatsen worden bewaard of dat medewerkers onvoldoende bekend zijn met de geldende procedures. De FG kan dergelijke bevindingen meenemen in zijn toezicht en hierover aanbevelingen doen aan het schoolbestuur.
Rapporteren aan het bestuur
Wanneer inzageverzoeken regelmatig te laat worden afgehandeld of structurele tekortkomingen zichtbaar worden, kan de FG deze signalen bespreken met het bestuur. Daarmee ondersteunt de FG het bestuur bij het verbeteren van de naleving van de AVG.
Samenwerking tussen de FG, Privacy Officer en het schoolbestuur
Voor een goede afhandeling van inzageverzoeken is er een goede samenwerking nodig binnen de onderwijsorganisatie. De verantwoordelijkheden moeten daarbij duidelijk zijn.
Het schoolbestuur
Het schoolbestuur is als verwerkingsverantwoordelijke verantwoordelijk voor de naleving van de AVG en de afhandeling van inzageverzoeken.
De Privacy Officer of IBP-medewerker
De Privacy Officer of IBP-medewerker kan de praktische behandeling coördineren. Denk aan het registreren van verzoeken, verzamelen van gegevens, bewaken van termijnen en voorbereiden van antwoorden.
De schoolleiding en medewerkers
De schoolleiding en betrokken medewerkers ondersteunen bij het identificeren en verzamelen van relevante persoonsgegevens.
De Functionaris Gegevensbescherming
De FG adviseert onafhankelijk over de toepassing van de privacywetgeving en houdt toezicht op de naleving daarvan. Deze taakverdeling helpt om de onafhankelijke positie van de FG te waarborgen en de verantwoordelijkheid voor de uitvoering op de juiste plaats te beleggen.
Wat kan een school leren van een inzageverzoek?
Door een inzageverzoek wordt vaak duidelijk hoe de onderwijsorganisatie in de praktijk met persoonsgegevens omgaat en waar verbeteringen nodig zijn.
Persoonsgegevens staan verspreid over systemen
Wanneer medewerkers veel tijd nodig hebben om gegevens te verzamelen, kan dit wijzen op onduidelijkheid over de gebruikte systemen en verwerkingen. Een actueel verwerkingsregister en goede afspraken over dossierbeheer helpen om persoonsgegevens sneller terug te vinden.
Bewaartermijnen zijn onvoldoende vastgelegd
Soms blijkt tijdens een inzageverzoek dat gegevens langer worden bewaard dan noodzakelijk. Dat kan aanleiding zijn om het bewaarbeleid en de uitvoering daarvan te beoordelen.
Medewerkers kennen de procedure onvoldoende
Een inzageverzoek dat lange tijd in een mailbox blijft liggen, laat zien dat medewerkers mogelijk onvoldoende bekend zijn met de procedure. Gerichte privacy-awareness helpt medewerkers om verzoeken tijdig te herkennen en door te zetten.
De taakverdeling is onduidelijk
Wanneer verschillende afdelingen naar elkaar verwijzen, kan dit wijzen op ontbrekende afspraken over verantwoordelijkheden. De FG kan deze knelpunten signaleren en aanbevelingen doen voor verbetering.
Een vaste procedure voor inzageverzoeken
Onderwijsorganisaties doen er goed aan om de behandeling van inzageverzoeken vast te leggen in een duidelijke procedure.
Daarin staan bijvoorbeeld afspraken over:
- Het ontvangen en herkennen van verzoeken.
- De registratie en termijnbewaking.
- Het controleren van identiteit en bevoegdheid.
- Het verzamelen van relevante persoonsgegevens.
- Het beoordelen van gegevens van derden.
- De juridische beoordeling van eventuele beperkingen.
- Het veilig verstrekken van de informatie.
- Het vastleggen van de afhandeling.
- Het betrekken van de FG bij complexe vraagstukken.
Een dergelijke procedure geeft medewerkers houvast en ondersteunt het schoolbestuur bij de naleving van de AVG.
De FG kan vanuit zijn toezichthoudende rol beoordelen of de procedure aansluit bij de wettelijke vereisten en in de praktijk goed functioneert.
Externe FG-dienstverlening voor onderwijsorganisaties
Een Functionaris Gegevensbescherming moet beschikken over voldoende deskundigheid, onafhankelijkheid en kennis van de organisatie waarop hij toezicht houdt.
Binnen het onderwijs vraagt dit om inzicht in de AVG en de specifieke processen waarmee scholen te maken hebben. Denk aan leerlingdossiers, ouderrechten, passend onderwijs, digitale leermiddelen, informatiebeveiliging en gegevensuitwisseling met externe partijen. Voor schoolbesturen kan het aanstellen van een externe FG een passende oplossing zijn.
De Privacy Experts ondersteunt onderwijsorganisaties met externe FG-dienstverlening
Onze FG’s beschikken over kennis en ervaring binnen het onderwijs en zijn bekend met de privacyvraagstukken die spelen binnen schoolbesturen en onderwijsinstellingen. Daarbij besteden we aandacht aan de samenwerking tussen het bestuur, de Privacy Officer, IBP-medewerkers en andere betrokken functionarissen. De FG-dienstverlening sluit aan bij de omvang, inrichting en specifieke behoeften van de onderwijsorganisatie.
Een onafhankelijke FG als vaste gesprekspartner
Een externe FG biedt het schoolbestuur toegang tot specialistische kennis en onafhankelijk toezicht. Door de organisatie en haar processen te leren kennen, kan de FG ontwikkelingen volgen, risico’s tijdig signaleren en gericht adviseren.
Ook bij complexe inzageverzoeken is het waardevol om te beschikken over een vaste FG die bekend is met de organisatie, haar systemen en de interne verantwoordelijkheden.
Zorgvuldig omgaan met inzageverzoeken vraagt om duidelijke verantwoordelijkheden
Inzageverzoeken maken onderdeel uit van de dagelijkse privacypraktijk binnen het onderwijs. Ze vragen om een zorgvuldige beoordeling van persoonsgegevens, wettelijke rechten en de belangen van betrokkenen. Een goed ingericht proces helpt scholen om verzoeken tijdig en volledig af te handelen.
De Functionaris Gegevensbescherming draagt hieraan bij door onafhankelijk toezicht te houden, advies te geven en structurele verbeterpunten te signaleren. Voor schoolbesturen is het daarom belangrijk dat de FG tijdig wordt betrokken bij complexe vraagstukken en voldoende ruimte krijgt om zijn wettelijke taken uit te voeren.
De Privacy Experts ondersteunt onderwijsorganisaties met onafhankelijke FG-dienstverlening, deskundige advisering en structureel toezicht op de naleving van de AVG.
Wil je meer weten over onze FG-dienstverlening voor het onderwijs? Neem dan contact op met De Privacy Experts om de mogelijkheden voor jouw onderwijsorganisatie te bespreken.
