Onderwijsinstellingen verwerken dagelijks persoonsgegevens van leerlingen, ouders, personeelsleden, sollicitanten… In de praktijk gaat het niet alleen om administratieve gegevens, maar ook om evaluaties, zorg- en begeleidingsinformatie, afwezigheden, beelden, leerplatformdata, logs, communicatie, financiële gegevens en soms gezondheids- of andere gevoelige informatie.

Daarom vraagt informatieveiligheid en gegevensbescherming in onderwijs om meer dan een privacyverklaring op de website. Het vraagt een werkbaar systeem waarin directie, secretariaat, ICT, zorgteams, leerkrachten en externe leveranciers weten wat kan, wat niet kan en wie wat beslist.

• Leerlingen zijn vaak minderjarig of bevinden zich in een afhankelijke positie. Transparantie en proportionaliteit zijn dus extra belangrijk.
• Scholen gebruiken steeds meer digitale toepassingen: leerplatformen, leerlingvolgsystemen, rapportage, cloudopslag, communicatie-apps, monitoring, proctoring, AI-toepassingen…
• Een aantal verwerkingen gebeuren via leveranciers. Een goede verwerkersovereenkomst is wettelijk verplicht, maar volstaat op zich niet zonder risico-inschatting, opvolging en concrete afspraken.
• Datalekken en klachten vragen snelle triage. Bij het melden van datalekken geldt onder de AVG/GDPR een termijn van 72 uur voor melding aan de bevoegde toezichthouder. 

Wij fungeren als Data Protection Officer (DPO) of functionaris voor gegevensbescherming voor de onderwijsinstelling. De onderwijsinstelling blijft verwerkingsverantwoordelijke en stelt intern een Aanspreekpunt Informatieveiligheid en Privacy (AIV&P) of I&P-coördinator (IPCO) aan. Omdat we beseffen dat de werkdruk in het onderwijs hoog is, bewaken we een efficiënte wisselwerking zodat de tijdsinvestering voor deze interne medewerker behapbaar blijft. Vanuit een onafhankelijke DPO-rol zorgen wij ervoor dat het schoolbestuur beschikt over de nodige ondersteuning, adviezen, methodieken, opleidingen,documentatie en opvolgingsinstrumenten om informatieveiligheid en gegevensbescherming correct, haalbaar en aantoonbaar te organiseren. We nemen de operationele uitvoering niet over, die blijft bij het schoolbestuur. De AVG/GDPR omschrijft de kernopdrachten van de DPO als informeren en adviseren, toezien op naleving, adviseren over gegevensbeschermingseffectbeoordelingen, samenwerken met de toezichthouder en optreden als contactpunt (art. 39 GDPR). In onze dienstverlening vertalen we die opdrachten naar een concrete, terugkerende service voor onderwijsorganisaties.

Een DPO mag onafhankelijk adviseren en toezicht houden, maar bepaalt niet zelf de doeleinden en middelen van verwerkingen. Die beslissingen blijven bij het schoolbestuur als verwerkingsverantwoordelijke. Dat is geen beperking van de service, het is precies wat de onafhankelijkheid van de DPO geloofwaardig maakt. De DPO mag niet bepalen welke persoonsgegevens de onderwijsinstelling verwerkt, welke toepassingen of leveranciers worden gekozen, welke toegangsrechten worden toegekend of welke technische maatregelen concreet worden ingevoerd. De DPO ondertekent ook geen verwerkersovereenkomsten namens het schoolbestuur, voert geen technische implementaties uit en neemt geen beslissingen over de melding van datalekken of het al dan niet honoreren van verzoeken van betrokkenen. De DPO adviseert hierover, maar het schoolbestuur beslist en documenteert de beslissing.

Schoolbesturen mogen verwachten dat de DPO-as-a-service hen helpt om informatieveiligheid en gegevensbescherming bestuurbaar en aantoonbaar te maken. Concreet mogen ze rekenen op:

• Duidelijke kaders, sjablonen, modeldocumenten, procedures en prioriteiten, zodat het schoolbestuur niet vanaf nul moet vertrekken en meteen met direct bruikbaar materiaal aan de slag kan.
• Advies over AVG/GDPR-vragen, bijvoorbeeld over rechtsgronden, proportionaliteit, DPIA/GEB, datalekken, betrokkenenrechten, verwerkers en nieuwe technologieën.
• Een methodiek, via het GRIP en de nulmeting, zodat schoolbesturen weten waar ze staan en welke stappen prioritair zijn.
• Een contactpunt voor de toezichthouder en ondersteuning bij klachten, vragen en onderzoeken, binnen de wettelijke DPO-opdracht. 
• Opleiding en sensibiliseringsmateriaal, in het bijzonder voor het AIV&P of de IPCO, zodat de school intern voldoende draagkracht opbouwt en kan terugvallen op een breder netwerk. 

Onze dienstverlening vertrekt van de belangrijkste verantwoordelijkheden van het schoolbestuur als verwerkingsverantwoordelijke. Het schoolbestuur blijft eindverantwoordelijk, maar wij zorgen ervoor dat het bestuur, de leidinggevenden en het Aanspreekpunt Informatieveiligheid en Privacy (AIV&P) of de I&P-coördinator (IPCO) kunnen rekenen op duidelijke adviezen, werkbare documenten en praktische ondersteuning. Zo worden informatieveiligheid en gegevensbescherming geen losse verplichtingen, maar een structureel en aantoonbaar onderdeel van de werking van de onderwijsinstelling.

Even belangrijk is wat de DPO-as-a-service niet kan en mag zijn. Een scherpe afbakening houdt de dienstverlening haalbaar en beschermt tegelijk de onafhankelijkheid van de DPO. Schoolbesturen mogen daarom niet verwachten:

• Dat de DPO hun privacywerking volledig overneemt. Het schoolbestuur blijft verwerkingsverantwoordelijke en voert zelf een deel van het werk uit.
• Dat de DPO alle verwerkingen, applicaties, leveranciers, risico's, datalekken, DPIA's en rechtenverzoeken voor elke school individueel beheert of nakijkt.
• Dat de DPO alle documenten volledig op maat schrijft en actueel houdt voor elke school. De DPO levert modellen, richtlijnen en kwaliteitscontrole; de school vult aan, valideert en implementeert.
• Dat de DPO de rol overneemt van ICT, juridische dienst, crisismanager, projectleider, of beleidsmedewerker.
• Dat de DPO individuele DPIA's, risicoanalyses, verwerkingsregisters of leveranciersbeoordelingen voor elke onderwijsinstelling volledig uitwerkt of permanent actueel houdt. 

Onze dienstverlening werkt het best wanneer de samenwerking wederzijds is. Daarom verwachten we dat het schoolbestuur intern een AIV&P of IPCO aanstelt en hiervoor voldoende tijd vrijmaakt. Deze persoon volgt bij ons een tweedaagse basisopleiding zodat hij of zij vertrouwd raakt met het GRIP, de aangereikte methodieken, modellen en werkwijzen. Vervolgens zorgt deze persoon voor de interne opvolging van de afgesproken acties, de verspreiding van relevante informatie binnen de school en de verdere implementatie van het groeipad. Het schoolbestuur blijft verwerkings- en eindverantwoordelijke: het beslist welke gegevens voor welk doel worden verwerkt. Wij adviseren, ondersteunen en helpen prioriteiten bepalen, maar nemen die beslissingen niet over. Ook de implementatie van technische maatregelen blijft bij de school, samen met haar ICT-medewerkers of ICT-partner. Zo is duidelijk wat van wie verwacht wordt en kunnen we samen, op een haalbaar tempo, werk maken van informatieveiligheid en gegevensbescherming.

Onze leidraad is het GRIP. GRIP staat voor Groeipad Informatieveiligheid en Privacy. Het is een hulpmiddel dat scholen in Vlaanderen ondersteunt om stap voor stap te werken aan een veilige en privacybewuste omgang met informatie. Zie het als een routekaart: de onderwijsinstelling vertrekt van haar huidige situatie en groeit stapsgewijs naar een hoger niveau van veiligheid en privacy. Het is dus geen eenmalige checklist, maar een continu verbeterproces. Daardoor worden informatieveiligheid en gegevensbescherming geen eenmalig project, maar een structureel onderdeel van goed bestuur. Het groeipad helpt om:

• inzicht te krijgen in hoe goed de onderwijsinstelling al bezig is met informatieveiligheid en gegevensbescherming;
• concrete acties te plannen om op een haalbaar tempo beter te worden;
• bewustzijn te creëren bij alle personeelsleden en leerlingen. 

Het interne Aanspreekpunt Informatieveiligheid en Privacy (AIV&P) of de I&P-coördinator (IPCO) vormt daarbij de brug tussen het schoolbestuur en onze diensten (de DPO-as-a-service van Katholiek Onderwijs Vlaanderen).

Het AIV&P of de IPCO kan onderstaande lijst gebruiken om de huidige situatie van het schoolbestuur in kaart te brengen. Hanteer de lijst niet als controle- of afvinklijst, maar als hulpmiddel om zicht te krijgen op de maturiteit van het schoolbestuur. Het GRIP vormt de leidraad en sluit aan bij de kernfuncties van het cybersecurity framework: identificeren, beschermen, detecteren, reageren en herstellen. Een inventaris van toepassingen en apparaten waarmee gegevens worden verwerkt, is daarbij een logische eerste stap. Alle punten verwijzen naar één of meerdere artikelen van de GDPR-verordening.

Met deze aanpak krijgt het schoolbestuur niet alleen advies, maar ook de kaders, methodieken, documenten, opleidingen en ondersteuning om informatieveiligheid en gegevensbescherming op een haalbare, proportionele en aantoonbare manier te organiseren. De verantwoordelijkheid voor de uitvoering en de beslissingen blijft daarbij steeds bij het schoolbestuur.