Beveiligingsincidenten kunnen leiden tot informatie en/of gegevens die verloren gaan of onbedoeld gewijzigd worden. Dit kan gevolgen hebben voor de kwaliteit en de continuïteit van het onderwijs.

Daarnaast kunnen vertrouwelijke gegevens door beveiligingsincidenten op straat komen te liggen of in verkeerde handen vallen.

Voor de verwerking van persoonsgegevens zijn regels vastgelegd in de GDPR-verordening. Het niet zorgvuldig omgaan met vertrouwelijke gegevens kan leiden tot sancties, boetes en imagoschade.

Het school-, internaat- en centrumbestuur stellen richtlijnen op ter preventie van gegevenslekken. De richtlijnen zijn een onderdeel van het informatieveiligheid- en privacybeleid (IVP).

De Data Protection Officer (DPO) van de koepelorganisatie helpt mee met het indienen van een melding bij de Vlaamse Toezichtcommissie (VTC). De DPO organiseert professionalisering zodat het aanspreekpunt op de hoogte is van het reilen en zeilen van het melden van gegevenslekken.

De leidinggevende brengt de personeelsleden binnen de onderwijsinstelling op de hoogte van de richtlijnen ter preventie van gegevenslekken en ziet toe op de naleving ervan.

Het aanspreekpunt informatieveiligheid (AIV):

• meldt een gegevenslek aan de Vlaamse Toezichtcommissie wanneer het lek een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Indien mogelijk, uiterlijk 72 uur nadat het aanspreekpunt er kennis van heeft genomen en gecontroleerd heeft of er wel degelijk sprake is van een gegevenslek;
  
• moet alle gegevenslekken (ook de allerkleinste) bijhouden in een intern logboek. Dit logboek vermeldt: de oorzaak, de getroffen persoonsgegevens, de gevolgen en de genomen beveiligingsmaatregelen. Dit logboek kan geïntegreerd worden in het register van verwerkingsactiviteiten;
  
• brengt de DPO van de koepelorganisatie op de hoogte. De DPO zal (indien nodig) meehelpen met het indienen van de melding bij de VTC;
  
• moet een gegevenslek melden aan de betrokkenen als het gegevenslek een hoog risico inhoudt voor de rechten en vrijheden van de betrokkene.