Meestal wel, maar niet als de onderwijsinstelling weet dat de andere ouder het er niet mee eens is.
Een onderwijsinstelling mag herkenbare foto's van een leerling alleen online zetten met toestemming. Dat staat in de privacywet (de AVG of GDPR, de Europese wet die regelt hoe persoonsgegevens gebruikt mogen worden). Daarnaast geldt het portretrecht: je mag een foto van iemand niet zomaar verspreiden zonder diens akkoord.
Bij gescheiden ouders die samen het ouderlijk gezag hebben (dat wil zeggen dat ze samen beslissingen over hun kind nemen), mag de onderwijsinstelling er normaal van uitgaan dat beide ouders akkoord zijn als één ouder toestemming geeft. Dat staat in het Burgerlijk Wetboek. Maar dat geldt niet meer als de onderwijsinstelling weet dat de andere ouder het niet eens is. Heeft een ouder zijn toestemming eerder ingetrokken? Dan is de toestemming van de andere ouder alleen niet voldoende. Zet dan geen herkenbare foto's van het kind online, zolang beide ouders niet uitdrukkelijk akkoord gaan.
Een onderwijsinstelling mag herkenbare foto's van een leerling alleen online zetten met toestemming. Dat staat in de privacywet (de AVG of GDPR, de Europese wet die regelt hoe persoonsgegevens gebruikt mogen worden). Daarnaast geldt het portretrecht: je mag een foto van iemand niet zomaar verspreiden zonder diens akkoord.
Bij gescheiden ouders die samen het ouderlijk gezag hebben (dat wil zeggen dat ze samen beslissingen over hun kind nemen), mag de onderwijsinstelling er normaal van uitgaan dat beide ouders akkoord zijn als één ouder toestemming geeft. Dat staat in het Burgerlijk Wetboek. Maar dat geldt niet meer als de onderwijsinstelling weet dat de andere ouder het niet eens is. Heeft een ouder zijn toestemming eerder ingetrokken? Dan is de toestemming van de andere ouder alleen niet voldoende. Zet dan geen herkenbare foto's van het kind online, zolang beide ouders niet uitdrukkelijk akkoord gaan.
Nee. Geen antwoord betekent geen toestemming.
Volgens de privacywet (GDPR) moet toestemming altijd duidelijk en actief gegeven worden. Bijvoorbeeld door een vakje aan te vinken of een formulier te ondertekenen. Zwijgen telt dus niet als akkoord. Twijfel je, of zijn de ouders het niet eens? Kies dan altijd voor de veiligste optie: geen herkenbare foto's van het kind online.
Volgens de privacywet (GDPR) moet toestemming altijd duidelijk en actief gegeven worden. Bijvoorbeeld door een vakje aan te vinken of een formulier te ondertekenen. Zwijgen telt dus niet als akkoord. Twijfel je, of zijn de ouders het niet eens? Kies dan altijd voor de veiligste optie: geen herkenbare foto's van het kind online.
Bij ouders die samen het ouderlijk gezag hebben (dat wil zeggen dat ze samen beslissingen over hun kind nemen), mag de onderwijsinstelling er normaal van uitgaan dat beide ouders akkoord zijn als één ouder toestemming geeft. Dat staat in het Burgerlijk Wetboek. Maar dat geldt niet meer als de onderwijsinstelling weet dat de andere ouder het niet eens is. Indien een ouder zijn toestemming niet geeft om bijvoorbeeld foto's te publiceren waar het kind herkenbaar op staat, dan zijn er een aantal mogelijkheden dat een onderwijsinstelling kan nemen:
- Foto's maken waarop het kind niet herkenbaar is. Of foto's zonder het kind. Bijvoorbeeld een foto van op de rug, van ver in een grote groep, of met het gezicht vervaagd.
- De ouder die wel toestemming gaf goed informeren. De school kan geen knoop doorhakken als ouders het oneens zijn. De ouders moeten dat samen oplossen. Lukt dat niet, dan kan de familierechtbank beslissen. Vraag ook of er een rechterlijke uitspraak bestaat die de beslissing alleen aan één ouder geeft. Dan kan de situatie anders zijn.
- De leerling zelf betrekken. Beschikt de leerling over voldoende beoordelingsvermogen om zelf een goede inschatting te maken (vaak rekent men vanaf 12 à 14 jaar, maar dit is niet zo voor alle leerlingen), dan telt de mening van de leerling ook mee. Maar als de ouders het oneens zijn, blijft zeer grote voorzichtigheid nodig. Let als onderwijsinstelling hier mee op.
- De ouder die niet reageert nog één keer aanschrijven. Doe dit liefst op een andere manier dan voordien, bijvoorbeeld met een brief per post naast een e-mail. Leg uit dat de onderwijs zonder zijn of haar uitdrukkelijk akkoord geen foto's van het kind publiceert (bijv. op sociale media of schoolwebsite).
Ja, we raden aan om vooraf toestemming te vragen voor het gebruik van Fietscontrole.be.
Een school moet voor elke verwerking van persoonsgegevens van leerlingen een geldige rechtsgrond hebben. Voor verwerkingen die noodzakelijk zijn voor de onderwijs- en opvoedingsopdracht kan de school zich beroepen op een taak van algemeen belang. Daarbij moet de school wel kunnen aantonen dat de verwerking echt nodig is om die opdracht uit te voeren.
Bij een fietscontrole via Fietscontrole.be is die noodzaak niet vanzelfsprekend. Een fietscontrole kan nuttig zijn voor verkeersveiligheid en verkeerseducatie, maar het gebruik van dit specifieke platform en de daarbij horende verwerking van persoonsgegevens lijkt niet noodzakelijk voor het uitvoeren van de onderwijsopdracht.
Daarom is toestemming hier de meest aangewezen rechtsgrond. Voor minderjarige leerlingen moet die toestemming in principe worden gegeven door de ouders of wettelijke vertegenwoordigers.
Het is belangrijk dat die toestemming vrij wordt gegeven. Als ouders geen toestemming geven, mag dat geen negatieve gevolgen hebben voor de leerling. De fietscontrole moet dan op een andere manier kunnen plaatsvinden zonder bijkomende verwerking van persoonsgegevens.
Kortom: wanneer er geen duidelijke wettelijke basis bestaat voor deze verwerking, is het aangewezen om vooraf toestemming te vragen voor het gebruik van Fietscontrole.be.
Een school moet voor elke verwerking van persoonsgegevens van leerlingen een geldige rechtsgrond hebben. Voor verwerkingen die noodzakelijk zijn voor de onderwijs- en opvoedingsopdracht kan de school zich beroepen op een taak van algemeen belang. Daarbij moet de school wel kunnen aantonen dat de verwerking echt nodig is om die opdracht uit te voeren.
Bij een fietscontrole via Fietscontrole.be is die noodzaak niet vanzelfsprekend. Een fietscontrole kan nuttig zijn voor verkeersveiligheid en verkeerseducatie, maar het gebruik van dit specifieke platform en de daarbij horende verwerking van persoonsgegevens lijkt niet noodzakelijk voor het uitvoeren van de onderwijsopdracht.
Daarom is toestemming hier de meest aangewezen rechtsgrond. Voor minderjarige leerlingen moet die toestemming in principe worden gegeven door de ouders of wettelijke vertegenwoordigers.
Het is belangrijk dat die toestemming vrij wordt gegeven. Als ouders geen toestemming geven, mag dat geen negatieve gevolgen hebben voor de leerling. De fietscontrole moet dan op een andere manier kunnen plaatsvinden zonder bijkomende verwerking van persoonsgegevens.
Kortom: wanneer er geen duidelijke wettelijke basis bestaat voor deze verwerking, is het aangewezen om vooraf toestemming te vragen voor het gebruik van Fietscontrole.be.
Het recht op verbetering hangt af van het doel waarvoor persoonsgegevens worden gebruikt. Het Hof van Justitie besliste in de zaak Nowak dat dit recht niet geldt voor antwoorden die een kandidaat zelf heeft gegeven tijdens een professioneel examen, of voor opmerkingen van de examinator bij die antwoorden. Die antwoorden tonen namelijk de kennis van de kandidaat op het moment van het examen en worden daarom niet beschouwd als onjuiste persoonsgegevens.
Dat betekent echter niet dat het recht op verbetering nooit kan gelden bij examens. Als bijvoorbeeld examenkopieën worden verwisseld of een antwoordblad verloren gaat, kan er sprake zijn van onjuiste of onvolledige persoonsgegevens. In dat geval kan een verbetering wel mogelijk zijn.
Bron: Zaak C-434/16 Peter Nowak tegen Data Protection Commissioner, (Hof van Justitie van de Europese Unie (HvJ)) para. 51–54.
Dat betekent echter niet dat het recht op verbetering nooit kan gelden bij examens. Als bijvoorbeeld examenkopieën worden verwisseld of een antwoordblad verloren gaat, kan er sprake zijn van onjuiste of onvolledige persoonsgegevens. In dat geval kan een verbetering wel mogelijk zijn.
Bron: Zaak C-434/16 Peter Nowak tegen Data Protection Commissioner, (Hof van Justitie van de Europese Unie (HvJ)) para. 51–54.
Volgens Artikel 35 van de AVG moeten besturen (als verwerkingsverantwoordelijke) een gegevensbeschermingseffectbeoordeling (GEB; Data Protection Impact Assessment of ‘DPIA’) uitvoeren voordat ze beginnen met gegevensverwerking die waarschijnlijk een hoog risico voor de rechten en vrijheden van leerlingen vormt. Dit kan bijvoorbeeld het geval zijn wanneer profilering wordt gebruikt om beslissingen te nemen die een significante impact hebben op leerlingen. Een GEB moet iteratief worden bijgewerkt, telkens wanneer de aard, reikwijdte of context van de verwerking verandert. Gezien de bijzondere kwetsbaarheid van kinderen als betrokkenen en de vaak gevoelige aard van gegevens die in de onderwijscontext worden verzameld, werd al geargumenteerd, onder meer door de Franse gegevensbeschermingsautoriteit CNIL, dat een GEB moet worden uitgevoerd wanneer AI of nieuwe digitale hulpmiddelen in een schoolcontext worden geïntroduceerd.
In overeenstemming met artikel 35(7) van de AVG (GDPR) moet een GEB ten minste het volgende bevatten:
Vanuit een kinderrechtenperspectief mag een GEB niet beperkt blijven tot privacy en gegevensbescherming alleen. In het licht van het Kinderrechtenverdrag en overweging 38 (AVG) zouden verwerkingsverantwoordelijken die de gegevens van kinderen verwerken, een GEB als een kindgericht instrument moeten behandelen, waarbij de impact op de volledige waaier van rechten en belangen van het kind wordt beoordeeld. In praktische termen zou een op kinderen gerichte GEB (1) moeten identificeren welke (groepen) kinderen worden getroffen; (2) zowel beschermende als versterkende dimensies van gegevensverwerking overwegen (bijvoorbeeld wanneer beperkingen die bedoeld zijn om kinderen te beschermen hun mogelijkheden om te leren en te verkennen onnodig kunnen beperken); (3) rekening houden met de ontwikkelende vermogens van kinderen en het feit dat risico's en voordelen kunnen verschillen voor jongere en oudere leerlingen; (4) de opvattingen van kinderen integreren in overeenstemming met Artikel 12 IVRK (Internationaal Verdrag voor de Rechten van het Kind), bijvoorbeeld door leerlingen of leerlingraden te raadplegen. Inspiratie voor het uitvoeren van een op kinderrechten gerichte GEB kan worden gehaald uit meer algemene effectbeoordelingsinstrumenten voor kinderrechten (ook gekend als Child Rights Impact Assessments), zoals die ontwikkeld door UNICEF.
Bron: Belangrijke juridische en beleidsinstrumenten die van toepassing zijn op artificiële intelligentie in het onderwijs - KU Leuven Centrum voor IT & IE-recht (CiTiP) en UGent, onderzoeksgroep Recht en Technologie - Elora Fernandes (CiTip), Valerie Verdoodt (Ugent), Charlotte Somers (CiTiP), Emma Aldibs (CiTiP), Eva Lievens (Ugent), Laura Drechsler(CiTiP)
In overeenstemming met artikel 35(7) van de AVG (GDPR) moet een GEB ten minste het volgende bevatten:
- een systematische beschrijving van de gegevensverwerkingsoperaties en hun doeleinden (welke gegevens, waarom, hoe);
- een beoordeling van de noodzaak en proportionaliteit van de verwerking ten opzichte van het doel;
- een beoordeling van de rechten en vrijheden van betrokkenen, in casu leerlingen (privacy, non-discriminatie, autonomie);
- de maatregelen die bedoeld zijn om deze risico's aan te pakken of te beperken (technische waarborgen, toegangscontrole, pseudonimisering/anonimisering, verwijdering, enz.).
Vanuit een kinderrechtenperspectief mag een GEB niet beperkt blijven tot privacy en gegevensbescherming alleen. In het licht van het Kinderrechtenverdrag en overweging 38 (AVG) zouden verwerkingsverantwoordelijken die de gegevens van kinderen verwerken, een GEB als een kindgericht instrument moeten behandelen, waarbij de impact op de volledige waaier van rechten en belangen van het kind wordt beoordeeld. In praktische termen zou een op kinderen gerichte GEB (1) moeten identificeren welke (groepen) kinderen worden getroffen; (2) zowel beschermende als versterkende dimensies van gegevensverwerking overwegen (bijvoorbeeld wanneer beperkingen die bedoeld zijn om kinderen te beschermen hun mogelijkheden om te leren en te verkennen onnodig kunnen beperken); (3) rekening houden met de ontwikkelende vermogens van kinderen en het feit dat risico's en voordelen kunnen verschillen voor jongere en oudere leerlingen; (4) de opvattingen van kinderen integreren in overeenstemming met Artikel 12 IVRK (Internationaal Verdrag voor de Rechten van het Kind), bijvoorbeeld door leerlingen of leerlingraden te raadplegen. Inspiratie voor het uitvoeren van een op kinderrechten gerichte GEB kan worden gehaald uit meer algemene effectbeoordelingsinstrumenten voor kinderrechten (ook gekend als Child Rights Impact Assessments), zoals die ontwikkeld door UNICEF.
Bron: Belangrijke juridische en beleidsinstrumenten die van toepassing zijn op artificiële intelligentie in het onderwijs - KU Leuven Centrum voor IT & IE-recht (CiTiP) en UGent, onderzoeksgroep Recht en Technologie - Elora Fernandes (CiTip), Valerie Verdoodt (Ugent), Charlotte Somers (CiTiP), Emma Aldibs (CiTiP), Eva Lievens (Ugent), Laura Drechsler(CiTiP)
Ja, maar vanuit privacy oogpunt zijn er wel aandachtspunten.
Moeten personeelsleden vooraf geïnformeerd worden en moeten zij een privacyverklaring goedkeuren?
Personeelsleden moeten vooraf duidelijk geïnformeerd worden over de verwerking van hun persoonsgegevens. Zij hoeven de privacyverklaring echter niet te "goedkeuren". Een privacyverklaring heeft als doel de betrokkene te informeren over de verwerking en vormt geen toestemming, noch vervangt zij die.
Toestemming als rechtsgrond is hier bovendien af te raden. Binnen een arbeidsrelatie is toestemming in principe geen geschikte rechtsgrond. Door de gezagsverhouding en de daaruit voortvloeiende machtsongelijkheid tussen werkgever en werknemer kan immers moeilijk worden gegarandeerd dat toestemming volledig vrij wordt gegeven of zonder nadelige gevolgen kan worden geweigerd.
Dat is in dit geval ook niet noodzakelijk. Het in kaart brengen van functiegebonden ICT-vaardigheden en de daaruit voortvloeiende professionaliseringsbehoeften kan worden ingepast in de arbeids- of rechtspositierelatie en in het personeels- en professionaliseringsbeleid van de onderwijsinstelling.
Voor onderwijspersoneel wordt dit bijkomend ondersteund door het rechtspositiekader. Het decreet rechtspositie erkent professionalisering uitdrukkelijk als onderdeel van de geïntegreerde lerarenopdracht. Daarom is het verdedigbaar dat een onderwijsinstelling nagaat welke voor de functie relevante ICT-competenties aanwezig zijn en waar bijkomende opleiding of ondersteuning nodig is.
De onderwijsinstelling moet personeelsleden hierover wel vooraf op een transparante manier informeren. Personeelsleden moeten vooraf duidelijk geïnformeerd worden over: (1) het doel van de bevraging, (2) welke persoonsgegevens worden verwerkt, (3) hoe de resultaten zullen worden gebruikt, (4) wie toegang krijgt tot de resultaten, (5) hoelang de gegevens worden bewaard en (6) welke rechten zij hebben.
Mag de bevraging op naam gebeuren?
Als het doel uitsluitend is om bijvoorbeeld na te gaan welk percentage van het personeel nood heeft aan een opleiding Excel, kan een anonieme bevraging volstaan.
Als ook moet worden vastgesteld wie nood heeft aan bepaalde ondersteuning of opleiding, is het logisch dat de antwoorden aan een personeelslid kunnen worden gekoppeld. Anders kan dat individuele doel niet worden bereikt.
Dat betekent uiteraard niet dat onbeperkt gegevens mogen worden verzameld. De vragen moeten betrekking hebben op ICT-vaardigheden die relevant zijn voor de functie en het ICT-beleid van de onderwijsinstelling. Het principe van minimale gegevensverwerking blijft gelden: verzamel niet meer informatie dan nodig is om de opleidings- en ondersteuningsnoden vast te stellen.
Wie mag de individuele resultaten verwerken?
Hiermee wordt best voorzichtig omgegaan. Dat iemand deel uitmaakt van de werkgroep ICT betekent niet automatisch dat die persoon toegang moet hebben tot alle individuele antwoorden van collega's. Er moet een onderscheid worden gemaakt tussen informatie die nodig is voor het algemene ICT- en opleidingsbeleid en informatie die nodig is voor de individuele opvolging van een personeelslid.
De werkgroep ICT kan bijvoorbeeld perfect werken met geaggregeerde resultaten: hoeveel personeelsleden ondersteuning nodig hebben rond een systeem of toepassing. Voor dergelijke analyses is het niet noodzakelijk dat de werkgroep weet dat collega X zichzelf voor een bepaalde vaardigheid een lage score heeft gegeven.
De individuele resultaten worden daarom best beperkt tot de personen die deze informatie vanuit hun opdracht daadwerkelijk nodig hebben, bijvoorbeeld een leidinggevende of de persoon die verantwoordelijk is voor professionalisering of personeelsbeleid. Een lid of meerdere leden van de werkgroep ICT kunnen eventueel ook toegang krijgen wanneer zij formeel belast zijn met het organiseren of geven van individuele ondersteuning.
Kortom: hanteer het "need to know"-principe. Niet de vraag "wie maakt deel uit van de werkgroep ICT?" is bepalend, maar wel "wie heeft de naam en het individuele resultaat daadwerkelijk nodig om de opdracht uit te voeren?". Als dat alle leden van de werkgroep zijn, is dat verdedigbaar. Zorg in dat geval voor een duidelijk mandaat voor die leden.
Als de vragenlijst wordt voorgesteld als een instrument om opleidings- en ondersteuningsnoden in kaart te brengen, mogen de antwoorden niet zonder meer voor een ander doel worden gebruikt, bijvoorbeeld als zelfstandig beoordelingsinstrument binnen een formele personeelsevaluatie of als basis voor een sanctie.
Dat is ook vanuit praktisch oogpunt belangrijk. Wanneer personeelsleden weten dat een antwoord zoals "ik beheers Excel onvoldoende" later tegen hen kan worden gebruikt in een evaluatie, zullen zij minder geneigd zijn hun werkelijke opleidingsnoden aan te geven. Daardoor dreigt de bevraging haar oorspronkelijke doel voorbij te schieten.
Als ICT-competenties formeel beoordeeld moeten worden als onderdeel van het functioneren van een personeelslid, gebeurt dat best los van deze bevraging en binnen het daarvoor geldende personeels- en evaluatiekader.
Kunnen de resultaten gebruikt worden om personeelsleden persoonlijk gerichte nascholing aan te bieden?
Ja, mits vanaf het begin duidelijk wordt gecommuniceerd dat dit het doel van de bevraging is.
Blijkt uit de bevraging bijvoorbeeld dat een personeelslid moeite heeft met een digitaal platform dat nodig is voor de uitoefening van de functie, dan kan de onderwijsinstelling daarop inspelen met een gericht opleidings- of ondersteuningstraject.
Ook hier is het relevant dat professionalisering volgens het decreet rechtspositie deel uitmaakt van de geïntegreerde lerarenopdracht. Het is dan ook logisch dat een werkgever nagaat waar professionaliseringsnoden bestaan en daarop de nodige opleiding organiseert.
Moeten personeelsleden vooraf geïnformeerd worden en moeten zij een privacyverklaring goedkeuren?
Personeelsleden moeten vooraf duidelijk geïnformeerd worden over de verwerking van hun persoonsgegevens. Zij hoeven de privacyverklaring echter niet te "goedkeuren". Een privacyverklaring heeft als doel de betrokkene te informeren over de verwerking en vormt geen toestemming, noch vervangt zij die.
Toestemming als rechtsgrond is hier bovendien af te raden. Binnen een arbeidsrelatie is toestemming in principe geen geschikte rechtsgrond. Door de gezagsverhouding en de daaruit voortvloeiende machtsongelijkheid tussen werkgever en werknemer kan immers moeilijk worden gegarandeerd dat toestemming volledig vrij wordt gegeven of zonder nadelige gevolgen kan worden geweigerd.
Dat is in dit geval ook niet noodzakelijk. Het in kaart brengen van functiegebonden ICT-vaardigheden en de daaruit voortvloeiende professionaliseringsbehoeften kan worden ingepast in de arbeids- of rechtspositierelatie en in het personeels- en professionaliseringsbeleid van de onderwijsinstelling.
Voor onderwijspersoneel wordt dit bijkomend ondersteund door het rechtspositiekader. Het decreet rechtspositie erkent professionalisering uitdrukkelijk als onderdeel van de geïntegreerde lerarenopdracht. Daarom is het verdedigbaar dat een onderwijsinstelling nagaat welke voor de functie relevante ICT-competenties aanwezig zijn en waar bijkomende opleiding of ondersteuning nodig is.
De onderwijsinstelling moet personeelsleden hierover wel vooraf op een transparante manier informeren. Personeelsleden moeten vooraf duidelijk geïnformeerd worden over: (1) het doel van de bevraging, (2) welke persoonsgegevens worden verwerkt, (3) hoe de resultaten zullen worden gebruikt, (4) wie toegang krijgt tot de resultaten, (5) hoelang de gegevens worden bewaard en (6) welke rechten zij hebben.
Mag de bevraging op naam gebeuren?
Als het doel uitsluitend is om bijvoorbeeld na te gaan welk percentage van het personeel nood heeft aan een opleiding Excel, kan een anonieme bevraging volstaan.
Als ook moet worden vastgesteld wie nood heeft aan bepaalde ondersteuning of opleiding, is het logisch dat de antwoorden aan een personeelslid kunnen worden gekoppeld. Anders kan dat individuele doel niet worden bereikt.
Dat betekent uiteraard niet dat onbeperkt gegevens mogen worden verzameld. De vragen moeten betrekking hebben op ICT-vaardigheden die relevant zijn voor de functie en het ICT-beleid van de onderwijsinstelling. Het principe van minimale gegevensverwerking blijft gelden: verzamel niet meer informatie dan nodig is om de opleidings- en ondersteuningsnoden vast te stellen.
Wie mag de individuele resultaten verwerken?
Hiermee wordt best voorzichtig omgegaan. Dat iemand deel uitmaakt van de werkgroep ICT betekent niet automatisch dat die persoon toegang moet hebben tot alle individuele antwoorden van collega's. Er moet een onderscheid worden gemaakt tussen informatie die nodig is voor het algemene ICT- en opleidingsbeleid en informatie die nodig is voor de individuele opvolging van een personeelslid.
De werkgroep ICT kan bijvoorbeeld perfect werken met geaggregeerde resultaten: hoeveel personeelsleden ondersteuning nodig hebben rond een systeem of toepassing. Voor dergelijke analyses is het niet noodzakelijk dat de werkgroep weet dat collega X zichzelf voor een bepaalde vaardigheid een lage score heeft gegeven.
De individuele resultaten worden daarom best beperkt tot de personen die deze informatie vanuit hun opdracht daadwerkelijk nodig hebben, bijvoorbeeld een leidinggevende of de persoon die verantwoordelijk is voor professionalisering of personeelsbeleid. Een lid of meerdere leden van de werkgroep ICT kunnen eventueel ook toegang krijgen wanneer zij formeel belast zijn met het organiseren of geven van individuele ondersteuning.
Kortom: hanteer het "need to know"-principe. Niet de vraag "wie maakt deel uit van de werkgroep ICT?" is bepalend, maar wel "wie heeft de naam en het individuele resultaat daadwerkelijk nodig om de opdracht uit te voeren?". Als dat alle leden van de werkgroep zijn, is dat verdedigbaar. Zorg in dat geval voor een duidelijk mandaat voor die leden.
Als de vragenlijst wordt voorgesteld als een instrument om opleidings- en ondersteuningsnoden in kaart te brengen, mogen de antwoorden niet zonder meer voor een ander doel worden gebruikt, bijvoorbeeld als zelfstandig beoordelingsinstrument binnen een formele personeelsevaluatie of als basis voor een sanctie.
Dat is ook vanuit praktisch oogpunt belangrijk. Wanneer personeelsleden weten dat een antwoord zoals "ik beheers Excel onvoldoende" later tegen hen kan worden gebruikt in een evaluatie, zullen zij minder geneigd zijn hun werkelijke opleidingsnoden aan te geven. Daardoor dreigt de bevraging haar oorspronkelijke doel voorbij te schieten.
Als ICT-competenties formeel beoordeeld moeten worden als onderdeel van het functioneren van een personeelslid, gebeurt dat best los van deze bevraging en binnen het daarvoor geldende personeels- en evaluatiekader.
Kunnen de resultaten gebruikt worden om personeelsleden persoonlijk gerichte nascholing aan te bieden?
Ja, mits vanaf het begin duidelijk wordt gecommuniceerd dat dit het doel van de bevraging is.
Blijkt uit de bevraging bijvoorbeeld dat een personeelslid moeite heeft met een digitaal platform dat nodig is voor de uitoefening van de functie, dan kan de onderwijsinstelling daarop inspelen met een gericht opleidings- of ondersteuningstraject.
Ook hier is het relevant dat professionalisering volgens het decreet rechtspositie deel uitmaakt van de geïntegreerde lerarenopdracht. Het is dan ook logisch dat een werkgever nagaat waar professionaliseringsnoden bestaan en daarop de nodige opleiding organiseert.
In België bestaat er geen algemeen verbod voor een persoon om een gesprek op te nemen. Sinds 1 september 2026 is het nieuwe Strafwetboek van toepassing. Artikel 342 stelt het zonder toestemming opnemen van niet-publieke communicatie strafbaar wanneer men zelf niet aan die communicatie deelneemt. Daaruit volgt dat een ouder of voogd die zelf deelneemt aan een oudercontact het gesprek in beginsel mag opnemen.
Dat sluit ook aan bij de rechtspraak van het Hof van Cassatie. Het Hof oordeelde dat noch het recht op privacy uit artikel 8 Europees Verdrag voor de Rechten van de Mens (EVRM), noch de vroegere strafbepaling over het opnemen van privécommunicatie, verhinderde dat een deelnemer een gesprek opnam zonder medeweten van de andere deelnemers.
Een ouder of voogd mag dus vragen om het gesprek op te nemen. Strikt juridisch is voorafgaande toestemming van de leerkracht voor het louter opnemen echter niet noodzakelijk wanneer de ouder zelf deelnemer is aan het gesprek.
Kan een leerkracht weigeren?
Een leerkracht kan uiteraard aangeven niet te willen worden opgenomen en vragen om geen opname te maken. Die weigering maakt de opname op zichzelf niet automatisch onwettig. Het strafrecht geeft een deelnemer aan het gesprek immers geen algemeen vetorecht over een opname die een andere deelnemer voor zichzelf maakt.
Dat betekent niet dat een onderwijsinstelling of leerkracht geen grenzen kan stellen aan de wijze waarop een oudercontact verloopt. Als een ouder toch wil opnemen, kan het gesprek onder aangepaste voorwaarden plaatsvinden, met directieaansluiting of schriftelijke bevestiging van afspraken. Of een gesprek om die reden zonder meer mag worden afgebroken, moet genuanceerder worden bekeken: de onderwijsinstelling heeft ook verplichtingen over communicatie en overleg met ouders. Een algemene regel dat een leerkracht altijd een wettelijk afdwingbaar recht heeft om een opname te verbieden, is er niet.
Opnemen is iets anders dan gebruiken of verspreiden
Dat een ouder een gesprek mag opnemen, betekent niet dat hij vervolgens vrij over die opname kan beschikken en er alles mee mag doen. Het Hof van Cassatie heeft uitdrukkelijk geoordeeld dat het gebruik van een zonder medeweten gemaakte opname buiten het louter persoonlijke gebruik een inbreuk op het recht op privacy kan opleveren. Daarbij zijn onder meer de privacyverwachting, de inhoud en omstandigheden van het gesprek, de hoedanigheid van de deelnemers en het gebruiksdoel van belang.
Ook het nieuwe Strafwetboek maakt dat onderscheid. Artikel 344 stelt het bedrieglijk gebruik of het gebruik met het oogmerk te schaden van een wettig gemaakte opname van privécommunicatie strafbaar.
Daarnaast kan de AVG (GDPR) relevant worden zodra persoonsgegevens worden verwerkt. Een opname van een identificeerbare leerkracht bevat persoonsgegevens. Voor een verwerking die werkelijk uitsluitend binnen de persoonlijke of huishoudelijke sfeer blijft, kent artikel 2, lid 2, c AVG een uitzondering. Zodra de opname daarbuiten wordt gebracht, moet worden nagegaan of de AVG van toepassing is en, als dat zo is, of er onder meer een geldige rechtsgrond voor de verwerking bestaat.
Een opname bijvoorbeeld op Facebook, TikTok of een publiek toegankelijke website plaatsen is dus juridisch iets helemaal anders dan ze op de eigen telefoon bewaren om achteraf nog eens te beluisteren. Het feit dat de oorspronkelijke opname geoorloofd was, geeft geen vrijbrief voor publicatie of verspreiding.
Ook gebruik als bewijs vormt een afzonderlijke kwestie. Het Hof van Cassatie heeft in het verleden aanvaard dat een deelnemer een door hem gemaakte opname in een geschil kan gebruiken; het enkele gebruik in het kader van de bewijsvoering is dus niet automatisch onrechtmatig. Ook daar moet echter telkens naar de concrete omstandigheden worden gekeken.
Kan de school hierover afspraken opnemen in het schoolreglement?
Ja, maar het schoolreglement kan de wet niet opzijzetten.
Zowel de Codex Secundair Onderwijs als het Decreet Basisonderwijs bepalen dat het schoolreglement de verhouding tussen de school, de leerlingen en de ouders regelt. Ouders of voogd verklaren zich bij de inschrijving akkoord met dit schoolreglement. De afspraken daarin moeten uiteraard in overeenstemming zijn met hogere regelgeving en grondrechten.
Een school kan daarom bijvoorbeeld afspraken opnemen zoals:
De school kan wel afspraken maken over de wijze waarop oudercontacten verlopen en over het verdere gebruik van opnames. Daarbij is het belangrijk onderscheid te maken tussen het maken van de opname en het verspreiden of openbaar maken ervan.
Praktische conclusie voor startende leerkrachten
De eenvoudigste vuistregel is: Een ouder die zelf aan een oudercontact deelneemt, kan het gesprek in beginsel opnemen, ook zonder toestemming van de leerkracht. Het recht om een gesprek op te nemen betekent echter niet dat de ouder de opname daarna vrij mag verspreiden, publiceren of voor gelijk welk doel mag gebruiken. De school kan afspraken maken over opnames, maar een schoolreglement kan de wettelijke regels niet vervangen of uitbreiden.
Vanuit relationeel oogpunt is het wenselijk dat een ouder of voogd meldt een gesprek op te nemen. Omgekeerd lijkt het voor de onderwijsinstelling verstandiger om bij een opname niet onmiddellijk in een juridische discussie terecht te komen, maar te vragen wat het doel ervan is. Soms wil een ouder of voogd bijvoorbeeld enkel zeker zijn dat belangrijke informatie over ondersteuning, evaluatie of verdere afspraken correct wordt onthouden.
Bronnen
Dat sluit ook aan bij de rechtspraak van het Hof van Cassatie. Het Hof oordeelde dat noch het recht op privacy uit artikel 8 Europees Verdrag voor de Rechten van de Mens (EVRM), noch de vroegere strafbepaling over het opnemen van privécommunicatie, verhinderde dat een deelnemer een gesprek opnam zonder medeweten van de andere deelnemers.
Een ouder of voogd mag dus vragen om het gesprek op te nemen. Strikt juridisch is voorafgaande toestemming van de leerkracht voor het louter opnemen echter niet noodzakelijk wanneer de ouder zelf deelnemer is aan het gesprek.
Kan een leerkracht weigeren?
Een leerkracht kan uiteraard aangeven niet te willen worden opgenomen en vragen om geen opname te maken. Die weigering maakt de opname op zichzelf niet automatisch onwettig. Het strafrecht geeft een deelnemer aan het gesprek immers geen algemeen vetorecht over een opname die een andere deelnemer voor zichzelf maakt.
Dat betekent niet dat een onderwijsinstelling of leerkracht geen grenzen kan stellen aan de wijze waarop een oudercontact verloopt. Als een ouder toch wil opnemen, kan het gesprek onder aangepaste voorwaarden plaatsvinden, met directieaansluiting of schriftelijke bevestiging van afspraken. Of een gesprek om die reden zonder meer mag worden afgebroken, moet genuanceerder worden bekeken: de onderwijsinstelling heeft ook verplichtingen over communicatie en overleg met ouders. Een algemene regel dat een leerkracht altijd een wettelijk afdwingbaar recht heeft om een opname te verbieden, is er niet.
Opnemen is iets anders dan gebruiken of verspreiden
Dat een ouder een gesprek mag opnemen, betekent niet dat hij vervolgens vrij over die opname kan beschikken en er alles mee mag doen. Het Hof van Cassatie heeft uitdrukkelijk geoordeeld dat het gebruik van een zonder medeweten gemaakte opname buiten het louter persoonlijke gebruik een inbreuk op het recht op privacy kan opleveren. Daarbij zijn onder meer de privacyverwachting, de inhoud en omstandigheden van het gesprek, de hoedanigheid van de deelnemers en het gebruiksdoel van belang.
Ook het nieuwe Strafwetboek maakt dat onderscheid. Artikel 344 stelt het bedrieglijk gebruik of het gebruik met het oogmerk te schaden van een wettig gemaakte opname van privécommunicatie strafbaar.
Daarnaast kan de AVG (GDPR) relevant worden zodra persoonsgegevens worden verwerkt. Een opname van een identificeerbare leerkracht bevat persoonsgegevens. Voor een verwerking die werkelijk uitsluitend binnen de persoonlijke of huishoudelijke sfeer blijft, kent artikel 2, lid 2, c AVG een uitzondering. Zodra de opname daarbuiten wordt gebracht, moet worden nagegaan of de AVG van toepassing is en, als dat zo is, of er onder meer een geldige rechtsgrond voor de verwerking bestaat.
Een opname bijvoorbeeld op Facebook, TikTok of een publiek toegankelijke website plaatsen is dus juridisch iets helemaal anders dan ze op de eigen telefoon bewaren om achteraf nog eens te beluisteren. Het feit dat de oorspronkelijke opname geoorloofd was, geeft geen vrijbrief voor publicatie of verspreiding.
Ook gebruik als bewijs vormt een afzonderlijke kwestie. Het Hof van Cassatie heeft in het verleden aanvaard dat een deelnemer een door hem gemaakte opname in een geschil kan gebruiken; het enkele gebruik in het kader van de bewijsvoering is dus niet automatisch onrechtmatig. Ook daar moet echter telkens naar de concrete omstandigheden worden gekeken.
Kan de school hierover afspraken opnemen in het schoolreglement?
Ja, maar het schoolreglement kan de wet niet opzijzetten.
Zowel de Codex Secundair Onderwijs als het Decreet Basisonderwijs bepalen dat het schoolreglement de verhouding tussen de school, de leerlingen en de ouders regelt. Ouders of voogd verklaren zich bij de inschrijving akkoord met dit schoolreglement. De afspraken daarin moeten uiteraard in overeenstemming zijn met hogere regelgeving en grondrechten.
Een school kan daarom bijvoorbeeld afspraken opnemen zoals:
- ouders worden gevraagd vooraf mee te delen wanneer zij een oudercontact wensen op te nemen;
- opnames worden uitsluitend voor persoonlijke doeleinden gemaakt;
- opnames mogen niet zonder geldige rechtsgrond openbaar worden gemaakt of aan derden worden verspreid;
- wanneer een ouder een opname wenst te maken, kan de school voorstellen zelf een schriftelijk verslag van het gesprek te bezorgen of kan een bijkomende medewerker van de school bij het gesprek aanwezig zijn.
De school kan wel afspraken maken over de wijze waarop oudercontacten verlopen en over het verdere gebruik van opnames. Daarbij is het belangrijk onderscheid te maken tussen het maken van de opname en het verspreiden of openbaar maken ervan.
Praktische conclusie voor startende leerkrachten
De eenvoudigste vuistregel is: Een ouder die zelf aan een oudercontact deelneemt, kan het gesprek in beginsel opnemen, ook zonder toestemming van de leerkracht. Het recht om een gesprek op te nemen betekent echter niet dat de ouder de opname daarna vrij mag verspreiden, publiceren of voor gelijk welk doel mag gebruiken. De school kan afspraken maken over opnames, maar een schoolreglement kan de wettelijke regels niet vervangen of uitbreiden.
Vanuit relationeel oogpunt is het wenselijk dat een ouder of voogd meldt een gesprek op te nemen. Omgekeerd lijkt het voor de onderwijsinstelling verstandiger om bij een opname niet onmiddellijk in een juridische discussie terecht te komen, maar te vragen wat het doel ervan is. Soms wil een ouder of voogd bijvoorbeeld enkel zeker zijn dat belangrijke informatie over ondersteuning, evaluatie of verdere afspraken correct wordt onthouden.
Bronnen
- Strafrecht: artikelen 342 en 344 van het nieuwe Strafwetboek, in werking sinds 1 september 2026. Artikel 342 gaat over het onderscheppen/opnemen van privécommunicatie waaraan men zelf niet deelneemt; artikel 344 over bedrieglijk of schadelijk gebruik van wettig gemaakte opnamen.
- Rechtspraak: Hof van Cassatie 17 november 2015, P.15.0880.N, met als belangrijke principes dat een deelnemer een gesprek mag opnemen zonder medeweten van de andere deelnemers en dat het verdere gebruik afzonderlijk aan het recht op privacy moet worden getoetst.
- Gegevensbescherming: artikel 2, lid 2, c AVG over de persoonlijke/huishoudelijke uitzondering en, wanneer de AVG wel van toepassing is, onder meer artikel 6 AVG over de rechtsgronden voor verwerking.
- Onderwijsregelgeving: het Decreet Basisonderwijs en de Codex Secundair Onderwijs.
Nee. Het advies is om de adresgegevens in deze situatie niet door te geven.
Het verstrekken van het adres aan een vorige onderwijsinstelling van een ander bestuur (de verzoeker) is een verwerking van persoonsgegevens waarvoor de huidige onderwijsinstelling een rechtsgrond moet kunnen aantonen overeenkomstig artikel 6 AVG. Bovendien gaat het om een verder gebruik van persoonsgegevens voor een ander doel dan het doel waarvoor de huidige onderwijsinstelling ze in het kader van de onderwijsrelatie heeft verkregen, wat op gespannen voet staat met het doelbindingsbeginsel (art. 5, lid 1, sub b AVG). Het adres wordt bijgehouden in het kader van onder meer de inschrijving, leerlingenadministratie en onderwijsopdracht. Het helpen van een onderwijsinstelling van een ander bestuur bij de inning van een vroegere schoolrekening ligt daar duidelijk buiten.
Ook de regelgeving over gegevensoverdracht tussen onderwijsinstellingen bij een schoolverandering biedt hiervoor geen grondslag. Die overdracht heeft betrekking op gegevens die noodzakelijk zijn voor de onderwijsloopbaan van de leerling en gebeurt in het belang van de leerling. Een adres verstrekken met het oog op de inning van een openstaande rekening valt daar niet onder.
Een beroep op artikel 6, lid 1, f AVG (“gerechtvaardigd belang”) kan niet louter worden uitgesloten omdat het belang bij een onderwijsinstelling van een ander bestuur ligt: deze rechtsgrond kan ook betrekking hebben op het gerechtvaardigd belang van een derde. Het innen van een opeisbare schuld kan op zichzelf een gerechtvaardigd belang vormen. Dat volstaat echter niet. De huidige onderwijsinstelling zou ook moeten kunnen aantonen dat het doorgeven van het adres noodzakelijk is voor dat doel en dat, na afweging, de belangen en grondrechten van de betrokken leerling en/of ouders niet zwaarder wegen.
In deze situatie is die noodzakelijkheid en belangenafweging onvoldoende aangetoond. De leerling of ouders mogen bovendien redelijkerwijze verwachten dat het adres dat zij aan de huidige onderwijsinstelling hebben verstrekt voor onderwijs- en administratieve doeleinden niet zonder meer aan een vroegere school wordt doorgegeven voor schuldinvordering. Wanneer het een minderjarige leerling betreft, verdient diens positie bij die belangenafweging bovendien bijzondere aandacht.
De verzoeker dient gebruik te maken van de contactgegevens waarover zij zelf rechtmatig beschikt en van de rechtmatige procedures die voor de inning van haar vordering beschikbaar zijn.
Als de verzoeker een specifieke wettelijke verplichting, een gerechtelijk bevel of een andere formele juridische grondslag voor de gegevensverstrekking kan voorleggen, kan die vraag uiteraard afzonderlijk worden beoordeeld.
Het verstrekken van het adres aan een vorige onderwijsinstelling van een ander bestuur (de verzoeker) is een verwerking van persoonsgegevens waarvoor de huidige onderwijsinstelling een rechtsgrond moet kunnen aantonen overeenkomstig artikel 6 AVG. Bovendien gaat het om een verder gebruik van persoonsgegevens voor een ander doel dan het doel waarvoor de huidige onderwijsinstelling ze in het kader van de onderwijsrelatie heeft verkregen, wat op gespannen voet staat met het doelbindingsbeginsel (art. 5, lid 1, sub b AVG). Het adres wordt bijgehouden in het kader van onder meer de inschrijving, leerlingenadministratie en onderwijsopdracht. Het helpen van een onderwijsinstelling van een ander bestuur bij de inning van een vroegere schoolrekening ligt daar duidelijk buiten.
Ook de regelgeving over gegevensoverdracht tussen onderwijsinstellingen bij een schoolverandering biedt hiervoor geen grondslag. Die overdracht heeft betrekking op gegevens die noodzakelijk zijn voor de onderwijsloopbaan van de leerling en gebeurt in het belang van de leerling. Een adres verstrekken met het oog op de inning van een openstaande rekening valt daar niet onder.
Een beroep op artikel 6, lid 1, f AVG (“gerechtvaardigd belang”) kan niet louter worden uitgesloten omdat het belang bij een onderwijsinstelling van een ander bestuur ligt: deze rechtsgrond kan ook betrekking hebben op het gerechtvaardigd belang van een derde. Het innen van een opeisbare schuld kan op zichzelf een gerechtvaardigd belang vormen. Dat volstaat echter niet. De huidige onderwijsinstelling zou ook moeten kunnen aantonen dat het doorgeven van het adres noodzakelijk is voor dat doel en dat, na afweging, de belangen en grondrechten van de betrokken leerling en/of ouders niet zwaarder wegen.
In deze situatie is die noodzakelijkheid en belangenafweging onvoldoende aangetoond. De leerling of ouders mogen bovendien redelijkerwijze verwachten dat het adres dat zij aan de huidige onderwijsinstelling hebben verstrekt voor onderwijs- en administratieve doeleinden niet zonder meer aan een vroegere school wordt doorgegeven voor schuldinvordering. Wanneer het een minderjarige leerling betreft, verdient diens positie bij die belangenafweging bovendien bijzondere aandacht.
De verzoeker dient gebruik te maken van de contactgegevens waarover zij zelf rechtmatig beschikt en van de rechtmatige procedures die voor de inning van haar vordering beschikbaar zijn.
Als de verzoeker een specifieke wettelijke verplichting, een gerechtelijk bevel of een andere formele juridische grondslag voor de gegevensverstrekking kan voorleggen, kan die vraag uiteraard afzonderlijk worden beoordeeld.
Nee. Scholen mogen niet zomaar een volledig zorgdossier aan elkaar doorgeven. Tegelijk is bij een schoolverandering ook niet voor elke gegevensoverdracht toestemming van de ouders nodig.
Bij een schoolverandering is de overdracht van bepaalde leerlingengegevens wettelijk geregeld. Voor het basisonderwijs staat dit in art. 31 van het Decreet Basisonderwijs en voor het secundair onderwijs in art. 123/6 van de Codex Secundair Onderwijs.
De oude school draagt relevante leerlingengegevens over aan de nieuwe school, maar alleen wanneer:
Voor deze wettelijk geregelde overdracht is geen toestemming van de ouders nodig. De AVG (GDPR) vereist immers niet altijd toestemming. Wanneer de onderwijsregelgeving de overdracht verplicht, kan de verwerking steunen op art. 6, lid 1, c AVG (wettelijke verplichting). Voor andere verwerkingen binnen de wettelijke onderwijs- en begeleidingsopdracht kan art. 6, lid 1, e AVG (taak van algemeen belang) relevant zijn.
Ouders hebben wel een verzetrecht voor gegevens waarvan de overdracht niet verplicht is. Zij kunnen zich expliciet tegen die overdracht verzetten nadat zij, op hun verzoek, de gegevens hebben ingezien. De school moet ouders transparant informeren over de gegevensoverdracht en het verzetrecht, bijvoorbeeld via het schoolreglement.
Voor bepaalde gegevens heeft de wetgever uitdrukkelijk bepaald dat er geen verzet mogelijk is. Dat geldt, waar toepasselijk, onder meer voor bepaalde IAC-, GC- en OV4-verslagen.
Sinds 1 september 2026 geldt ook een bijzondere regeling voor het tuchtdossier. Dat dossier wordt bij een schoolverandering uitsluitend overgedragen aan een door het schoolbestuur gemandateerd personeelslid van de nieuwe school dat bij de begeleiding van de leerling betrokken is. Het dossier moet vertrouwelijk worden behandeld. Informatie eruit mag binnen het schoolteam alleen verder worden gedeeld wanneer dit noodzakelijk is voor de begeleiding en in het belang van de leerling. Vooraf gaat de school hierover in gesprek met de ouders en de leerling. Tegen de wettelijke overdracht van het tuchtdossier kan geen verzet worden aangetekend.
Extra voorzichtigheid is nodig wanneer zorginformatie gezondheidsgegevens of andere bijzondere persoonsgegevens bevat. Gezondheidsgegevens vallen onder art. 9 AVG. Naast een rechtsgrond uit art. 6 AVG moet daarom ook een toepasselijke uitzondering uit art. 9, lid 2 AVG bestaan. Het feit dat gegevens nuttig zijn voor de nieuwe school volstaat op zichzelf niet. Deel medische of andere bijzondere gegevens dus niet automatisch als onderdeel van een volledig zorgdossier.
Daarnaast blijft het beginsel van minimale gegevensverwerking gelden (art. 5, lid 1, c AVG): geef alleen door wat voor het wettelijk toegestane doel noodzakelijk is. Zorg ook voor passende beveiliging van de overdracht overeenkomstig art. 32 AVG, bijvoorbeeld via een voldoende beveiligd platform.
Het CLB-dossier is apart geregeld. Het multidisciplinair dossier wordt bij een schoolverandering in principe van het oude CLB naar het nieuwe CLB overgedragen. Een bekwame leerling of, afhankelijk van de bekwaamheid van de leerling, de ouders kunnen daartegen onder bepaalde voorwaarden schriftelijk verzet aantekenen binnen tien werkdagen. Dat verzet geldt echter niet voor bepaalde wettelijk opgesomde gegevens, waaronder identificatiegegevens, gegevens over verplichte begeleiding bij leerplichtproblemen, gegevens uit systematische contacten en bepaalde IAC-, GC- en OV4-verslagen.
Kort samengevat: De onderwijsregelgeving bepaalt welke gegevens mogen of moeten worden overgedragen. Een volledig zorgdossier “voor de zekerheid” doorsturen is niet toegestaan; de school moet steeds de wettelijke noodzaak, het belang van de leerling en de AVG-beginselen respecteren.
Bij een schoolverandering is de overdracht van bepaalde leerlingengegevens wettelijk geregeld. Voor het basisonderwijs staat dit in art. 31 van het Decreet Basisonderwijs en voor het secundair onderwijs in art. 123/6 van de Codex Secundair Onderwijs.
De oude school draagt relevante leerlingengegevens over aan de nieuwe school, maar alleen wanneer:
- de gegevens betrekking hebben op de leerlingspecifieke onderwijsloopbaan en essentieel zijn voor het bevorderen, opvolgen, evalueren of attesteren van de studieresultaten en studievoortgang;
- de overdracht in het belang van de leerling gebeurt.
Voor deze wettelijk geregelde overdracht is geen toestemming van de ouders nodig. De AVG (GDPR) vereist immers niet altijd toestemming. Wanneer de onderwijsregelgeving de overdracht verplicht, kan de verwerking steunen op art. 6, lid 1, c AVG (wettelijke verplichting). Voor andere verwerkingen binnen de wettelijke onderwijs- en begeleidingsopdracht kan art. 6, lid 1, e AVG (taak van algemeen belang) relevant zijn.
Ouders hebben wel een verzetrecht voor gegevens waarvan de overdracht niet verplicht is. Zij kunnen zich expliciet tegen die overdracht verzetten nadat zij, op hun verzoek, de gegevens hebben ingezien. De school moet ouders transparant informeren over de gegevensoverdracht en het verzetrecht, bijvoorbeeld via het schoolreglement.
Voor bepaalde gegevens heeft de wetgever uitdrukkelijk bepaald dat er geen verzet mogelijk is. Dat geldt, waar toepasselijk, onder meer voor bepaalde IAC-, GC- en OV4-verslagen.
Sinds 1 september 2026 geldt ook een bijzondere regeling voor het tuchtdossier. Dat dossier wordt bij een schoolverandering uitsluitend overgedragen aan een door het schoolbestuur gemandateerd personeelslid van de nieuwe school dat bij de begeleiding van de leerling betrokken is. Het dossier moet vertrouwelijk worden behandeld. Informatie eruit mag binnen het schoolteam alleen verder worden gedeeld wanneer dit noodzakelijk is voor de begeleiding en in het belang van de leerling. Vooraf gaat de school hierover in gesprek met de ouders en de leerling. Tegen de wettelijke overdracht van het tuchtdossier kan geen verzet worden aangetekend.
Extra voorzichtigheid is nodig wanneer zorginformatie gezondheidsgegevens of andere bijzondere persoonsgegevens bevat. Gezondheidsgegevens vallen onder art. 9 AVG. Naast een rechtsgrond uit art. 6 AVG moet daarom ook een toepasselijke uitzondering uit art. 9, lid 2 AVG bestaan. Het feit dat gegevens nuttig zijn voor de nieuwe school volstaat op zichzelf niet. Deel medische of andere bijzondere gegevens dus niet automatisch als onderdeel van een volledig zorgdossier.
Daarnaast blijft het beginsel van minimale gegevensverwerking gelden (art. 5, lid 1, c AVG): geef alleen door wat voor het wettelijk toegestane doel noodzakelijk is. Zorg ook voor passende beveiliging van de overdracht overeenkomstig art. 32 AVG, bijvoorbeeld via een voldoende beveiligd platform.
Het CLB-dossier is apart geregeld. Het multidisciplinair dossier wordt bij een schoolverandering in principe van het oude CLB naar het nieuwe CLB overgedragen. Een bekwame leerling of, afhankelijk van de bekwaamheid van de leerling, de ouders kunnen daartegen onder bepaalde voorwaarden schriftelijk verzet aantekenen binnen tien werkdagen. Dat verzet geldt echter niet voor bepaalde wettelijk opgesomde gegevens, waaronder identificatiegegevens, gegevens over verplichte begeleiding bij leerplichtproblemen, gegevens uit systematische contacten en bepaalde IAC-, GC- en OV4-verslagen.
Kort samengevat: De onderwijsregelgeving bepaalt welke gegevens mogen of moeten worden overgedragen. Een volledig zorgdossier “voor de zekerheid” doorsturen is niet toegestaan; de school moet steeds de wettelijke noodzaak, het belang van de leerling en de AVG-beginselen respecteren.
Ja, dat kan, maar alleen onder duidelijke voorwaarden.
Wat is het probleem precies?
De opname bevat niet enkel de uitleg van de leerkracht, maar ook vragen en opmerkingen van klasgenoten. Bovendien wordt het geluid via een externe AI-tool omgezet in notities en een samenvatting. Dat zijn twee verwerkingen die elk apart beoordeeld moeten worden: (1) de geluidsopname zelf, en (2) de verwerking van dat geluid door de AI-tool.
Wie is verantwoordelijk?
Ook al zou de leerling zelf de AI-tool aankopen, beheren en gebruiken, blijft het schoolbestuur (mede)verwerkingsverantwoordelijke voor de opname zelf (art. 4, lid 7 AVG/GDPR). De reden: de opname gebeurt tijdens een door de school georganiseerde les, met medeweten van de leerkracht, ter uitvoering van de wettelijke zorgplicht van de school (redelijke aanpassingen bij leerstoornissen). Wie het abonnement betaalt of het account beheert, verandert daar niets aan: dat gaat over de keuze van de tool, niet over de vraag of de opname in de klas mag gebeuren.
Sterker nog: mocht de leerling zelf klant zijn bij de AI-tool, dan heeft de school geen contractuele relatie met die leverancier en dus geen verwerkersovereenkomst (art. 28 AVG). Dat is een extra risico: de school heeft dan geen enkele afdwingbare garantie over hoe lang de tool de audio bewaart, waar de gegevens verwerkt worden en of ze gebruikt worden om AI-modellen te trainen. Dat maakt zorgvuldigheid net belangrijker, niet minder.
Rechtsgrond voor de ondersteuning
Voor de inzetten van de technologie zelf steunt de school op art. 6, lid 1, e) AVG/GDPR (taak van algemeen belang/leerlingenbegeleiding). Toestemming van de leerling is hiervoor niet nodig.
Het knelpunt: klasgenoten
Toestemming vragen aan de hele klas is geen goede oplossing: in de gezagsverhouding van een klas is 'vrije' toestemming twijfelachtig, en één weigering zou de ondersteuning onmogelijk maken. De juiste aanpak is minimalisatie aan de bron (art. 5 AVG/GDPR): de opname technisch beperken tot de leerkracht, bijvoorbeeld met een microfoon dicht bij de leerkracht, zodat klasgenoten niet of nauwelijks hoorbaar zijn. Worden zij niet opgenomen, dan is er voor hen ook geen rechtsgrond nodig: het probleem lost zich op aan de bron.
Ter vergelijking: Bednet, dat afstandsondersteuning organiseert voor langdurig zieke leerlingen, laat opnames van de klas principieel niet toe (hun software is er zelfs niet voor uitgerust), precies om de privacy van leerlingen en leerkrachten te beschermen. Dat bevestigt dat de oplossing zit in het vermijden van de opname van derden, niet in toestemming vragen aan een hele klas.
De AI-verordening (AI-Act)
Deze toepassing lijkt geen hoogrisicosysteem (ze beslist niet over de leerling), maar we moeten wel aandacht hebben voor: AI-geletterdheid (de leerling moet de beperkingen van de tool begrijpen, zoals fouten in de samenvatting), transparantie (duidelijk dat het om AI-gegenereerde tekst gaat), en menselijk toezicht (de leerling controleert de samenvatting tegenover de eigenlijke leerstof).
Voorwaarden
Om dit verantwoord toe te staan, stellen we de volgende voorwaarden voor:
Wat is het probleem precies?
De opname bevat niet enkel de uitleg van de leerkracht, maar ook vragen en opmerkingen van klasgenoten. Bovendien wordt het geluid via een externe AI-tool omgezet in notities en een samenvatting. Dat zijn twee verwerkingen die elk apart beoordeeld moeten worden: (1) de geluidsopname zelf, en (2) de verwerking van dat geluid door de AI-tool.
Wie is verantwoordelijk?
Ook al zou de leerling zelf de AI-tool aankopen, beheren en gebruiken, blijft het schoolbestuur (mede)verwerkingsverantwoordelijke voor de opname zelf (art. 4, lid 7 AVG/GDPR). De reden: de opname gebeurt tijdens een door de school georganiseerde les, met medeweten van de leerkracht, ter uitvoering van de wettelijke zorgplicht van de school (redelijke aanpassingen bij leerstoornissen). Wie het abonnement betaalt of het account beheert, verandert daar niets aan: dat gaat over de keuze van de tool, niet over de vraag of de opname in de klas mag gebeuren.
Sterker nog: mocht de leerling zelf klant zijn bij de AI-tool, dan heeft de school geen contractuele relatie met die leverancier en dus geen verwerkersovereenkomst (art. 28 AVG). Dat is een extra risico: de school heeft dan geen enkele afdwingbare garantie over hoe lang de tool de audio bewaart, waar de gegevens verwerkt worden en of ze gebruikt worden om AI-modellen te trainen. Dat maakt zorgvuldigheid net belangrijker, niet minder.
Rechtsgrond voor de ondersteuning
Voor de inzetten van de technologie zelf steunt de school op art. 6, lid 1, e) AVG/GDPR (taak van algemeen belang/leerlingenbegeleiding). Toestemming van de leerling is hiervoor niet nodig.
Het knelpunt: klasgenoten
Toestemming vragen aan de hele klas is geen goede oplossing: in de gezagsverhouding van een klas is 'vrije' toestemming twijfelachtig, en één weigering zou de ondersteuning onmogelijk maken. De juiste aanpak is minimalisatie aan de bron (art. 5 AVG/GDPR): de opname technisch beperken tot de leerkracht, bijvoorbeeld met een microfoon dicht bij de leerkracht, zodat klasgenoten niet of nauwelijks hoorbaar zijn. Worden zij niet opgenomen, dan is er voor hen ook geen rechtsgrond nodig: het probleem lost zich op aan de bron.
Ter vergelijking: Bednet, dat afstandsondersteuning organiseert voor langdurig zieke leerlingen, laat opnames van de klas principieel niet toe (hun software is er zelfs niet voor uitgerust), precies om de privacy van leerlingen en leerkrachten te beschermen. Dat bevestigt dat de oplossing zit in het vermijden van de opname van derden, niet in toestemming vragen aan een hele klas.
De AI-verordening (AI-Act)
Deze toepassing lijkt geen hoogrisicosysteem (ze beslist niet over de leerling), maar we moeten wel aandacht hebben voor: AI-geletterdheid (de leerling moet de beperkingen van de tool begrijpen, zoals fouten in de samenvatting), transparantie (duidelijk dat het om AI-gegenereerde tekst gaat), en menselijk toezicht (de leerling controleert de samenvatting tegenover de eigenlijke leerstof).
Voorwaarden
Om dit verantwoord toe te staan, stellen we de volgende voorwaarden voor:
- De opname wordt technisch beperkt tot de leerkracht, niet de volledige klas.
- Betrek de ouders/voogd expliciet en leg schriftelijk vast: doel van het gebruik, bewaartermijn van de notities, geen delen met derden en het feit dat de AI-output gecontroleerd moet worden.
- Maak afspraken met de leerkracht: vragen van klasgenoten zelf herhalen zonder naam, geen gevoelige inhoud tijdens opgenomen momenten.
- Informeer de klas/ouders in algemene zin dat in bepaalde lessen een beperkte opname kan gebeuren ter ondersteuning van een leerling, zonder die leerling te identificeren.
- Mocht het bestuur zelf beslissen om een dergelijke technologie aan te kopen, te beheren en in te zetten, dan moet het bestuur zorgen voor een verwerkersovereenkomst, de privacy- en gebruiksvoorwaarden bekijken en de verwerking opnemen in het register van verwerkingsactiviteiten. Het voordeel is dan dat het bestuur van de onderwijsinstelling meer controle heeft over de gegevensverwerking.
Nee, dit kan niet. Het uitgebreid antwoord hebben we opgesplitst in vier items, telkens rond een duidelijk deelonderwerp.
Vraag: Moet je altijd toestemming vragen voordat je een foto van een leerling mag posten?
Antwoord: Een foto waarop je een leerling herkent, telt als een persoonsgegeven (informatie waarmee je iemand kan identificeren). Daarom valt die foto onder de privacywet AVG/GDPR. Of je toestemming nodig hebt, hangt af van het soort foto:
Vraag: Is de toestemming die de ouders al gaven voor foto's op sociale media voldoende?
Antwoord: Niet zomaar. Toestemming is maar geldig als ze aan een aantal voorwaarden voldoet:
Vraag: Wat is het probleem als leerkrachten deze Facebookgroepen beheren met hun privé-account in plaats van een schoolaccount?
Antwoord: Het bestuur/de onderwijsinstelling blijft wettelijk altijd verantwoordelijk voor wat er met de foto's van de leerlingen gebeurt. Maar als een groep gemaakt is met het privé-account van een leerkracht, heeft de school geen zicht en geen controle meer. Ze kan dan bijvoorbeeld niet meer nagaan:
Antwoord: Een paar zaken helpen om het risico op een incident of klacht te verkleinen:
Vraag: Moet je altijd toestemming vragen voordat je een foto van een leerling mag posten?
Antwoord: Een foto waarop je een leerling herkent, telt als een persoonsgegeven (informatie waarmee je iemand kan identificeren). Daarom valt die foto onder de privacywet AVG/GDPR. Of je toestemming nodig hebt, hangt af van het soort foto:
- Een sfeerfoto, bijvoorbeeld een groepsfoto tijdens een schoolreis, waarop niemand apart in beeld komt: hiervoor moet je de ouders wel informeren, maar je hebt geen aparte toestemming nodig.
- Een gerichte foto, bijvoorbeeld een close-up of een foto waarop één leerling duidelijk en alleen te zien is: hiervoor heb je wel uitdrukkelijke toestemming nodig. Vanaf ongeveer 12-14 jaar moet zowel de leerling zelf (met onderscheidingsvermogen) als de ouders toestemming geven.
Vraag: Is de toestemming die de ouders al gaven voor foto's op sociale media voldoende?
Antwoord: Niet zomaar. Toestemming is maar geldig als ze aan een aantal voorwaarden voldoet:
- Vrijwillig gegeven, zonder druk.
- Specifiek: voor een duidelijk omschreven doel, dus niet "voor gebruik van foto's in het algemeen".
- Op basis van goede informatie: de ouders moeten weten waarvoor de foto's precies gebruikt worden.
- Duidelijk en actief gegeven, bijvoorbeeld met een handtekening. Zwijgen of een vooraf aangevinkt vakje telt niet.
- Aantoonbaar: de school moet kunnen bewijzen dat de toestemming er is.
Vraag: Wat is het probleem als leerkrachten deze Facebookgroepen beheren met hun privé-account in plaats van een schoolaccount?
Antwoord: Het bestuur/de onderwijsinstelling blijft wettelijk altijd verantwoordelijk voor wat er met de foto's van de leerlingen gebeurt. Maar als een groep gemaakt is met het privé-account van een leerkracht, heeft de school geen zicht en geen controle meer. Ze kan dan bijvoorbeeld niet meer nagaan:
- wie er lid is van de groep,
- wie de groep precies beheert,
- hoe lang de foto's bewaard blijven,
- of foto's verwijderd worden als dat nodig is,
- of foto's worden doorgedeeld naar andere groepen.
Antwoord: Een paar zaken helpen om het risico op een incident of klacht te verkleinen:
- Werk met een schoolaccount in plaats van het privé-account van de leerkracht. Zo heeft de school wel de nodige rechten om de groep te beheren, leden te zien en foto's te verwijderen. Beter nog, werk met een (interne) besloten groep.
- Maak een duidelijk beleid over foto's: wie mag foto's nemen en posten, wat mag wel en niet gedeeld worden en hoe lang blijven foto's online staan.
- Zorg voor een eenvoudige manier waarop ouders (of andere betrokkenen) kunnen vragen om een foto te laten verwijderen.
Ja, onder voorwaarden.
Voorbeeld: Een school gebruikt een AI-systeem dat leerkrachten ondersteunt bij het analyseren van leerresultaten, het identificeren van sterktes en zwaktes van leerlingen, het genereren van gepersonaliseerde oefeningen en het formuleren van pedagogisch-didactische suggesties. Het systeem helpt daarnaast bij het analyseren van leerdata en het aanbieden van extra ondersteuning aan leerlingen.
De rechtsgrond ‘Taak van algemeen belang’ (artikel 6(1)(e) AVG/GDPR) lijkt hier de meest geschikte rechtsgrond, aangezien de verwerking verband houdt met de pedagogische opdracht van de school, waaronder onderwijsverstrekking en leerlingenbegeleiding. Daarbij moet de school wel kunnen aantonen dat de verwerking noodzakelijk en proportioneel is voor het beoogde onderwijsdoel. Ook de beginselen van dataminimalisatie en transparantie blijven zeer belangrijk, zeker wanneer het systeem leerdata analyseert of aanbevelingen genereert over individuele leerlingen.
Bron: MAIVO-studie (Monitoring AI-integratie en -percepties in Vlaamse onderwijs)
Voorbeeld: Een school gebruikt een AI-systeem dat leerkrachten ondersteunt bij het analyseren van leerresultaten, het identificeren van sterktes en zwaktes van leerlingen, het genereren van gepersonaliseerde oefeningen en het formuleren van pedagogisch-didactische suggesties. Het systeem helpt daarnaast bij het analyseren van leerdata en het aanbieden van extra ondersteuning aan leerlingen.
De rechtsgrond ‘Taak van algemeen belang’ (artikel 6(1)(e) AVG/GDPR) lijkt hier de meest geschikte rechtsgrond, aangezien de verwerking verband houdt met de pedagogische opdracht van de school, waaronder onderwijsverstrekking en leerlingenbegeleiding. Daarbij moet de school wel kunnen aantonen dat de verwerking noodzakelijk en proportioneel is voor het beoogde onderwijsdoel. Ook de beginselen van dataminimalisatie en transparantie blijven zeer belangrijk, zeker wanneer het systeem leerdata analyseert of aanbevelingen genereert over individuele leerlingen.
Bron: MAIVO-studie (Monitoring AI-integratie en -percepties in Vlaamse onderwijs)
Ja, als een extern AI-systeem persoonsgegevens verwerkt, zijn de regels van de AVG/GDPR van toepassing.
AI-systemen kunnen persoonsgegevens verwerken in twee fases:
Een voorbeeld: als een leerkracht in een chatbot namen, adressen of andere gegevens van leerlingen invoert, dan verwerkt het systeem persoonsgegevens en is de AVG/GDPR van toepassing.
AI-systemen kunnen ook persoonsgegevens genereren als output, bijvoorbeeld door voorspellingen of conclusies te maken over een persoon. Zo kan een systeem bijvoorbeeld de slaagkansen van een leerling inschatten.
Niet elk gebruik van AI leidt tot de verwerking van persoonsgegevens. Een chatbot kan bijvoorbeeld worden gebruikt om lesmateriaal te maken of leerstof uit te leggen zonder persoonsgegevens te verwerken.
Het is daarom belangrijk om bij elk gebruik van een AI-systeem na te gaan of er persoonsgegevens worden verwerkt. Als dat zo is, moeten alle verplichtingen van de AVG/GDPR worden nageleefd.
Belangrijk voor de praktijk: het feit dat iets "verwerking" is, wil niet zeggen dat het zomaar mag. Voor elke AI-toepassing moet het schoolbestuur als verwerkingsverantwoordelijke nagaan: (1) is er een rechtsgrond, (2) is er een verwerkersovereenkomst met de leverancier, (3) is een DPIA nodig, (4) worden ouders/leerlingen geïnformeerd, (5) wat gebeurt er met de ingevoerde gegevens en (6) waar staan de persoonsgegevens (binnen of buiten de EER)? Voer nooit meer persoonsgegevens in dan strikt nodig; gebruik waar mogelijk fictieve namen.
AI-systemen kunnen persoonsgegevens verwerken in twee fases:
- Tijdens de training van het systeem
Het AI-model leert uit grote hoeveelheden gegevens. Als die gegevens persoonsgegevens bevatten, moet de verwerking voldoen aan de AVG/GDPR. - Tijdens het gebruik van het systeem
Gebruikers kunnen nieuwe gegevens invoeren, waaronder persoonsgegevens. Ook dan geldt de AVG/GDPR, zelfs als deze gegevens niet worden gebruikt om het model verder te trainen. Het invoeren en gebruiken van persoonsgegevens wordt namelijk beschouwd als een verwerking van persoonsgegevens.
Een voorbeeld: als een leerkracht in een chatbot namen, adressen of andere gegevens van leerlingen invoert, dan verwerkt het systeem persoonsgegevens en is de AVG/GDPR van toepassing.
AI-systemen kunnen ook persoonsgegevens genereren als output, bijvoorbeeld door voorspellingen of conclusies te maken over een persoon. Zo kan een systeem bijvoorbeeld de slaagkansen van een leerling inschatten.
Niet elk gebruik van AI leidt tot de verwerking van persoonsgegevens. Een chatbot kan bijvoorbeeld worden gebruikt om lesmateriaal te maken of leerstof uit te leggen zonder persoonsgegevens te verwerken.
Het is daarom belangrijk om bij elk gebruik van een AI-systeem na te gaan of er persoonsgegevens worden verwerkt. Als dat zo is, moeten alle verplichtingen van de AVG/GDPR worden nageleefd.
Belangrijk voor de praktijk: het feit dat iets "verwerking" is, wil niet zeggen dat het zomaar mag. Voor elke AI-toepassing moet het schoolbestuur als verwerkingsverantwoordelijke nagaan: (1) is er een rechtsgrond, (2) is er een verwerkersovereenkomst met de leverancier, (3) is een DPIA nodig, (4) worden ouders/leerlingen geïnformeerd, (5) wat gebeurt er met de ingevoerde gegevens en (6) waar staan de persoonsgegevens (binnen of buiten de EER)? Voer nooit meer persoonsgegevens in dan strikt nodig; gebruik waar mogelijk fictieve namen.
Een leerkracht mag niet zomaar een herkenbare foto van een leerling uploaden in een AI-tool om die te bewerken. Het kan in bepaalde omstandigheden wel, maar de school moet vooraf nagaan of de verwerking juridisch en technisch voldoende beschermd is.
Een herkenbare leerlingfoto is een persoonsgegeven
Een foto waarop een leerling herkenbaar is, is een persoonsgegeven in de zin van art. 4, punt 1 AVG/GDPR. Het uploaden van die foto naar een AI-tool en het laten bewerken ervan zijn verwerkingen van persoonsgegevens. Een gewone foto is daarbij niet automatisch een biometrisch of bijzonder persoonsgegeven. Dat wordt pas relevant wanneer specifieke technische verwerking wordt gebruikt om iemand uniek te identificeren, bijvoorbeeld gezichtsherkenning.
Welke rechtsgrond kan de school gebruiken?
Elke verwerking heeft een rechtsgrond uit art. 6 AVG nodig. Voor verwerkingen die noodzakelijk zijn om de wettelijke onderwijsopdracht uit te voeren, kan een school in bepaalde gevallen steunen op art. 6, lid 1, e AVG: taak van algemeen belang. Bij een kunstles rijst bijvoorbeeld de vraag of het echt nodig is om een herkenbare foto van een leerling naar een externe AI-dienst te sturen. Als hetzelfde pedagogische doel ook kan worden bereikt met een fictief portret, een rechtenvrije foto of een ander niet-persoonsgebonden beeld, is het moeilijker om te stellen dat de verwerking van de leerlingfoto noodzakelijk is.
Toestemming als rechtsgrond is niet automatisch de oplossing.
De rechtsgrond toestemming moet volgens art. 4, punt 11 en art. 7 AVG vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. In een schoolcontext moet men extra voorzichtig zijn omdat een leerling zich onder druk kan voelen om mee te doen.
Ook de gekozen AI-tool moet geschikt zijn
De grondslag alleen is niet voldoende. De school moet ook beoordelen wat er bij de AI-leverancier met de foto gebeurt. Wanneer een leverancier persoonsgegevens in opdracht van de school verwerkt, gelden de voorwaarden van art. 28 AVG, waaronder passende contractuele afspraken met de verwerker.
De school moet daarom onder andere nagaan:
Wat met de AI-Act?
Ook de Europese AI-verordening (AI-Act, Verordening (EU) 2024/1689) kan relevant zijn. Art. 50 AI-Act bevat onder andere transparantieregels voor bepaalde door AI gegenereerde of gemanipuleerde beelden, waaronder deepfakes. Niet iedere artistieke AI-bewerking van een foto is automatisch een deepfake. Voor duidelijk artistieke of creatieve werken voorziet de AI-Act bovendien in een aangepaste transparantieverplichting. Los daarvan is het in een onderwijscontext een goede praktijk om duidelijk aan te geven dat een afbeelding met AI werd gegenereerd of bewerkt.
Wat betekent dit voor het voorbeeld uit een kunstles?
Een leerkracht mag niet zomaar foto's van leerlingen naar een AI-tool uploaden. De voorkeur gaat naar een door de school goedgekeurde AI-tool waarvan de privacyvoorwaarden, contractuele afspraken en beveiliging vooraf zijn onderzocht.
Vervolgens moet de school bepalen op welke rechtsgrond de verwerking gebeurt en of het gebruik van een herkenbare leerlingfoto werkelijk nodig en proportioneel is. Kan dat niet voldoende worden onderbouwd, dan is de eenvoudigste en veiligste oplossing om voor de kunstopdracht te werken met fictieve personen of beelden waarop de leerling niet herkenbaar is.
Het is ook geen oplossing om te zeggen: "de leerling uploadt zijn eigen foto zelf". Wanneer dit gebeurt als onderdeel van een door de school georganiseerde lesopdracht, kan de school nog steeds verantwoordelijk zijn voor die verwerking.
Een herkenbare leerlingfoto is een persoonsgegeven
Een foto waarop een leerling herkenbaar is, is een persoonsgegeven in de zin van art. 4, punt 1 AVG/GDPR. Het uploaden van die foto naar een AI-tool en het laten bewerken ervan zijn verwerkingen van persoonsgegevens. Een gewone foto is daarbij niet automatisch een biometrisch of bijzonder persoonsgegeven. Dat wordt pas relevant wanneer specifieke technische verwerking wordt gebruikt om iemand uniek te identificeren, bijvoorbeeld gezichtsherkenning.
Welke rechtsgrond kan de school gebruiken?
Elke verwerking heeft een rechtsgrond uit art. 6 AVG nodig. Voor verwerkingen die noodzakelijk zijn om de wettelijke onderwijsopdracht uit te voeren, kan een school in bepaalde gevallen steunen op art. 6, lid 1, e AVG: taak van algemeen belang. Bij een kunstles rijst bijvoorbeeld de vraag of het echt nodig is om een herkenbare foto van een leerling naar een externe AI-dienst te sturen. Als hetzelfde pedagogische doel ook kan worden bereikt met een fictief portret, een rechtenvrije foto of een ander niet-persoonsgebonden beeld, is het moeilijker om te stellen dat de verwerking van de leerlingfoto noodzakelijk is.
Toestemming als rechtsgrond is niet automatisch de oplossing.
De rechtsgrond toestemming moet volgens art. 4, punt 11 en art. 7 AVG vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. In een schoolcontext moet men extra voorzichtig zijn omdat een leerling zich onder druk kan voelen om mee te doen.
Ook de gekozen AI-tool moet geschikt zijn
De grondslag alleen is niet voldoende. De school moet ook beoordelen wat er bij de AI-leverancier met de foto gebeurt. Wanneer een leverancier persoonsgegevens in opdracht van de school verwerkt, gelden de voorwaarden van art. 28 AVG, waaronder passende contractuele afspraken met de verwerker.
De school moet daarom onder andere nagaan:
- welke rol de AI-aanbieder heeft: verwerker, verwerkingsverantwoordelijke of gezamenlijke verwerkingsverantwoordelijke;
- of er, indien nodig, een verwerkersovereenkomst of DPA bestaat;
- of ingevoerde foto's worden gebruikt voor training of andere eigen doeleinden;
- hoe lang gegevens worden bewaard;
- welke beveiligingsmaatregelen gelden;
- waar de persoonsgegevens worden verwerkt en welke regeling geldt voor eventuele doorgifte buiten de EER, overeenkomstig Hoofdstuk V AVG.
Wat met de AI-Act?
Ook de Europese AI-verordening (AI-Act, Verordening (EU) 2024/1689) kan relevant zijn. Art. 50 AI-Act bevat onder andere transparantieregels voor bepaalde door AI gegenereerde of gemanipuleerde beelden, waaronder deepfakes. Niet iedere artistieke AI-bewerking van een foto is automatisch een deepfake. Voor duidelijk artistieke of creatieve werken voorziet de AI-Act bovendien in een aangepaste transparantieverplichting. Los daarvan is het in een onderwijscontext een goede praktijk om duidelijk aan te geven dat een afbeelding met AI werd gegenereerd of bewerkt.
Wat betekent dit voor het voorbeeld uit een kunstles?
Een leerkracht mag niet zomaar foto's van leerlingen naar een AI-tool uploaden. De voorkeur gaat naar een door de school goedgekeurde AI-tool waarvan de privacyvoorwaarden, contractuele afspraken en beveiliging vooraf zijn onderzocht.
Vervolgens moet de school bepalen op welke rechtsgrond de verwerking gebeurt en of het gebruik van een herkenbare leerlingfoto werkelijk nodig en proportioneel is. Kan dat niet voldoende worden onderbouwd, dan is de eenvoudigste en veiligste oplossing om voor de kunstopdracht te werken met fictieve personen of beelden waarop de leerling niet herkenbaar is.
Het is ook geen oplossing om te zeggen: "de leerling uploadt zijn eigen foto zelf". Wanneer dit gebeurt als onderdeel van een door de school georganiseerde lesopdracht, kan de school nog steeds verantwoordelijk zijn voor die verwerking.
Nee, in principe niet.
Een auditrapport dat een school laat opmaken door een extern bedrijf, is iets anders dan een doorlichtingsverslag van de onderwijsinspectie. Zo'n doorlichtingsverslag is wel publiek raadpleegbaar, maar een extern auditrapport niet. Er bestaat dus niet zomaar een recht op inzage in zo'n auditrapport. Het schoolbestuur mag er wel voor kiezen om het rapport (of een deel ervan) toch met het personeel te delen, maar verplicht is dat niet.
Heeft de audit geleid tot organisatorische wijzigingen, wijzigingen in de tewerkstelling, of tot gebeurtenissen of interne beslissingen met een belangrijke weerslag op het personeel? Of gaat het over iets anders dat onder de bevoegdheid van het lokaal onderhandelingscomité valt? Dan kan het aangewezen zijn dat het lokaal onderhandelingscomité hierover informatie of minstens toelichting vraagt aan het schoolbestuur.
Een auditrapport dat een school laat opmaken door een extern bedrijf, is iets anders dan een doorlichtingsverslag van de onderwijsinspectie. Zo'n doorlichtingsverslag is wel publiek raadpleegbaar, maar een extern auditrapport niet. Er bestaat dus niet zomaar een recht op inzage in zo'n auditrapport. Het schoolbestuur mag er wel voor kiezen om het rapport (of een deel ervan) toch met het personeel te delen, maar verplicht is dat niet.
Heeft de audit geleid tot organisatorische wijzigingen, wijzigingen in de tewerkstelling, of tot gebeurtenissen of interne beslissingen met een belangrijke weerslag op het personeel? Of gaat het over iets anders dat onder de bevoegdheid van het lokaal onderhandelingscomité valt? Dan kan het aangewezen zijn dat het lokaal onderhandelingscomité hierover informatie of minstens toelichting vraagt aan het schoolbestuur.
Een school mag niet zomaar bewakingscamera’s plaatsen. Wanneer camera’s worden gebruikt om bijvoorbeeld vandalisme, diefstal, overlast of andere veiligheidsincidenten te voorkomen of vast te stellen, is in principe de Camerawet van toepassing. Daarnaast moet de school de AVG/GDPR naleven. Volg deze stappen:
Doorloop de noodzaak-, proportionaliteits- en privacytoets vóór camera’s worden besteld of geplaatst. Betrek tijdig het AIV/IPCO. Bij twijfel over een ingrijpende of omvangrijke cameratoepassing (bijvoorbeeld een camera gericht op de toegang tot sanitaire ruimten of kleedkamers, of camerabewaking in klaslokalen) is voorafgaand DPO-advies aangewezen.
- Omschrijf waarom de camera nodig is en waar hij zou worden geplaatst. Ga vervolgens na of hetzelfde doel redelijkerwijs kan worden bereikt met een minder ingrijpende maatregel, zoals beter toezicht, aangepaste sloten, toegangscontrole, verlichting of andere organisatorische maatregelen. De camera mag niet meer personen, plaatsen of tijdstippen filmen dan noodzakelijk. Camera’s mogen geen beelden verwerken die de intimiteit van personen schenden. Een camera in bijvoorbeeld een toilet, douche of ruimte waarin personen zich uit- of omkleden is daarom niet toegestaan. Een camera buiten zo’n ruimte, bijvoorbeeld gericht op de toegangsdeur wegens concrete veiligheidsproblemen, moet afzonderlijk op noodzaak en proportionaliteit worden beoordeeld.
- Bepaal de rechtsgrond (art. 6 AVG). Meestal is dit "gerechtvaardigd belang" (art. 6, lid 1, f AVG/GDPR: bijvoorbeeld beveiliging van gebouwen tegen vandalisme). Documenteer de gekozen rechtsgrond, het doel, de onderzochte alternatieven en de proportionaliteitsafweging zodat de onderwijsinstelling haar keuze kan verantwoorden.
- De verwerkingsverantwoordelijke moet de bewakingscamera’s uiterlijk de dag vóór de ingebruikname aangeven bij de politiediensten via www.aangiftecamera.be. Wijzigingen aan het camerasysteem moeten worden bijgewerkt. De aangifte moet jaarlijks worden gecontroleerd en gevalideerd.
- Neem de verwerking op in het register van verwerkingsactiviteiten (art. 30 AVG/GDPR). Daarnaast verplicht de Camerawet de verwerkingsverantwoordelijke om een afzonderlijk intern register van de beeldverwerkingsactiviteiten bij te houden, dat ter beschikking wordt gehouden van de Gegevensbeschermingsautoriteit. Het Aanspreekpunt Informatieveiligheid (AIV) of Informatieveiligheid en Privacy coördinator (IPCO) van de onderwijsinstelling kan hierbij helpen.
- Werk de privacyverklaring bij (art. 12–14 AVG) voor leerlingen, ouders en personeelsleden: vermeld dat er camera's hangen, waarom en hoelang de beelden bewaard worden.
- Hang het verplichte pictogram op aan de ingang van het gebouw of terrein. De vereiste afmetingen zijn afhankelijk van het type en de inrichting van de bewaakte plaats. Op het pictogram staan de wettelijk voorgeschreven vermeldingen, waaronder “Camerabewaking – Wet van 21 maart 2007”, de naam van de verwerkingsverantwoordelijke en de vereiste contactgegevens. Indien van toepassing worden ook de gegevens van de DPO en een website met verdere privacy-informatie vermeld. Zo weet iedereen die gefilmd wordt bij wie hij terechtkan.
- Richt de camera uitsluitend op de zones die noodzakelijk zijn voor het vastgelegde doel. Film de openbare weg, aangrenzende eigendommen en andere niet-relevante zones niet specifiek. Wanneer een klein gedeelte daarvan technisch onvermijdelijk in beeld komt, moet dit tot het strikte minimum worden beperkt.
- Bewakingsbeelden mogen in beginsel niet langer dan één maand worden bewaard wanneer zij niet kunnen bijdragen aan het bewijs van een misdrijf, schade of overlast of aan de identificatie van betrokken personen. Wanneer beelden betrekking hebben op een concreet incident en nodig zijn als bewijs of voor identificatie, kunnen de relevante beelden langer worden bewaard zolang dat daarvoor noodzakelijk is.
- Alleen personen die de beelden voor hun functie daadwerkelijk nodig hebben, mogen toegang krijgen. Leg vast wie beelden mag bekijken, in welke omstandigheden en voor welke doeleinden. Bescherm de beelden technisch en organisatorisch tegen ongeoorloofde toegang, kopiëren, verlies of verspreiding. Wanneer een externe leverancier beelden bewaart of voor de school verwerkt, moet ook worden nagegaan welke AVG/GDPR-afspraken en beveiligingsmaatregelen met die leverancier nodig zijn.
- Een gegevensbeschermingseffectbeoordeling (GEB of DPIA) is verplicht wanneer de voorgenomen camerabewaking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen. Daarbij zijn onder meer de omvang en systematiek van de monitoring, de aard van de locatie en het feit dat kinderen worden gevolgd belangrijke aandachtspunten. Voer deze beoordeling uit vóór de camera’s worden aangekocht of in gebruik worden genomen.
- Zijn de camera’s bedoeld om bijvoorbeeld de arbeid van de werknemer te controleren, dan gelden andere regels. Die bewaking valt buiten de Camerawet en wordt geregeld door CAO nr. 68: "camerabewaking op de arbeidsplaats", samen met de AVG/GDPR. Dient hetzelfde camerasysteem tegelijk ook om misdrijven of overlast te voorkomen, dan gelden beide regimes naast elkaar. Onder CAO nr. 68 gelden specifieke regels over de toegelaten doeleinden, proportionaliteit, voorafgaande informatie en overleg met de werknemersvertegenwoordiging.
Doorloop de noodzaak-, proportionaliteits- en privacytoets vóór camera’s worden besteld of geplaatst. Betrek tijdig het AIV/IPCO. Bij twijfel over een ingrijpende of omvangrijke cameratoepassing (bijvoorbeeld een camera gericht op de toegang tot sanitaire ruimten of kleedkamers, of camerabewaking in klaslokalen) is voorafgaand DPO-advies aangewezen.
Het antwoord op deze vraag is tot nader order positief.
Sinds 26 april 2004 zijn de Externe Diensten voor Preventie en Bescherming op het Werk (EDPBW’s) gemachtigd tot het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen voor het vervullen van hun verplichtingen inzake medisch toezicht en risicobeheer overeenkomstig art. 40 van de wet van 4 augustus 1996 betreffende het welzijn van de werknemers bij de uitvoering van hun werk.
In de beraadslaging lezen we het volgende: “Er wordt verduidelijkt dat het identificatienummer van het Rijksregister "de eenduidige identificatie mogelijk zal maken van de werknemers die tewerkgesteld zijn bij bedrijven die aangesloten zijn bij de Externe Diensten voor Preventie en Bescherming op het werk" en meer bepaald:
Voornoemde machtiging is bovendien tweemaal uitgebreid.
Vooreerst heeft men vanaf 2 mei 2007 de EDPBW’s toegang verleend, niet alleen tot het rijksregisternummer, maar ook tot enkele andere gegevens van het Rijksregister, met name:
In de beraadslaging lezen we het volgende: “Er wordt verduidelijkt dat het identificatienummer van het Rijksregister "de eenduidige identificatie mogelijk zal maken van de werknemers die tewerkgesteld zijn bij bedrijven die aangesloten zijn bij de Externe Diensten voor Preventie en Bescherming op het werk" en meer bepaald:
- om de werknemers op te roepen voor het medisch onderzoek, opgelegd bij de voormelde wet van 4 augustus 1996;
- om hen toe te laten hun diensten in rekening te brengen bij de werkgevers die om hun tussenkomst verzoeken.
Voornoemde machtiging is bovendien tweemaal uitgebreid.
Vooreerst heeft men vanaf 2 mei 2007 de EDPBW’s toegang verleend, niet alleen tot het rijksregisternummer, maar ook tot enkele andere gegevens van het Rijksregister, met name:
- de naam en voornamen
- de geboorteplaats en –datum
- het geslacht
- de nationaliteit
- de hoofdverblijfplaats
- de EDPBW’s mogen het identificatienummer in hun relaties met de werkgever uitsluitend gebruiken om informatie te ontvangen of te verstrekken omtrent de houder van het identificatienummer in het kader van de verplichtingen welke hen zijn opgelegd door of krachtens een wets– of reglementsbepaling;
- de werkgevers mogen krachtens deze machtiging slechts over het nummer beschikken gedurende de tijd nodig voor het uitvoeren van hun verplichtingen jegens de EDPBW’s en enkel met dat doel zonder dat hierdoor afbreuk gedaan wordt aan het gebruik dat hen door andere machtigingsbesluiten wordt opgelegd;
- teneinde het voordeel van het gebruik te verzekeren, is de vermelding ervan verplicht in de communicaties tussen de EDPBW’s en de werkgevers.
Nee, tenzij geanonimiseerd.
Elke verwerking van persoonsgegevens moet een doelbinding en grondslag hebben voor de GDPR (AVG). Het doel is het maken van een verslag en mogelijk andere opdrachten aangaande een observatiemoment of stageles. Hiervoor is het echter niet nodig om leerlingen te identificeren in de tekst. De stagiair kan dit even goed doen m.b.v. anonimisering, zoals bv. het gebruik van "leerling A, leerling B, ..." of soortgelijke vermeldingen. Het bij naam noemen van leerlingen is met andere woorden niet proportioneel voor het gestelde doel en derhalve niet aanvaardbaar volgens de basisprincipes van de GDPR privacyverordening.
Ja, maar vraag toestemming aan de leerlingen die in beeld komen en respecteer de beginselen van de GDPR.
Elke verwerking van persoonsgegevens moet een doelbinding en grondslag hebben voor de GDPR (AVG). Het doel is het observeren, beoordelen en begeleiden van de stageopdracht. Aangezien het over beeld- en geluidsopnames gaat, die vanuit de verantwoordelijkheid van de school gezien niet volgen vanuit hun taken naar de leerlingen en eventueel leerkrachten toe die gefilmd zullen worden, moet men voor het filmen in dit geval de uitdrukkelijke toestemming van de betrokkenen vragen.
Aangezien het filmen in het belang van de stagiair gebeurt, dient de stagiair in feite de toestemming hiervoor te bekomen en moet hij/zij deze dus ook kunnen aantonen. Voor minderjarige leerlingen zijn het in principe een ouder(s) of voogd die de toestemming moeten geven. Indien de leerlingen over voldoende onderscheidingsvermogen beschikken (meestal legt men de leeftijd hiervoor tussen 12 en 14 jaar) dan zou men hen desgevallend zelf om deze toestemming kunnen vragen. Uiteraard zal de school dit in de praktijk wel moeten faciliteren (bv. door het voorafgaand bezorgen van een toestemmingsbrief).
Indien (de ouder/voogd van) een aantal leerlingen geen toestemming geven om te filmen, dan zal de school mogelijk organisatorisch maatregelen moeten nemen om er voor te zorgen dat het filmen desgevallend kan doorgaan, bv. door het verstandig opstellen van de camera en het 'buiten beeld plaatsen' van leerlingen waarvoor er geen toestemming is om te filmen. Indien dit niet mogelijk is en/of als te veel leerlingen geen toestemming geven, dan kan het filmen mogelijks niet doorgaan voor de stageopdrachten in kwestie.
De stagiair moet, bij het vragen van de toestemming, het doeleinde duidelijk toelichten alsook de manier(en) waarop en voorwaarden waaronder hij/zij de beelden zal verwerken. De stagiair en/of lerarenopleiding en/of stagebegeleider(s) zijn verantwoordelijk voor het vertrouwelijk en correct gebruik van de beelden, voor de beveiliging ervan en voor het feit dat het beeldmateriaal verwijderd wordt zodra het doeleinde bereikt is.
Het beeldmateriaal wordt:
- veilig opgeslagen;
- niet gedeeld of verlaat de onderwijsinstelling niet;
- verwijderd na de bespreking;
- wordt niet gebruikt voor anderedoeleinden.
Ja, op voorwaarde dat de discretieplicht wordt gerespecteerd en de beginselen van de GDPR.
Elke verwerking van persoonsgegevens moet een doelbinding en grondslag hebben voor de GDPR (AVG). De inzage of toegang tot het leerlingvolgsysteem en/of andere begeleidings- en zorginformatie door een stagiair moet bijgevolg duidelijk kaderen binnen een observatie- of concrete stageopdracht.
De inzage of toegang dient ook proportioneel te zijn. Dit wil zeggen dat toegang tot een hele klas bv. niet verantwoord kan worden indien de stagiair voor een welbepaalde opdracht enkele cases moet kunnen bekijken. In zo'n geval kan inzage met een bevoegd iemand volstaan. Vermijd het voorzien van (niet geanonimiseerde) afdrukken of schermafdrukken vanuit leerlingbegeleidings- of zorgdossiers. Beleidsmatig kan een leidinggevende desgevallend, en dus enkel indien de opdracht dit rechtvaardigt, toegang tot (een deel zoals bv. een klas in) het leerlingvolgsysteem verlenen. Zowel in het geval van inzage met een bevoegd personeelslid als bij (gedeeltelijke) toegang tot het leerlingvolgsysteem dient de onderwijsinstelling (het schoolbestuur) de betrokkenen hier wel over te informeren.
Wijs de stagiair ook steeds op zijn/haar discretieplicht aangaande alle persoonsgegevens waarvan hij/zij kennis neemt in de loop van de stageopdrachten op de onderwijsinstellingen. Dit zou desgevallend ook expliciet in de stageovereenkomst opgenomen kunnen worden.
Dit hangt af van het mandaat van de deurwaarder.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat, indien de deurwaarder handelt krachtens een gerechtelijke beslissing of een notariële akte en hij aan de school een afschrift van de uitvoerbare titel overmaakt, de school hem dan de informatie dient mee te delen waarover hij kan beschikken krachtens die uitvoerbare titel.
Indien de deurwaarder handelt op vraag van een privépersoon, teneinde bepaalde materiële vaststellingen te doen, kan de school de deurwaarder slechts inzage verstrekken in de persoonsgegevens van een bepaalde leerling, voor zover zulke inzage mogelijk zou zijn voor de opdrachtgever van de deurwaarder met wiens mandaat de deurwaarder handelt. De deurwaarder kan bijvoorbeeld handelen in opdracht van één van de ouders van een minderjarige die beschikt over het ouderlijk gezag over de minderjarige; in dat geval heeft de deurwaarder hetzelfde recht van kennisneming van persoonsgegevens als die ouder.
Voor het overige heeft een deurwaarder, net zoals een advocaat, uit hoofde van zijn ambt toegang tot het rijksregister teneinde bepaalde noodzakelijke informatie te verkrijgen. Informatie die daaruit bekomen kan worden, dienen zij nooit op te vragen via de school.
Dit kan enkel als de betrokkene hiervoor toestemming geeft.
Op haar website spreekt de Gegevensbeschermingsautoriteit zich duidelijk uit over deze vraag.
In overeenstemming met het finaliteitsbeginsel mag een verwerking van persoonsgegevens enkel gebeuren voor welbepaalde, uitdrukkelijke en gerechtvaardigde doeleinden. De school verwerkt persoonsgegevens van oud-leerlingen voor een specifiek doeleinde, namelijk het bijhouden van de wettelijk verplichte leerlingenadministratie. De gegevens worden niet bijgehouden om eventueel later een reünie te kunnen organiseren. Beide doeleinden zijn verschillend en niet verenigbaar met elkaar.
Omdat beide doeleinden onverenigbaar zijn, kan de school de adressen van oud-leerlingen enkel doorgeven aan de organisator van de reünie als de oud-leerlingen daarvoor hun uitdrukkelijke en vrijelijke toestemming geven. Om dit praktisch gezien in goede banen te leiden, zou de persoon die de reünie wenst te organiseren, aan de school kunnen vragen of de school de beoogde groep oud-leerlingen wil aanschrijven, aldus de Gegevensbeschermingsautoriteit. Als de school bereid is om op dit verzoek in te gaan, stuurt ze aan die oud-leerlingen een bericht met toelichting bij het initiatief en met de contactgegevens van de organisator. In de toelichting wordt transparant weergegeven dat men vrij is om wel of niet op deze vraag in te gaan, en tevens dat de school niet verantwoordelijk is voor de verwerking in kwestie. Oud-leerlingen die geïnteresseerd zijn in de reünie, kunnen vervolgens zelf de organisator contacteren.
Het College van Burgemeester en Schepenen moet zich hierover uitspreken.
Op haar website spreekt de Gegevensbeschermingsautoriteit zich duidelijk uit over deze vraag. Instellingen van Belgisch recht die taken van algemeen belang vervullen kunnen een gemotiveerde schriftelijke aanvraag bij het College van Burgemeester en Schepenen indienen voor het bekomen van een adressenlijst. Het College dient zich over de gegrondheid van de aanvraag uit te spreken.
Een school is een instelling van Belgisch recht. In de mate dat ze haar pedagogische opdracht vervult (bijvoorbeeld het geven van goed onderwijs), oefent ze een taak van algemeen belang uit. Reclame maken voor het verstrekte onderwijs teneinde leerlingen te werven, valt echter buiten deze pedagogische opdracht en dus ook buiten het algemene belang.
Slechts in zeer uitzonderlijke gevallen kunnen gegevens uit het bevolkingsregister medegedeeld worden. Het College dient de nodige omzichtigheid aan de dag te leggen door geval per geval te beoordelen en het besluit te motiveren. Daarenboven mag het College, bij een positieve beoordeling, enkel die gegevens meedelen die strikt noodzakelijk zijn. Uiteraard kan het College in zijn beslissingen geen onderscheid maken tussen gemeentelijke scholen en scholen van andere onderwijsnetten.
Het weze duidelijk dat het College van Burgemeester en Schepenen in deze verantwoordelijk is voor de rechtmatigheid van en voor eventuele randvoorwaarden bij de gegevensoverdracht.
In het geval de school de gevraagde gegevens toch van het gemeentebestuur verkrijgt, dient ze de verplichtingen van de privacywet na te leven.
Dit houdt in dat ze:
- vooraf alle verwerkingsactiviteiten met het doeleinde leerlingenadministratie toevoegt aan het register;
- zodra de persoonsgegevens in haar bezit zijn, alle verwerkingsactiviteiten dienaangaande toevoegt aan het register;
- zodra de persoonsgegevens in haar bezit zijn de kennisgevingsplicht vervult, uiterlijk binnen de maand, met andere woorden aan de betrokken leerlingen meedeelt dat deze gegevens in haar bezit zijn, op welke wijze ze deze verkregen heeft en welke doeleinden ze dienen (dit kan gecombineerd worden met de eigenlijke rekruteringscommunicatie);
- hierbij de mogelijkheid voorziet om zich te verzetten tegen het (verdere) gebruik van de verkregen persoonsgegevens, en deze desgevallend verwijderd. De mogelijkheid tot verzet en gegevenswissing wordt transparant meegedeeld (dit kan gecombineerd worden met de eigenlijke rekruteringscommunicatie);
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleeft. Eén van deze verplichtingen houdt in dat de school deze persoonsgegevens niet langer mag bewaren dan noodzakelijk. De persoonsgegevens van de leerlingen waarvan op 1 september blijkt dat ze zich niet ingeschreven hebben, moeten dus bij het begin van het nieuwe schooljaar verwijderd worden.
Nee, dat mag niet.
Een attest waaruit blijkt dat een leerling in een gesloten instelling van Bijzondere Jeugdzorg geplaatst is of in voorhechtenis of in gevangenschap gehouden wordt, bevat persoonsgegevens van gerechtelijke aard. De basisregel is dat de school dergelijke persoonsgegevens niet mag verwerken.
Op dit verbod zijn echter enkele uitzonderingen van toepassing. Eén van deze uitzonderingen stelt dat de school persoonsgegevens van gerechtelijke aard toch mag verwerken, indien de verwerking noodzakelijk is voor de verwezenlijking van doeleinden die door of krachtens een wet, een decreet of een ordonnantie zijn vastgelegd.
De school moet tegenover het departement onderwijs de afwezigheid van de leerling kunnen verantwoorden. Om deze wettelijke verplichting na te leven, dient de school over het toepasselijk attest te beschikken. Hieruit volgt dat de school gerechtigd is zulk attest te verwerken, maar dan op geen enkele andere wijze dan in het kader van de controle op de leerplicht.
In sommige gevallen zal de school de afwezigheid van de leerling ook tegenover derden moeten verantwoorden. Het stagereglement dat bindend is voor alle scholen en structuuronderdelen, schrijft immers voor dat de stagegever op de hoogte gebracht wordt van de feiten die de aanwezigheid van de leerling kunnen rechtvaardigen. De stagegever heeft zelfs het recht naar de redenen van de afwezigheid te informeren.
Deze verplichting, die voortvloeit uit de toepassing van het stagereglement, is echter in strijd met het verbod op de verwerking van gerechtelijke persoonsgegevens, dat voortvloeit uit de toepassing van de privacywet. Bovendien is de eerder genoemde uitzondering hier niet van toepassing, want het doorgeven van het attest aan de stagegever past in het geheel niet in het kader van de controle op de leerplicht. Op basis van de hiërarchie van de normen kan gesteld worden dat de federale privacywet voorrang heeft op het stagereglement dat van het departement onderwijs uitgaat.
De genoemde attesten mogen dus in geen geval doorgegeven worden aan de stagegever. De school kan wel aan de stagegever melden dat de leerling op school gewettigd afwezig zal zijn tot een bepaalde datum en bijgevolg tot die datum niet kan deelnemen aan de stage. Voorts kan de school meedelen dat ze over de nodige documenten beschikt op basis waarvan de afwezigheid van rechtswege gewettigd is, zonder meer details te verstrekken.
Dit hangt van de vraag af en of de politiedienst een bestuurlijk of gerechtelijk opdracht uitvoert.
Bestuurlijke en gerechtelijke opdrachten
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat de wet op het politieambt, politiediensten het recht verleent persoonsgegevens in te winnen en te verwerken, voor zover de gebeurtenissen, de groeperingen en de personen waarover gegevens verwerkt worden, een concreet belang vertonen voor de uitoefening van hun opdracht als bestuurlijke politie of als gerechtelijke politie.
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat de wet op het politieambt, politiediensten het recht verleent persoonsgegevens in te winnen en te verwerken, voor zover de gebeurtenissen, de groeperingen en de personen waarover gegevens verwerkt worden, een concreet belang vertonen voor de uitoefening van hun opdracht als bestuurlijke politie of als gerechtelijke politie.
- De bestuurlijke daden van de politiediensten zijn van preventieve aard: ze omvatten de handhaving van de openbare orde en het toezicht op de naleving van de politiewetten en –verordeningen, de voorkoming van misdrijven en de bescherming van personen en goederen.
- De gerechtelijke daden van de politiediensten hebben een repressief karakter: ze omvatten de opsporing en de vaststelling van misdrijven en de verzameling van bewijzen die eventueel later aan de rechter kunnen worden voorgelegd.
De finaliteit van de verwerking van persoonsgegevens door een politiedienst verschilt dus naargelang de politiedienst een bestuurlijke of een gerechtelijke opdracht uitvoert. In de praktijk gaat het bij interventies ten aanzien van de school doorgaans om een gerechtelijke opdracht.
Gegevensverzameling in het kader van een gerechtelijk onderzoek
De wet op het politieambt stelt uitdrukkelijk dat het inwinnen en verwerken van persoonsgegevens door politiediensten overeenkomstig de privacywet dient te gebeuren, in het bijzonder wat de principes van finaliteit en proportionaliteit betreft. Hieruit volgt onder meer dat de aard van de opdracht mede bepaalt tot welke verwerkingen van persoonsgegevens de politiediensten gerechtigd zijn.
De wet op het politieambt stelt uitdrukkelijk dat het inwinnen en verwerken van persoonsgegevens door politiediensten overeenkomstig de privacywet dient te gebeuren, in het bijzonder wat de principes van finaliteit en proportionaliteit betreft. Hieruit volgt onder meer dat de aard van de opdracht mede bepaalt tot welke verwerkingen van persoonsgegevens de politiediensten gerechtigd zijn.
Tot de taken van de gerechtelijke politie behoort het vooronderzoek in strafzaken, waarin vooral bewijsmateriaal verzameld wordt met betrekking tot misdrijven en hun vermoedelijke daders. Het vooronderzoek neemt meestal de vorm aan van een opsporingsonderzoek onder leiding van de Procureur des Konings, soms gaat het om een gerechtelijk onderzoek onder leiding van een onderzoeksrechter.
- In het kader van een opsporingsonderzoek kunnen de politiediensten onder meer persoonsgegevens verzamelen die in een algemene nationale databank worden verwerkt, verdachten en getuigen ondervragen, een deskundigenonderzoek of een DNA-onderzoek uitvoeren, tot een lichaamsonderzoek of een fouillering overgaan, een plaatsbezoek of een huiszoeking verrichten, tot inbeslagneming overgaan, gewone gesprekken of telefoongesprekken afluisteren en personen visueel bespieden.
- In het kader van een gerechtelijk onderzoek kunnen de politiediensten onder meer een maatschappelijke enquête voeren met betrekking tot de verdachte en zijn milieu, verdachten ondervragen, getuigen verhoren, een deskundigenonderzoek of een DNA-onderzoek uitvoeren, tot een lichaamsonderzoek of een fouillering overgaan, een verdachte in observatie stellen, een plaatsbezoek of een huiszoeking verrichten, tot inbeslagneming overgaan, het briefgeheim en andere vertrouwelijke communicaties schenden, telefoonnummers identificeren, telecommunicatie opsporen en lokaliseren, gewone gesprekken of telefoongesprekken afluisteren en personen visueel of elektronisch bespieden.
Veel van deze onderzoeksverrichtingen zijn onderworpen aan strikte voorwaarden en/of voorafgaande toestemmingen. Het zou ons vanzelfsprekend te ver voeren om deze hier toe te lichten.
Concreet is het onbegonnen werk voor een schooldirectie om in al deze gevallen uit te maken welke leerlingengegevens de politiediensten in het kader van hun toepasselijke bevoegdheid mogen opvragen. De schooldirectie zal zich moeten verlaten op de inlichtingen die door de politiediensten zelf dienaangaande verstrekt worden. Het verdient aanbeveling dat de school zich bij een gebeurlijke vraagstelling vanwege de politie in het kader van een gerechtelijke opdracht laat informeren, vooraleer de vragen te beantwoorden.
Het is sterk aan te raden om bij elk verzoek, de identiteit van de vraagsteller(s) te verifiëren (let in het bijzonder op bij telefonisch contact) en elk verzoek (ongeacht of er op ingegaan werd, of niet) te documenteren.
Besluit
Het is niet eenvoudig voor de school om te beoordelen welke persoonsgegevens met betrekking tot leerlingen op verzoek van de politie wel of niet mogen of moeten meegedeeld worden aan de politie. Enerzijds moet de school de gerechtvaardigde belangen van de leerlingen verdedigen, anderzijds mag de school een gebeurlijk onderzoek niet belemmeren. Toch kunnen we enkele suggesties aanreiken:
Het is niet eenvoudig voor de school om te beoordelen welke persoonsgegevens met betrekking tot leerlingen op verzoek van de politie wel of niet mogen of moeten meegedeeld worden aan de politie. Enerzijds moet de school de gerechtvaardigde belangen van de leerlingen verdedigen, anderzijds mag de school een gebeurlijk onderzoek niet belemmeren. Toch kunnen we enkele suggesties aanreiken:
- Indien de vraag van de politie kennelijk tot voordeel van de betrokken leerling strekt, dan is het duidelijk dat er weinig of geen beperkingen zijn om te antwoorden op relevante vragen. Bijvoorbeeld bij een onrustwekkende verdwijning van een leerling dient de school al haar medewerking te verlenen aan het speurwerk.
- Indien andere instanties of personen beter geplaatst zijn om de gevraagde gegevens te leveren, doet de school er goed aan naar die instanties of personen te verwijzen. Indien de politie bijvoorbeeld over een recente foto van de leerling wenst te beschikken, is het in principe logischer dat zulke foto door de ouders overhandigd wordt, en niet door de school.
- In de andere gevallen verdient het aanbeveling persoonsgegevens van leerlingen niet op basis van een telefonisch verzoek, maar uitsluitend na een expliciet schriftelijk verzoek mee te delen aan de politie. Indien de tijd dringt, kan dit verzoek snel per e-mail aan de school gericht worden. Let er op dat de identiteit van de vraagsteller gecontroleerd wordt.
- Ook het meedelen van de persoonsgegevens aan de politie gebeurt bij voorkeur schriftelijk en niet via de telefoon. Ook hier kan het gebruik van e-mail de communicatie versnellen.
- In de regel zullen de vragen van de politie steeds voldoen aan de vereisten van finaliteit en proportionaliteit. De verzamelde persoonsgegevens zullen pertinent en adequaat zijn, rekening houdend met de beoogde finaliteit van de verwerking van de persoonsgegevens in het kader van de politieopdracht.
- Toch kan de politie zich in zeer uitzonderlijke gevallen genoodzaakt zien de privacy van een leerling op school op ernstige wijze te schenden, bijvoorbeeld bij een huiszoeking in de kamer van een interne leerling, bij de schending van het briefgeheim of het telefoongeheim van de leerling, of bij een lichaamsonderzoek van de leerling (niet te verwarren met een fouillering). Zonder de toestemming van de betrokken leerling kunnen dergelijke dwangmaatregelen tijdens het vooronderzoek enkel bevolen worden door de onderzoeksrechter. De politie zal dan vooraf het bevelschrift tonen dat deze onderzoeksdaad verordent.
- Ten slotte willen we niet nalaten te pleiten voor bedachtzaamheid en redelijkheid. De school zal in voorkomend geval een evenwicht moeten vinden tussen de gerechtvaardigde belangen van de betrokken leerling(en), de gerechtvaardigde belangen van de eventuele benadeelde partijen en het belang van het onderzoek. Via open en correct overleg met de betrokken politiediensten kunnen spanningen en incidenten wellicht vermeden worden.
Ja, op voorwaarde dat de gegevens volledig worden geanonimiseerd.
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat voor een dergelijke toepassing geen gegevens van geïdentificeerde of identificeerbare personen verwerkt mogen worden.
Voor beleidsgerichte toepassingen zoals kwaliteitsverbetering van het geboden onderwijs moet er immers geen geïdentificeerde basisinformatie verwerkt worden, maar moet de secundaire school kunnen beschikken over bestanden met geaggregeerde gegevens van haar oud-leerlingen aan de hogeschool of de universiteit. Indien deze persoonsgegevens volledig geanonimiseerd kunnen worden, kan de overdracht vanuit de hogeschool of de universiteit naar de secundaire school wel gebeuren, want dan gaat het niet langer om een verwerking die valt onder de privacywet.
Nee, tenzij er vooraf toestemming wordt gevraagd aan de betrokkene.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten.
Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen moeten zich hiertegen minstens kunnen verzetten. Wanneer er een functionele band tussen beide onderwijsinstellingen zou zijn, dan zou volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden onder bepaalde voorwaarden nog binnen de redelijke verwachtingen van betrokkenen vallen en dus te verantwoorden zijn. Dergelijke functionele band ontbreekt evenwel tussen de secundaire school en de hogeschool of de universiteit. Daarom is het doorgeven van persoonsgegevens voor zulke doeleinden enkel mogelijk mits elke betrokkene voorafgaandelijk zijn uitdrukkelijke toestemming geeft.
Bovendien moet de secundaire school, nadat ze de toestemming van de betrokkenen verkregen heeft, voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:
- duidelijk, specifiek en vrijelijk de toestemming van elke betrokkene vragen;
- elke betrokkene hierbij informeren over zijn/haar rechten;
- uitsluitend gegevens doorgeven uit gegevenscategorieën die vermeld zijn bij het vragen van de betrokkene;
- deze verwerkingsactiviteiten toevoegen aan het register;
- bij overdracht van de gegevens voldoende organisatorische en technische maatregelen in acht nemen om lekken of onrechtmatig gebruik ervan te voorkomen (bv. versleuteling toepassen).
Vanzelfsprekend moet elke betrokken hogeschool of universiteit op haar beurt de verplichtingen naleven die van toepassing zijn bij het verkrijgen van persoonsgegevens van een derde.
In deze casus mogen er geen gegevens worden meegedeeld.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat de school in principe slechts informatie kan meedelen indien zij hiervoor de toelating van de betrokken leerling of zijn ouders heeft en indien dit in het voordeel van de leerling is. Dit laatste is in de beschreven situatie kennelijk niet het geval. De advocaat kan bepaalde informatie omtrent de vermeende dader (bijvoorbeeld diens woonplaats) opsporen via het rijksregister, dat toegankelijk is voor advocaten.
Voor alle duidelijkheid, de onderstaande tekst gaat enkel over de systematische gegevensuitwisseling tussen de school en het CLB (bv. gegevensuitwisseling bij de start van elk schooljaar of voor nieuwkomers).
In het decreet betreffende de leerlingenbegeleiding staat: “De school deelt relevante informatie die in de school aanwezig is over de leerlingen met het centrum (art. 14)”.
Scholen stellen zich de vraag, wat is relevante informatie?
De scholen kunnen (wanneer het gaat over systematische gegevensuitwisseling) het houden bij de naam, klas en geboortedatum van de leerlingen. In plaats van de geboortedatum van de leerling kan ook het stamnummer worden gegeven. Met de geboortedatum of het stamnummer kan het CLB de leerling uniek identificeren. Als een CLB extra informatie nodig heeft van een leerling, dan kan het CLB de informatie halen uit Discimus.
Wanneer een CLB aan contact tracing moet doen tijdens een pandemie, dan kan bijvoorbeeld de school de contactgegevens van de ouders (bv. telefoonnummer) bijvoegen van de klas waar de besmetting zich heeft voorgedaan.
Voor de kleuters staat er in het BVR tot operationalisering van de leerlingenbegeleiding: “Het systematische contact in de eerste kleuterklas of bij de leeftijdscohorte driejarigen wordt zo georganiseerd dat de ouders maximaal aanwezig kunnen zijn en omvat minstens” (art. 3)”. Voor het eerste leerjaar staat er: “Het systematische contact in het eerste leerjaar of leeftijdscohorte zesjarigen wordt zo georganiseerd dat de aanwezigheid van de ouders aangemoedigd wordt (art. 4)”. Het aanmoedigen van de aanwezigheid van de ouders bij het medisch onderzoek kan op de uitnodigingsbrief staan.
We merken nog eens op dat de bovenstaande tekst enkel gaat over de systematische gegevensuitwisseling tussen de school en het CLB. Als bijvoorbeeld een school consultatieve leerlingenbegeleiding gaat aanbieden en versterking vraagt aan een CLB kunnen er wel meer gegevens van leerlingen uitgewisseld worden (gedrag in klas, punten…).
Ja, mits toestemming van de betrokkene.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten. Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen zouden zich hiertegen minstens moeten kunnen verzetten.
Wanneer er echter een functionele band is tussen de basisschool en secundaire school, zelfs indien beide zich op enige afstand van elkaar bevinden, dan valt volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden nog binnen de redelijke verwachtingen van betrokkenen en is deze overdracht te verantwoorden, op voorwaarde dat aan de betrokken leerlingen op voorhand de gelegenheid geboden wordt hun naam te laten schrappen van de lijst die doorgegeven wordt aan de secundaire school.
Bovendien moet in dat laatste geval de secundaire school voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:
- zodra de persoonsgegevens in haar bezit zijn, de kennisgevingsplicht vervullen, met andere woorden, aan de betrokkenen meedelen dat deze gegevens in haar bezit zijn en op welke wijze ze deze verkregen heeft;
- zodra de persoonsgegevens in haar bezit zijn, de verwerkingsactiviteiten dienaangaande toevoegen aan hun register;
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleven. Eén van deze verplichtingen houdt in dat de school deze persoonsgegevens niet langer mag bewaren dan noodzakelijk. De persoonsgegevens van de leerlingen waarvan op 1 september blijkt dat ze zich niet ingeschreven hebben, moeten dus bij het begin van het nieuwe schooljaar verwijderd worden.
Vanzelfsprekend moet elke betrokken basisschool op haar beurt de verplichtingen naleven die van toepassing zijn bij het doorgeven van persoonsgegevens aan een derde, i.h.b. het toevoegen van deze verwerkingsactiviteiten aan hun register.
We wijzen er op dat deze verplichtingen ook gelden indien de basisschool en de secundaire school deel uitmaken van dezelfde vzw-schoolbestuur en de verantwoordelijke voor de verwerking in beide gevallen dus dezelfde is. Immers, het doel van de verwerking van persoonsgegevens binnen de basisschool en de secundaire school is niet geheel gelijklopend. De aangiften die ingediend zijn, zullen dan ook verschillend zijn.
Bovendien moet er op gewezen worden dat de basisschool niet verplicht kan worden de gevraagde gegevens door te geven. Uit het feit dat het doorgeven van persoonsgegevens geoorloofd is, volgt immers niet dat dit verplicht is.
Ten slotte wijzen we op onze specifieke mededeling betreffende het doorgeven van leerlingengegevens van het basisonderwijs naar het secundair onderwijs (waarbij het doeleinde, administratie en/of begeleiding betreft i.p.v. 'direct marketing').
Het antwoord is nee.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat voor een dergelijke toepassing geen gegevens van geïdentificeerde of identificeerbare personen verwerkt mogen worden.
Voor beleidsgerichte toepassingen zoals kwaliteitsverbetering van het geboden onderwijs moet er immers geen geïdentificeerde basisinformatie verwerkt worden, maar moet de basisschool kunnen beschikken over bestanden met geaggregeerde gegevens van haar oud-leerlingen in de secundaire school. Indien deze persoonsgegevens volledig geanonimiseerd kunnen worden, kan de overdracht vanuit de secundaire school naar de basisschool wel gebeuren, want dan gaat het niet langer om een verwerking die valt onder de privacywet.
Neen, dat kan niet zomaar. De school zal hiervoor vooraf toestemming moeten vragen aan de leerlingen.
Dergelijke gegevensoverdracht past niet binnen de finaliteit van de gegevensverwerking van de school. De systematische prospectie van nieuwe abonnees voor een tijdschrift behoort immers niet tot de maatschappelijke opdracht van de school.
Indien de leraar van oordeel is dat een abonnement een waardevolle aanvulling bij zijn lessen vormt, dan kan hij de leerlingen die daarvoor in aanmerking komen - volkomen vrijblijvend, zonder enige druk uit te oefenen en zonder de persoonlijke levenssfeer van de leerlingen in het gedrang te brengen - de gelegenheid bieden hun naam en adres mee te delen om aldus toestemming te geven voor de doorgifte. De leerlingen moeten voorafgaand transparant geïnformeerd zijn. Vervolgens geeft de school enkel de adresgegevens door van die leerlingen die positief gereageerd hebben. We gaan er van uit dat het gaat om leerlingen met voldoende beoordelingsvermogen (bekwame leerlingen).
Bovenstaand antwoord beperkt zich tot een interpretatie in het licht van de privacywet. In meer algemene termen kan men stellen dat de school uiterst omzichtig moet zijn bij het promoten van commerciële initiatieven bij leerlingen, zoals blijkt uit het decreet rechtspositie en de reglementering omtrent zorgvuldig bestuur.
Ja, maar onder bepaalde voorwaarden.
Zoals voor elke verwerking, is er ook voor een doorgifte van persoonsgegevens een grondslag nodig. In feite kunnen er twee verschillende grondslagen zijn voor de doorgifte van gegevens voor dit doeleinde.
1. De doorgifte past binnen de overeenkomst tussen de school en de betrokken leerlingen
Als de doorgifte binnen de rechtmatigheid 'overeenkomst' past, is de redenering dat het lezen een onderdeel is van de basiseducatie, en dus deel uitmaakt van het doel 'onderwijs verstrekken' (het voldoen aan de eindtermen).
De school moet er dan over waken dat de gegevens die doorgegeven worden, proportioneel zijn voor dit doel.
Belangrijk is dat de school, indien men de grondslag overeenkomst hiervoor inroept, verantwoordelijk blijft voor de verwerkingen van de leerlingengegevens, ook na de overdracht aan de bibliotheek. Met de bibliotheek is er geen overeenkomst; daarom blijft de school verantwoordelijk. De bibliotheek is voor de privacywet dus een verwerker: een externe partner die in opdracht van de school (het schoolbestuur) handelt. Derhalve dient de school in dit geval een verwerkersovereenkomst met de bibliotheek aan te gaan, waarin de verplichtingen en verantwoordelijkheden voor de verwerkingen duidelijk afgesproken worden. De school (het schoolbestuur) blijft eindverantwoordelijke voor alle verwerkingen op deze leerlinggegevens.
2. De doorgifte wordt gebaseerd op de grondslag 'toestemming'
De school kan ervoor opteren toestemming te vragen voor de doorgifte. Hierbij dient men transparant, duidelijk en specifiek te zijn. Men moet duidelijk stellen waarvoor de bibliotheek de gegevens zal gebruiken (bijvoorbeeld het maken van een pasje), over welke gegevens het juist gaat en dat de bibliotheek na de doorgifte de verwerkingsverantwoordelijke is voor de gegevens (en dat betrokkenen zich na de doorgifte dus naar de bibliotheek of het gemeentebestuur moeten wenden voor vragen of om hun privacyrechten uit te oefenen, en niet via de school). Desgevallend kan in de toestemming ook opgenomen worden dat bv. klas, telefoonnummer of zelfs (pas)foto doorgegeven wordt, indien de bibliotheek deze vraagt. De toestemming is steeds vrijelijk: als een bekwame leerling, of diens vertegenwoordiger, geen uitdrukkelijke toestemming geeft, dan mogen de gegevens van die leerling niet doorgegeven worden aan de bibliotheek.
Zodra de overdracht gebeurd is, is niet langer de school, maar de bibliotheek (het gemeentebestuur) verantwoordelijk voor hun verwerking van de persoonsgegevens die dan "in hun bezit" zijn. In deze is de bibliotheek (het gemeentebestuur) dus een afzonderlijke verwerkingsverantwoordelijke als zij eenmaal de gegevens van de school verkrijgen, met alle verplichtingen ten aanzien van de privacywetgeving van dien. Zij handelen immers niet in opdracht van of "onder het gezag van" de school (het schoolbestuur).
Alles samen beschouwd, is het raadzaam om als school voor de grondslag 'toestemming' te kiezen, ofwel om de leerlingen (of hun vertegenwoordigers) zelf de nodige gegevens te laten bezorgen aan de bibliotheek.
(Bijkomende) verplichtingen
De school moet sowieso voorafgaand de leerlingen en/of hun vertegenwoordiger informeren over de overdracht. Dit kan bv. via een privacyverklaring en/of door een afzonderlijk schrijven. Bij scenario 2 (de school baseert zich op de grondslag 'toestemming') moet de bibliotheek (het gemeentebestuur) de betrokkenen uiterlijk binnen de maand over de verdere verwerking van hun gegevens informeren.
De school documenteert de overdracht van de gegevens in het register van verwerkingsverantwoordelijken en de bibliotheek (het gemeentebestuur) documenteert hun verwerkingsactiviteiten in hun register. Beide maken afspraken over passende organisatorische en technische maatregelen bij de overdracht van de gegevens teneinde lekken of onrechtmatig gebruik ervan te voorkomen.
Neen, dat kan niet zomaar. De school zal hiervoor vooraf toestemming moeten vragen aan de leerlingen.
Het doorgeven van adresgegevens van leerlingen aan een bedrijf met het oog op tewerkstelling van die leerlingen in dat bedrijf past niet binnen de finaliteit van de gegevensverwerking van de school. Het is immers niet de maatschappelijke opdracht van de school om de tewerkstelling van jongeren te organiseren.
De school kan tegemoet komen aan een dergelijke vraag vanwege een bedrijf, door de leerlingen van de studierichtingen die in aanmerking komen voor tewerkstelling in het bedrijf in kwestie (en die over voldoende beoordelingsvermogen beschikken), vrijelijk om toestemming te vragen.
Ja dat mag, mits het respecteren van een aantal voorwaarden.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het decreet leerlingenbegeleiding de rechtsgrond verschaft voor het uitwisselen van relevante persoonsgegevens van leerlingen tussen het CLB en de school.
De secundaire school moet dan wel:
- vooraf haar verwerkingsactiviteiten voor de doeleinden leerlingenadministratie en leerlingenbegeleiding toevoegen aan het register;
- de uitdrukkelijke, specifieke en vrijelijke toestemming bekomen van de (vertegenwoordiger van de) leerling om gezondheidsgerelateerde gegevens te mogen verwerken;
- in het register het CLB vermeld hebben als (potentiële) ontvangers van persoonsgegevens van de leerlingen;
- uitsluitend gegevens doorgeven uit gegevenscategorieën waarvan in het register vermeld is dat ze doorgegeven kunnen worden.
- bij de doorgifte van (gevoelige) gegevens, de nodige organisatorische en technische maatregelen nemen teneinde lekken of onrechtmatig gebruik van de gegevens te voorkomen (bv. versleuteling, toegangsbeveliging tot het systeem, enz.).
Verder moet er een samenwerkingsovereenkomst zijn tussen de school en het CLB, waarin in het bijzonder afspraken rond de uitwisseling van leerlinggebonden gegevens gemaakt worden.
In ons model van gezondheidsfiche die ingevuld kan worden bij het opvragen van gegevens betreffende de gezondheid van de leerling, kunnen de ouders aan (de arts van) het CLB toestemming geven om gegevens over de gezondheid van hun kind op te vragen bij de school. In dit model is ook geformuleerd hoe de uitdrukkelijke toestemming voor de verwerking van gezondheidsgerelateerde gegevens bekomen wordt. Het aanspreekpunt informatieveiligheid beschikt over het model van gezondheidsfiche.
Vanzelfsprekend moet elk betrokken CLB op zijn beurt de verplichtingen naleven die van toepassing zijn bij het ontvangen van persoonsgegevens van een derde.
Ja dat mag, maar bij het uitwisselen van gegevens mogen geen deontologische regels overtreden worden.
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat het decreet leerlingenbegeleiding de rechtsgrond verschaft voor het uitwisselen van relevante persoonsgegevens van leerlingen tussen het CLB en de school: “Via een expliciete deontologische code moeten mogelijke interferenties worden vermeden. Om de scholen en de centra toe te laten hun opdrachten naar behoren te vervullen is het noodzakelijk dat relevante informatie uitgewisseld wordt. Bij het uitwisselen van gegevens mogen geen deontologische regels overtreden worden.”.
Met relevante informatie worden hier persoonsgegevens bedoeld die passen binnen de finaliteit van de verwerking van persoonsgegevens in de school en in het CLB. Met andere woorden, de school mag de ontvangen gegevens enkel verwerken voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel. De vaststelling dat de ontvangen gegevens “nuttig kunnen zijn” volstaat hiervoor geenszins.
Indien de ontvangen gegevens betrekking hebben op de gezondheid van de leerling, zijn de bepalingen strenger. De school mag deze gezondheidsgegevens enkel verwerken als dit een voordeel voor de leerling inhoudt en als de leerling akkoord gaat met de verwerking. Deze toestemming moet schriftelijk zijn, vrijelijk, specifiek en is steeds intrekbaar. Voorts moet de leerling, vooraleer hij zijn toestemming geeft, voldoende geïnformeerd zijn over de beoogde verwerking van de gegevens die zijn gezondheid betreft, over de doeleinden, de verantwoordelijke en de mogelijke nieuwe ontvangers.
Vanuit het CLB is, voor de medewerkers, het beroepsgeheim van kracht. Het decreet stipuleert dat zij enkel informatie mogen uitwisselen met de school indien een leerling met voldoende onderscheidingsvermogen hen hiertoe uitdrukkelijk toestemming geeft. Het lijkt ons derhalve allerminst vanzelfsprekend dat een school gegevens met betrekking tot de gezondheid van leerlingen opvraagt bij het CLB.
Merk op dat een leerling met voldoende onderscheidingsvermogen (bekwame leerling) op dezelfde manier het recht heeft om privacygevoelige elementen uit het individuele begeleidingsdossier (ook dat van de school) af te schermen van ouder(s) of voogd.
Tot slot moet de secundaire school:
- de verwerkingsactiviteiten aangaande het individuele leerlingbegeleidingsdossiers en eventuele doorgiften aan CLB, toevoegen aan hun register;
- zodra zij gegevens van het CLB ontvangen, deze conform het doeleinde en volgens de verplichtingen inzake de verwerking van persoonsgegevens, verwerken;
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleven.
Neen, dat mag niet.
Als werkgever en onderwijsverstrekker mag je GEEN gevoelige (waaronder medische) persoonsgegevens verwerken. Het al of niet gevaccineerd zijn of een bewijs van negatieve pcr-test voorleggen is een medisch gegeven dat onderwijsinstellingen (maar ook zorginstellingen) vooralsnog niet mogen opvragen en verwerken. Het verplicht vaccineren (of verplicht een bewijs van volledige vaccinatie voorleggen) kan pas als daar een uitdrukkelijke wettelijke basis voor is (zoals bijvoorbeeld al het geval is voor hepatitis B, tetanus en tuberculose). Men is momenteel aan het onderzoeken of het mogelijk is om dat wettelijk te bepalen. Een werkgever (hier stagegever) mag aan zijn werknemers (hier stagiairs) pas vragen of ze gevaccineerd zijn als de toekomstige wettelijke bepaling in werking is getreden.
Het is de werkgever (stagegever) die die gegevens moet verwerken, niet de school. Zelfs indien het verplicht zou worden dat personeel (en in casu dan ook een stagiair) in de zorgsector gevaccineerd moet zijn, dan zal het nog steeds zo zijn dat de onderwijsinstelling die medische gegevens niet mag opvragen en doorgeven aan de zorginstelling. Het overmaken van gezondheidsgegevens gebeurt door de stagiair zelf of via de preventieadviseur-arbeidsarts. De school komt hierin niet tussen.
De school moet stagiairs in de zorgsector wel de boodschap geven dat ze hoogstwaarschijnlijk verplicht zullen worden om een vaccinatiebewijs voor te leggen, als leerlingen dat weigeren, kunnen ze geen stage doen (en uiteindelijk dan ook geen diploma behalen) of tewerkgesteld worden in de zorgsector.
Neen, dit kan niet. Onderwijsinstellingen willen zoveel mogelijk de gezondheid van de leerlingen en lesgevers garanderen door les te geven in zo veilig mogelijke omstandigheden. Dit verantwoordt echter niet dat ze de toegang tot de leslokalen mogen weigeren voor niet-gevaccineerde leerlingen. De huidige vaccinatiestrategie bepaalt dat personen niet verplicht zijn om zich te laten vaccineren, maar dit vrij kiezen. Leerlingen laten bewijzen dat ze zich hebben gevaccineerd voordat ze een leslokaal mogen betreden zou een onrechtmatige verwerking van gezondheidsgegevens inhouden.
Ook indien de toestemming van de betrokken leerlingen verkregen wordt, zal dit nog steeds verboden zijn. Deze toestemming zal namelijk niet vrij gegeven worden omdat er nadelige gevolgen verbonden worden aan de weigering tot toestemming, namelijk het niet kunnen betreden van de leslokalen.
Tot op heden heeft de Gegevensbeschermingsautoriteit (GBA - de toezichthouder) ook nog geen kennis genomen van enige wettelijke of decretale bepaling die het mogelijk maakt voor onderwijsinstellingen om vaccinatiebewijzen op te vragen met het oog op het creëren van een veilige leeromgeving voor leerlingen.
Nee, dit kan enkel mits toestemming van het personeelslid.
Voor het afdrukken van privégegevens om aan de personeelsleden te geven of eventueel aan leerlingen, moet een onderwijsinstelling altijd toestemming vragen.
Deze toestemming dient vrijelijk, goed geïnformeerd en specifiek te worden gevraagd. Het schoolbestuur moet kunnen aantonen dat de betrokkene zijn/haar toestemming gegeven heeft.
Tegen het publiceren of doorgeven van iemands naam en een werkgerelateerd e-mailadres kan men zich niet verzetten.
Nee, dit kan enkel mits toestemming van de betrokkene.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten. Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen zouden zich hiertegen minstens moeten kunnen verzetten.
Wanneer er echter een functionele band is tussen de basisschool en secundaire school, zelfs indien beide zich op enige afstand van elkaar bevinden, dan valt volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden nog binnen de redelijke verwachtingen van betrokkenen en is deze overdracht te verantwoorden, op voorwaarde dat aan de betrokken leerlingen op voorhand de gelegenheid geboden wordt hun naam te laten schrappen van de lijst die doorgegeven wordt aan de secundaire school.
Bovendien moet in dat laatste geval de secundaire school voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:
- zodra de persoonsgegevens in haar bezit zijn, de kennisgevingsplicht vervullen, met andere woorden, aan de betrokkenen meedelen dat deze gegevens in haar bezit zijn en op welke wijze ze deze verkregen heeft;
- zodra de persoonsgegevens in haar bezit zijn, de verwerkingsactiviteiten dienaangaande toevoegen aan hun register;
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleven. Eén van deze verplichtingen houdt in dat de school deze persoonsgegevens niet langer mag bewaren dan noodzakelijk. De persoonsgegevens van de leerlingen waarvan op 1 september blijkt dat ze zich niet ingeschreven hebben, moeten dus bij het begin van het nieuwe schooljaar verwijderd worden.
Vanzelfsprekend moet elke betrokken basisschool op haar beurt de verplichtingen naleven die van toepassing zijn bij het doorgeven van persoonsgegevens aan een derde, i.h.b. het toevoegen van deze verwerkingsactiviteiten aan hun register.
We wijzen er op dat deze verplichtingen ook gelden indien de basisschool en de secundaire school deel uitmaken van dezelfde vzw-schoolbestuur en de verantwoordelijke voor de verwerking in beide gevallen dus dezelfde is. Immers, het doel van de verwerking van persoonsgegevens binnen de basisschool en de secundaire school is niet geheel gelijklopend. De aangiften die ingediend zijn, zullen dan ook verschillend zijn.
Bovendien moet er op gewezen worden dat de basisschool niet verplicht kan worden de gevraagde gegevens door te geven. Uit het feit dat het doorgeven van persoonsgegevens geoorloofd is, volgt immers niet dat dit verplicht is.
Ten slotte wijzen we op onze specifieke mededeling betreffende het doorgeven van leerlingengegevens van het basisonderwijs naar het secundair onderwijs (waarbij het doeleinde, administratie en/of begeleiding betreft i.p.v. 'direct marketing').
Voor het publiceren van een gerichte foto van een betrokkene, bijvoorbeeld in een brochure of een folder, op een website, op sociale media ... is er voorafgaande, uitdrukkelijke en aantoonbare toestemming nodig van de betrokkene.
Je mag ervan uitgaan dat het poseren voor een foto een actieve en ondubbelzinnige manier is om toe te stemmen met het nemen van de foto. Voor het publiceren van een gerichte foto zal er toestemming moeten worden gevraagd.
Indien er geen toestemming is gegeven, kan de betrokkene zich beroepen op zijn recht op gegevenswissing. Het schoolbestuur als verwerkingsverantwoordelijke zal dan zonder onredelijke vertraging de betreffende persoonsgegevens moeten wissen.
Probeer als verwerkingsverantwoordelijke dergelijke situaties te vermijden. Het verwijderen van foto's is niet altijd evident. Ga als onderwijsinstelling zeer bewust om met het verspreiden van foto's.
Nee, toestemming is niet nodig. Personeelsleden en ondersteuners hebben wettelijk altijd inzagerecht in het (gemotiveerd) verslag.
De wettelijke basis hiervoor is terug te vinden in artikel 28/1 van het besluit van de Vlaamse Regering (BVR) tot operationalisering van de leerlingenbegeleiding in het basisonderwijs, het secundair onderwijs en de centra voor leerlingenbegeleiding (bron: https://data-onderwijs.vlaanderen.be/edulex/document.aspx?docid=15228).
Dit is een wettelijke basis om personeelsleden en ondersteuners van een ondersteuningsnetwerk inzagerecht te geven in een (gemotiveerd) verslag. Toestemming is niet nodig, zelfs verzet aantekenen kan niet (omdat het net in het belang van het kind is).
Indien een externe schoolfotograaf de foto's neemt, en dus ook verwerkt, in opdracht van de onderwijsinstelling, dan moet je als school met elke fotograaf een aantal afspraken maken over deze verwerkingen.
Het gaat in het bijzonder over:
- het opleggen van een discretieplicht voor het beeldmateriaal (en, indien van toepassing, andere persoonsgegevens die zij bekomen zoals bv. klaslijsten met namen);
- de doelen van de verwerking vastleggen en de afspraak maken dat zij het beeldmateriaal (en, indien van toepassing, andere persoonsgegevens) niet voor andere doelen gebruiken;
- afspraken maken over de veilige overdracht van de foto's (en, indien van toepassing, andere persoonsgegevens);
- afspraken maken over de verwijdering van alle persoonsgegevens zodra de door de onderwijsinstelling vooropgestelde doelen bereikt zijn.
Indien een externe fotograaf bepaald beeldmateriaal voor andere doelen wil aanwenden, zoals bv. publicatie op hun website of sociale media (bij wijze van reclame), dan is deze externe fotograaf verantwoordelijk voor die bijkomende verwerkingen.
Dit wil in het bijzonder zeggen dat de externe schoolfotograaf dan verantwoordelijk is om de toestemming hiervoor te bekomen, alsook dat betrokkenen zich tot de externe fotograaf moeten wenden als deze de persoonsgegevens, en in het bijzonder het beeldmateriaal, niet volgens de GDPR-verordening verwerkt of aanwendt. Bovenstaande afspraken bakenen immers duidelijk de verantwoordelijkheid van de onderwijsinstelling (het schoolbestuur) af. De externe fotograaf treedt in feite op als verwerker.
Indien een personeelslid van de onderwijsinstelling de foto's neemt, of een medewerker die onder het gezag van het schoolbestuur valt, dan wordt hij/zij door de onderwijsinstelling of het schoolbestuur onderricht aangaande de discretieplicht en het correct en veilig verwerken van het beeldmateriaal. In dit geval voorziet de onderwijsinstelling of het schoolbestuur ook de middelen die nodig zijn om de foto's te nemen, te sorteren, te bezorgen, te bewaren en, wanneer ze niet meer nodig zijn, te verwijderen.
Ja, maar er zijn voorwaarden.
Zoals voor alle verwerkingen van persoonsgegevens, moet je de finaliteit (doelbinding) en proportionaliteit evalueren. Het doel is hier communicatie; het effectief informeren van de ouder(s) aangaande de start van het schooljaar van hun kind.
Onder klaslijst verstaan we hier een (meestal alfabetisch op achternaam gesorteerd) overzicht van de combinatie voornaam en achternaam van leerlingen van één bepaalde lesgroep, eventueel aangevuld met de naam van de verantwoordelijke leraar of leraren (titularissen). Andere gegevens en in het bijzonder (pas)foto's zijn niet toegestaan op dergelijke lijsten (niet proportioneel voor het doeleinde).
Deze klaslijsten kunnen eind augustus uitgehangen worden voor bezoekers van het schoolterrein, zoals bijvoorbeeld aan de ingang van het klaslokaal of ad valvas in de gang, maar niet op een publiek vrij toegankelijke plaats, zoals bijvoorbeeld achter een raam aan de straatkant. Probeer ouders te informeren (sensibiliseren) om de gegevens niet over te schrijven en om de lijsten niet te fotograferen. We weten dat dit in de praktijk niet zo eenvoudig is. Er kan bijvoorbeeld een "verboden foto's te nemen" pictogram opgehangen worden naast of vermeld worden op de klaslijsten. Dit zal sowieso al wel ontradend werken.
De school kan eventueel ook klaslijsten doormailen aan ouder(s) en voogd, maar beperk de bestemmelingen dan zeker tot de vertegenwoordigers van kinderen op de lijst (dus niet de klaslijsten van alle klassen tegelijk, naar alle ouder(s) mailen). Let er zoals steeds op dat je de ouder(s) blind in kopieert (bcc). Vermeld in het e-mailbericht en/of op de digitale klaslijsten dat de informatie enkel voor de bestemmeling(en) bedoeld is, en niet verder mag verspreid worden.
De klaslijsten publiceren op het publiek toegankelijke gedeelte van de schoolwebsite, is sowieso niet gerechtvaardigd vanuit de privacywetgeving.
Ja, maar onder voorwaarden.
De beslissing of er foto's, geluids- en filmopnamen worden gemaakt op de terreinen of in de lokalen van de onderwijsinstelling komt in eerste instantie het schoolbestuur toe. Het schoolbestuur kan in zijn school- en arbeidsreglement een bepaling opnemen die het maken van opnames van gelijk welke aard op de schoolterreinen verbiedt zonder voorafgaande toestemming van de directie. Ook kan het schoolbestuur bij de toegangen van de schoolterreinen een verbodsbord opstellen (rond bord met witte achtergrond, rode rand en schuine rode streep over zwart fototoestel).
Elke persoon die wordt gefilmd, moet zijn of haar individuele toestemming geven. Deze personen (leerlingen en personeelsleden) kunnen daartoe niet worden verplicht. Met toestemming wordt bedoeld een "vrije, specifieke en op informatie berustende wilsuiting".
Deze toestemming mag, maar moet niet schriftelijk worden gegeven. De onderwijsinstelling moet de toestemming wel kunnen aantonen of motiveren. Van leerlingen die enthousiast lachend in de camera kijken (of poseren), kan overigens worden aangenomen dat ze een impliciete toestemming geven. De toestemming van de ouders is niet vereist, tenzij de leerlingen niet over voldoende beoordelingsvermogen beschikken (leeftijdsgrens ligt tussen de 12 en 14 jaar).
Ja, dat kan.
Over Bednet zegt de toezichthouder (GBA) het volgende:
"Toestemming is verplicht ... maar er zijn ook enkele uitzonderingen, bijvoorbeeld Bednet. Dit project laat toe dat zieke leerlingen de les van thuis meevolgen, met behulp van een webcam. In dit geval is er geen toestemming van de leerlingen en/of leraar nodig, omdat het recht op onderwijs van een kind primeert op het recht op afbeelding.” (bron: www.ikbeslis.be)
"Toestemming is verplicht ... maar er zijn ook enkele uitzonderingen, bijvoorbeeld Bednet. Dit project laat toe dat zieke leerlingen de les van thuis meevolgen, met behulp van een webcam. In dit geval is er geen toestemming van de leerlingen en/of leraar nodig, omdat het recht op onderwijs van een kind primeert op het recht op afbeelding.” (bron: www.ikbeslis.be)
Normaal gezien moet je dus geen toestemming vragen aan elke leerling. Probeer wel de privacy van alle leerlingen en leraar zo veel mogelijk te waarborgen.
Maak iedereen bewust dat het wettelijk verboden is om stiekem afbeeldingen en screenshots te maken van leraren en leerlingen en deze te delen op openbare sociale media of in een andere context te gebruiken.
Het recht op SIO (synchroon internetonderwijs) is geformaliseerd in het SIO-decreet van 23 april 2014. Bednet vzw (www.bednet.be/) is de, door het departement onderwijs gesubsidieerde, leverancier van SIO in Vlaanderen. Zij zijn verwerkingsverantwoordelijke voor alle persoonsgegevens die zij van de leerling, ouder(s) of voogd, school, CLB ... ontvangen.
Nee, dat kan niet.
Voor materies waarbij ouders een individuele keuze kunnen maken en waarbij deze keuzemogelijkheid gegarandeerd wordt door een bepaalde regelgeving, kan het geven van toestemming niet via het schoolreglement worden “opgelegd”.
Voorbeelden hiervan zijn het al dan niet deelnemen aan niet-verplichte schoolactiviteiten of het verlenen van toestemming inzake materies rond privacy.
Een expliciete toestemming vereist een afzonderlijke, actieve handeling. Dit kan dus niet samengaan met de inschrijving.
De instemming met het schoolreglement gaat over het geheel van de bepalingen in het schoolreglement. Wanneer men instemt met dit geheel, dan kan er een inschrijving gebeuren. Is dat niet het geval, dan kan het kind niet ingeschreven worden.
Voor materies waarbij ouders een individuele keuze kunnen maken en waarbij deze keuzemogelijkheid gegarandeerd wordt door een bepaalde regelgeving, kan het geven van toestemming niet via het schoolreglement worden “opgelegd”.
Voorbeelden hiervan zijn het al dan niet deelnemen aan niet-verplichte schoolactiviteiten of het verlenen van toestemming voor materies rond privacy.
Een expliciete toestemming vereist een afzonderlijke, actieve handeling. Dit kan dus niet samengaan met de inschrijving.
Dit hangt van de foto af.
De Gegevensbeschermingsautoriteit (GBA) spreekt van gerichte en niet-gerichte beelden. Voor gerichte beelden moet toestemming worden gevraagd. Zowel voor het maken als publiceren ervan. Voor niet-gerichte beelden is het niet noodzakelijk om toestemming te vragen.
Het begrip "gericht" zal veeleer een individuele afbeelding zijn of een afbeelding waarvoor één of enkele personen tijdens een groepsactiviteit worden uitgelicht of een afbeelding waarvoor wordt geposeerd (bv. de klassieke klasfoto of een individuele foto).
Het begrip "niet-gericht" zal eerder moeten begrepen worden als beeldmateriaal dat een algemene en eerder spontane, niet geposeerde sfeeropname weergeeft zonder daarvoor specifiek één of enkele personen eruit te lichten (bv. een groepsfoto van de klas tijdens een boswandeling of een sportactiviteit).
De Vlaamse Toezichtcommissie (VTC) spreekt van herkenbaar en niet-herkenbaar.
Als op de genomen foto herkenbare kinderen kunnen staan, moet je toestemming vragen om de foto’s te nemen én te bewaren.
Als de kinderen niet herkenbaar (identificeerbaar) zijn, gaat het niet om persoonsgegevens en moet je geen toestemming vragen om de foto’s te nemen en ook niet om ze te publiceren.
Het betreft hier soms een "grijze zone". Het onderscheid tussen een gericht en een niet-gericht beeld of herkenbaar en niet-herkenbaar is niet altijd een duidelijk afgelijnd. Bij twijfel is het raadzaam om steeds toestemming van de betrokkene(n) te vragen.
Ja, dat mag.
Veel scholen gebruiken voor de leerlingenadministratie (pas)foto's. Deze komen dan voor in het administratieve systeem, maar bijvoorbeeld ook in het leerlingvolgsysteem, puntenboeken van leraren of het (interne) communicatie/berichtensysteem.
Soms werken scholen (bij bepaalde activiteiten of uitstappen) met overzichtslijsten waarop leerlingen per klas geïdentificeerd kunnen worden aan de hand van deze (pas)foto — dit is het zogenaamde 'smoelenboek'.
Deze verwerkingen mag de school toepassen zonder dat er toestemming van de leerling (of diens vertegenwoordiger) nodig is. Zij kunnen zich hier niet tegen verzetten. De school moet er wel over waken dat de afbeeldingen niet onrechtmatig, of voor een ander doeleinde verwerkt worden. De school moet deze verwerking ook toevoegen aan het register.
Dat mag, maar ga er omzichtig mee om. Bij twijfel, vraag toestemming.
Het begrip niet-gericht heeft betrekking op beeldmateriaal dat een algemene en eerder spontane, niet-geposeerde sfeeropname weergeeft zonder daarvoor specifiek één of enkele personen eruit te lichten (bijvoorbeeld een groep leerlingen tijdens een boswandeling of een sportactiviteit). Voor niet-gerichte beelden volstaat het om de betrokkenen te informeren dat zulke beelden worden genomen, voor welk doel en voor welke publicatie (bron GBA - ikbeslis.be).
De Vlaamse Toezichtcommissie (VTC) spreekt zelfs van herkenbaarheid. Als op de genomen foto wel herkenbare kinderen kunnen staan, moet je in principe toestemming vragen om de foto’s te nemen én te bewaren.
Nee, dat mag niet zomaar.
Het basisprincipe is dat het gebruik van beeldmateriaal (foto, video ...) onderworpen is aan de toestemming van de betrokkene. Deze toestemming moet vrij van druk gegeven worden, specifiek zijn en op informatie berusten.
Als iemand toestemming geeft om foto’s of videobeelden te nemen, betekent dit echter niet noodzakelijk dat er toestemming is om deze beelden te publiceren of te verspreiden. Het nemen van beelden en het publiceren ervan staan los van elkaar. De toestemming voor deze bedrijvigheden moet dus apart gevraagd worden.
Een minderjarige zonder onderscheidingsvermogen kan zelf geen toestemming geven en wordt vertegenwoordigd door zijn ouder(s) of voogd. Voor een minderjarige met onderscheidingsvermogen kunnen niet alleen de ouders toestemming geven, maar ook de minderjarige. De leeftijd waarop dit onderscheidingsvermogen bereikt wordt, wordt tussen 12 en 14 jaar gelegd.
Het begrip gericht slaat veeleer op een individuele afbeelding, dit is een afbeelding waardoor één of enkele personen tijdens een groepsactiviteit worden uitgelicht of een afbeelding waarvoor wordt geposeerd (bijvoorbeeld een klasfoto of een individuele foto.
Elke betrokkene heeft 'Recht van inzage' (art. 15 GDPR). Dus een leerling (of indien minderjarig zijn ouders/voogd) heeft het recht om zijn tuchtdossier in te kijken.
Maar wat met de privacygevoelige of vertrouwelijke informatie over anderen (bv. ondertekende getuigenverklaringen)? Een van die bewijsstukken kan een getekende en gedateerde getuigenverklaring zijn. De personen die deze getuigenverklaring afleggen moeten vooraf op de hoogte zijn dat deze getuigenis in het kader van een tuchtonderzoek wordt gevraagd. De getuigenis moet ook ondertekend worden. Zijn de getuigen echter bang van represailles, dan kunnen ze de getuigenis anoniem ondertekenen. De anonieme getuigenis wordt dan toegevoegd aan het tuchtdossier. Op een apart blad laat de onderwijsinstelling de anonieme getuigen ondertekenen (naam, datum en handtekening). Dit apart blad wordt niet in het tuchtdossier bewaard maar blijft op de onderwijsinstelling zodanig dat de onderwijsinstelling weet wie de anonieme getuigenis heeft ondertekend. Gebruik per anonieme getuigenverklaring een apart blad om te ondertekenen, getuigen hoeven onderling ook niet te weten wie er allemaal getuige is. Indien de betrokkene zijn tuchtdossier opvraagt krijgt die alle elementen te zien, maar niet de namen van de getuigen die een getuigenis hebben afgelegd.
Bij 'Recht van inzage van de betrokkene' mag een onderwijsinstelling enkel informatie vrijgeven van de betrokkene zelf (art. 15(4) GDPR en art. 123/7 Codex Secundair Onderwijs). Als er in het dossier van de betrokkene bijvoorbeeld een verslag zit van de hele klassenraad zal de betrokkene alleen het stuk mogen lezen dat over de betrokkene gaat.
Het korte antwoord is nee.
Noch in het decreet basisonderwijs noch in het besluit van de Vlaamse Regering staat dat de school een kopie moet nemen van de identiteitskaart of het Kids-ID. De Gegevensbeschermingsautoriteit keurt het bovendien af.
Uit de omzendbrief volgt dat de school wel de identiteitskaart of Kids-ID mag vragen om de juiste schrijfwijze van de naam te controleren en om de geboortedatum en eventueel het rijksregisternummer te controleren, maar een kopie hoeft hiervoor niet genomen te worden. Uit het dataminimalisatieprincipe van de AVG (GDPR) volgt dat men een dergelijke kopie dus niet (meer) mag nemen en bijhouden.
Noot: Hieruit volgt dat men eventuele kopieën van identiteitsbewijzen die zich nog op de scholen (in de archieven) bevinden niet meer moet verwerken en bijgevolg, volgens de GDPR-principes, dient te verwijderen.
Uit de omzendbrief volgt dat de school wel de identiteitskaart of Kids-ID mag vragen om de juiste schrijfwijze van de naam te controleren en om de geboortedatum en eventueel het rijksregisternummer te controleren, maar een kopie hoeft hiervoor niet genomen te worden. Uit het dataminimalisatieprincipe van de AVG (GDPR) volgt dat men een dergelijke kopie dus niet (meer) mag nemen en bijhouden.
Noot: Hieruit volgt dat men eventuele kopieën van identiteitsbewijzen die zich nog op de scholen (in de archieven) bevinden niet meer moet verwerken en bijgevolg, volgens de GDPR-principes, dient te verwijderen.
Uit de omzendbrief volgt dat de school wel de identiteitskaart of Kids-ID mag vragen om de juiste schrijfwijze van de naam te controleren en om de geboortedatum en eventueel het rijksregisternummer te controleren, maar een kopie hoeft hiervoor niet genomen te worden. Uit het dataminimalisatieprincipe van de AVG (GDPR) volgt dat men een dergelijke kopie dus niet (meer) mag nemen en bijhouden.
Noot: Hieruit volgt dat men eventuele kopieën van identiteitsbewijzen die zich nog op de scholen (in de archieven) bevinden niet meer moet verwerken en bijgevolg, volgens de GDPR-principes, dient te verwijderen.
Het is zeker niet aangewezen dat een leraar in de klas op eigen initiatief persoonsgegevens van leerlingen opvraagt, bijvoorbeeld om een eigen adressenbestand aan te leggen of om via het beroep van de ouders een beeld te krijgen van de sociale samenstelling van de klasgroep.
Vooreerst ligt het niet voor de hand dat bij een dergelijke gegevensverwerking nauwgezet alle verplichtingen nageleefd worden die de privacywet voorschrijft. Voorts leidt de proliferatie van dergelijke bestanden tot een gebrek aan transparantie voor de betrokkenen. Daarnaast kan er onduidelijkheid ontstaan omtrent de finaliteit van deze gegevensverwerking. En tenslotte is het inefficiënt indien de leerlingen meermaals dezelfde gegevens aan verschillende personen moeten meedelen.
Het verzamelen van gegevens over studiehouding, psychosociale achtergrond, schoolse resultaten, vrijetijdsbesteding … gebeurt bij de (eerste) inschrijving van een leerling, het best in een open intakegesprek.
Alhoewel de school in principe geen persoonsgegevens betreffende de gezondheid mag verwerken, kan ze in dit geval de schriftelijke toestemming van de betrokkene verkrijgen om dit toch te doen. Deze gegevens (bijvoorbeeld allergie, hyperventilatie, epilepsie, dyslexie ...) kunnen enkel verwerkt worden met het oog op risicopreventie of aangepaste begeleiding, gegevens opvragen met betrekking tot allergie, hyperventilatie, epilepsie …? Hierbij gelden de volgende beperkingen:
- de toestemming moet schriftelijk gegeven worden;
- de toestemming kan op elk ogenblik ingetrokken worden;
- de verwerking van de gegevens betreffende de gezondheid moet erop gericht zijn de leerling een voordeel te geven. Het is duidelijk dat de betrokken leerling er voordeel bij heeft indien de school weet dat ze gepast moet kunnen omgaan met medische risico’s zoals allergie, anorexia, boulimie, hyperventilatie, epilepsie of met leerstoornissen zoals dyslexie en ADHD.
Vanzelfsprekend leidt het opvragen van medische gegevens omtrent deze aandoeningen niet tot een voordeel voor leerlingen die deze aandoeningen niet hebben. Van hen mogen deze persoonsgegevens dan ook niet verwerkt worden. Een collectieve vraagstelling die gericht is aan alle leerlingen, is dus niet toegestaan.
Op het inschrijvingsformulier zijn ja-neen-vragen zoals 'Lijd je aan hyperventilatie?' of 'Ben je allergisch voor bepaalde stoffen?' in geen geval toegestaan. Wel kan men via een open vraagstelling de ouders of de leerling de mogelijkheid bieden mogelijke gezondheidsrisico’s te signaleren. Je vindt een voorbeeld van zulke tekst in onze mededeling betreffende de gezondheidsfiche.
Ten slotte wijzen we er op dat de school, indien ze gegevens betreffende de gezondheid van de leerlingen verwerkt, enkele bijkomende voorschriften dient na te leven.
