Het antwoord op deze vraag is tot nader order positief.
Sinds 26 april 2004 zijn de Externe Diensten voor Preventie en Bescherming op het Werk (EDPBW’s) gemachtigd tot het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen voor het vervullen van hun verplichtingen inzake medisch toezicht en risicobeheer overeenkomstig art. 40 van de wet van 4 augustus 1996 betreffende het welzijn van de werknemers bij de uitvoering van hun werk.
In de beraadslaging lezen we het volgende: “Er wordt verduidelijkt dat het identificatienummer van het Rijksregister "de eenduidige identificatie mogelijk zal maken van de werknemers die tewerkgesteld zijn bij bedrijven die aangesloten zijn bij de Externe Diensten voor Preventie en Bescherming op het werk" en meer bepaald:
Voornoemde machtiging is bovendien tweemaal uitgebreid.
Vooreerst heeft men vanaf 2 mei 2007 de EDPBW’s toegang verleend, niet alleen tot het rijksregisternummer, maar ook tot enkele andere gegevens van het Rijksregister, met name:
In de beraadslaging lezen we het volgende: “Er wordt verduidelijkt dat het identificatienummer van het Rijksregister "de eenduidige identificatie mogelijk zal maken van de werknemers die tewerkgesteld zijn bij bedrijven die aangesloten zijn bij de Externe Diensten voor Preventie en Bescherming op het werk" en meer bepaald:
- om de werknemers op te roepen voor het medisch onderzoek, opgelegd bij de voormelde wet van 4 augustus 1996;
- om hen toe te laten hun diensten in rekening te brengen bij de werkgevers die om hun tussenkomst verzoeken.
Voornoemde machtiging is bovendien tweemaal uitgebreid.
Vooreerst heeft men vanaf 2 mei 2007 de EDPBW’s toegang verleend, niet alleen tot het rijksregisternummer, maar ook tot enkele andere gegevens van het Rijksregister, met name:
- de naam en voornamen
- de geboorteplaats en –datum
- het geslacht
- de nationaliteit
- de hoofdverblijfplaats
- de EDPBW’s mogen het identificatienummer in hun relaties met de werkgever uitsluitend gebruiken om informatie te ontvangen of te verstrekken omtrent de houder van het identificatienummer in het kader van de verplichtingen welke hen zijn opgelegd door of krachtens een wets– of reglementsbepaling;
- de werkgevers mogen krachtens deze machtiging slechts over het nummer beschikken gedurende de tijd nodig voor het uitvoeren van hun verplichtingen jegens de EDPBW’s en enkel met dat doel zonder dat hierdoor afbreuk gedaan wordt aan het gebruik dat hen door andere machtigingsbesluiten wordt opgelegd;
- teneinde het voordeel van het gebruik te verzekeren, is de vermelding ervan verplicht in de communicaties tussen de EDPBW’s en de werkgevers.
Nee, tenzij geanonimiseerd.
Elke verwerking van persoonsgegevens moet een doelbinding en grondslag hebben voor de GDPR (AVG). Het doel is het maken van een verslag en mogelijk andere opdrachten aangaande een observatiemoment of stageles. Hiervoor is het echter niet nodig om leerlingen te identificeren in de tekst. De stagiair kan dit even goed doen m.b.v. anonimisering, zoals bv. het gebruik van "leerling A, leerling B, ..." of soortgelijke vermeldingen. Het bij naam noemen van leerlingen is met andere woorden niet proportioneel voor het gestelde doel en derhalve niet aanvaardbaar volgens de basisprincipes van de GDPR privacyverordening.
Ja, maar vraag toestemming aan de leerlingen die in beeld komen en respecteer de beginselen van de GDPR.
Elke verwerking van persoonsgegevens moet een doelbinding en grondslag hebben voor de GDPR (AVG). Het doel is het observeren, beoordelen en begeleiden van de stageopdracht. Aangezien het over beeld- en geluidsopnames gaat, die vanuit de verantwoordelijkheid van de school gezien niet volgen vanuit hun taken naar de leerlingen en eventueel leerkrachten toe die gefilmd zullen worden, moet men voor het filmen in dit geval de uitdrukkelijke toestemming van de betrokkenen vragen.
Aangezien het filmen in het belang van de stagiair gebeurt, dient de stagiair in feite de toestemming hiervoor te bekomen en moet hij/zij deze dus ook kunnen aantonen. Voor minderjarige leerlingen zijn het in principe een ouder(s) of voogd die de toestemming moeten geven. Indien de leerlingen over voldoende onderscheidingsvermogen beschikken (meestal legt men de leeftijd hiervoor tussen 12 en 14 jaar) dan zou men hen desgevallend zelf om deze toestemming kunnen vragen. Uiteraard zal de school dit in de praktijk wel moeten faciliteren (bv. door het voorafgaand bezorgen van een toestemmingsbrief).
Indien (de ouder/voogd van) een aantal leerlingen geen toestemming geven om te filmen, dan zal de school mogelijk organisatorisch maatregelen moeten nemen om er voor te zorgen dat het filmen desgevallend kan doorgaan, bv. door het verstandig opstellen van de camera en het 'buiten beeld plaatsen' van leerlingen waarvoor er geen toestemming is om te filmen. Indien dit niet mogelijk is en/of als te veel leerlingen geen toestemming geven, dan kan het filmen mogelijks niet doorgaan voor de stageopdrachten in kwestie.
De stagiair moet, bij het vragen van de toestemming, het doeleinde duidelijk toelichten alsook de manier(en) waarop en voorwaarden waaronder hij/zij de beelden zal verwerken. De stagiair en/of lerarenopleiding en/of stagebegeleider(s) zijn verantwoordelijk voor het vertrouwelijk en correct gebruik van de beelden, voor de beveiliging ervan en voor het feit dat het beeldmateriaal verwijderd wordt zodra het doeleinde bereikt is.
Het beeldmateriaal wordt:
- veilig opgeslagen;
- niet gedeeld of verlaat de onderwijsinstelling niet;
- verwijderd na de bespreking;
- wordt niet gebruikt voor anderedoeleinden.
Ja, op voorwaarde dat de discretieplicht wordt gerespecteerd en de beginselen van de GDPR.
Elke verwerking van persoonsgegevens moet een doelbinding en grondslag hebben voor de GDPR (AVG). De inzage of toegang tot het leerlingvolgsysteem en/of andere begeleidings- en zorginformatie door een stagiair moet bijgevolg duidelijk kaderen binnen een observatie- of concrete stageopdracht.
De inzage of toegang dient ook proportioneel te zijn. Dit wil zeggen dat toegang tot een hele klas bv. niet verantwoord kan worden indien de stagiair voor een welbepaalde opdracht enkele cases moet kunnen bekijken. In zo'n geval kan inzage met een bevoegd iemand volstaan. Vermijd het voorzien van (niet geanonimiseerde) afdrukken of schermafdrukken vanuit leerlingbegeleidings- of zorgdossiers. Beleidsmatig kan een leidinggevende desgevallend, en dus enkel indien de opdracht dit rechtvaardigt, toegang tot (een deel zoals bv. een klas in) het leerlingvolgsysteem verlenen. Zowel in het geval van inzage met een bevoegd personeelslid als bij (gedeeltelijke) toegang tot het leerlingvolgsysteem dient de onderwijsinstelling (het schoolbestuur) de betrokkenen hier wel over te informeren.
Wijs de stagiair ook steeds op zijn/haar discretieplicht aangaande alle persoonsgegevens waarvan hij/zij kennis neemt in de loop van de stageopdrachten op de onderwijsinstellingen. Dit zou desgevallend ook expliciet in de stageovereenkomst opgenomen kunnen worden.
Dit hangt af van het mandaat van de deurwaarder.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat, indien de deurwaarder handelt krachtens een gerechtelijke beslissing of een notariële akte en hij aan de school een afschrift van de uitvoerbare titel overmaakt, de school hem dan de informatie dient mee te delen waarover hij kan beschikken krachtens die uitvoerbare titel.
Indien de deurwaarder handelt op vraag van een privépersoon, teneinde bepaalde materiële vaststellingen te doen, kan de school de deurwaarder slechts inzage verstrekken in de persoonsgegevens van een bepaalde leerling, voor zover zulke inzage mogelijk zou zijn voor de opdrachtgever van de deurwaarder met wiens mandaat de deurwaarder handelt. De deurwaarder kan bijvoorbeeld handelen in opdracht van één van de ouders van een minderjarige die beschikt over het ouderlijk gezag over de minderjarige; in dat geval heeft de deurwaarder hetzelfde recht van kennisneming van persoonsgegevens als die ouder.
Voor het overige heeft een deurwaarder, net zoals een advocaat, uit hoofde van zijn ambt toegang tot het rijksregister teneinde bepaalde noodzakelijke informatie te verkrijgen. Informatie die daaruit bekomen kan worden, dienen zij nooit op te vragen via de school.
Dit kan enkel als de betrokkene hiervoor toestemming geeft.
Op haar website spreekt de Gegevensbeschermingsautoriteit zich duidelijk uit over deze vraag.
In overeenstemming met het finaliteitsbeginsel mag een verwerking van persoonsgegevens enkel gebeuren voor welbepaalde, uitdrukkelijke en gerechtvaardigde doeleinden. De school verwerkt persoonsgegevens van oud-leerlingen voor een specifiek doeleinde, namelijk het bijhouden van de wettelijk verplichte leerlingenadministratie. De gegevens worden niet bijgehouden om eventueel later een reünie te kunnen organiseren. Beide doeleinden zijn verschillend en niet verenigbaar met elkaar.
Omdat beide doeleinden onverenigbaar zijn, kan de school de adressen van oud-leerlingen enkel doorgeven aan de organisator van de reünie als de oud-leerlingen daarvoor hun uitdrukkelijke en vrijelijke toestemming geven. Om dit praktisch gezien in goede banen te leiden, zou de persoon die de reünie wenst te organiseren, aan de school kunnen vragen of de school de beoogde groep oud-leerlingen wil aanschrijven, aldus de Gegevensbeschermingsautoriteit. Als de school bereid is om op dit verzoek in te gaan, stuurt ze aan die oud-leerlingen een bericht met toelichting bij het initiatief en met de contactgegevens van de organisator. In de toelichting wordt transparant weergegeven dat men vrij is om wel of niet op deze vraag in te gaan, en tevens dat de school niet verantwoordelijk is voor de verwerking in kwestie. Oud-leerlingen die geïnteresseerd zijn in de reünie, kunnen vervolgens zelf de organisator contacteren.
Het College van Burgemeester en Schepenen moet zich hierover uitspreken.
Op haar website spreekt de Gegevensbeschermingsautoriteit zich duidelijk uit over deze vraag. Instellingen van Belgisch recht die taken van algemeen belang vervullen kunnen een gemotiveerde schriftelijke aanvraag bij het College van Burgemeester en Schepenen indienen voor het bekomen van een adressenlijst. Het College dient zich over de gegrondheid van de aanvraag uit te spreken.
Een school is een instelling van Belgisch recht. In de mate dat ze haar pedagogische opdracht vervult (bijvoorbeeld het geven van goed onderwijs), oefent ze een taak van algemeen belang uit. Reclame maken voor het verstrekte onderwijs teneinde leerlingen te werven, valt echter buiten deze pedagogische opdracht en dus ook buiten het algemene belang.
Slechts in zeer uitzonderlijke gevallen kunnen gegevens uit het bevolkingsregister medegedeeld worden. Het College dient de nodige omzichtigheid aan de dag te leggen door geval per geval te beoordelen en het besluit te motiveren. Daarenboven mag het College, bij een positieve beoordeling, enkel die gegevens meedelen die strikt noodzakelijk zijn. Uiteraard kan het College in zijn beslissingen geen onderscheid maken tussen gemeentelijke scholen en scholen van andere onderwijsnetten.
Het weze duidelijk dat het College van Burgemeester en Schepenen in deze verantwoordelijk is voor de rechtmatigheid van en voor eventuele randvoorwaarden bij de gegevensoverdracht.
In het geval de school de gevraagde gegevens toch van het gemeentebestuur verkrijgt, dient ze de verplichtingen van de privacywet na te leven.
Dit houdt in dat ze:
- vooraf alle verwerkingsactiviteiten met het doeleinde leerlingenadministratie toevoegt aan het register;
- zodra de persoonsgegevens in haar bezit zijn, alle verwerkingsactiviteiten dienaangaande toevoegt aan het register;
- zodra de persoonsgegevens in haar bezit zijn de kennisgevingsplicht vervult, uiterlijk binnen de maand, met andere woorden aan de betrokken leerlingen meedeelt dat deze gegevens in haar bezit zijn, op welke wijze ze deze verkregen heeft en welke doeleinden ze dienen (dit kan gecombineerd worden met de eigenlijke rekruteringscommunicatie);
- hierbij de mogelijkheid voorziet om zich te verzetten tegen het (verdere) gebruik van de verkregen persoonsgegevens, en deze desgevallend verwijderd. De mogelijkheid tot verzet en gegevenswissing wordt transparant meegedeeld (dit kan gecombineerd worden met de eigenlijke rekruteringscommunicatie);
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleeft. Eén van deze verplichtingen houdt in dat de school deze persoonsgegevens niet langer mag bewaren dan noodzakelijk. De persoonsgegevens van de leerlingen waarvan op 1 september blijkt dat ze zich niet ingeschreven hebben, moeten dus bij het begin van het nieuwe schooljaar verwijderd worden.
Nee, dat mag niet.
Een attest waaruit blijkt dat een leerling in een gesloten instelling van Bijzondere Jeugdzorg geplaatst is of in voorhechtenis of in gevangenschap gehouden wordt, bevat persoonsgegevens van gerechtelijke aard. De basisregel is dat de school dergelijke persoonsgegevens niet mag verwerken.
Op dit verbod zijn echter enkele uitzonderingen van toepassing. Eén van deze uitzonderingen stelt dat de school persoonsgegevens van gerechtelijke aard toch mag verwerken, indien de verwerking noodzakelijk is voor de verwezenlijking van doeleinden die door of krachtens een wet, een decreet of een ordonnantie zijn vastgelegd.
De school moet tegenover het departement onderwijs de afwezigheid van de leerling kunnen verantwoorden. Om deze wettelijke verplichting na te leven, dient de school over het toepasselijk attest te beschikken. Hieruit volgt dat de school gerechtigd is zulk attest te verwerken, maar dan op geen enkele andere wijze dan in het kader van de controle op de leerplicht.
In sommige gevallen zal de school de afwezigheid van de leerling ook tegenover derden moeten verantwoorden. Het stagereglement dat bindend is voor alle scholen en structuuronderdelen, schrijft immers voor dat de stagegever op de hoogte gebracht wordt van de feiten die de aanwezigheid van de leerling kunnen rechtvaardigen. De stagegever heeft zelfs het recht naar de redenen van de afwezigheid te informeren.
Deze verplichting, die voortvloeit uit de toepassing van het stagereglement, is echter in strijd met het verbod op de verwerking van gerechtelijke persoonsgegevens, dat voortvloeit uit de toepassing van de privacywet. Bovendien is de eerder genoemde uitzondering hier niet van toepassing, want het doorgeven van het attest aan de stagegever past in het geheel niet in het kader van de controle op de leerplicht. Op basis van de hiërarchie van de normen kan gesteld worden dat de federale privacywet voorrang heeft op het stagereglement dat van het departement onderwijs uitgaat.
De genoemde attesten mogen dus in geen geval doorgegeven worden aan de stagegever. De school kan wel aan de stagegever melden dat de leerling op school gewettigd afwezig zal zijn tot een bepaalde datum en bijgevolg tot die datum niet kan deelnemen aan de stage. Voorts kan de school meedelen dat ze over de nodige documenten beschikt op basis waarvan de afwezigheid van rechtswege gewettigd is, zonder meer details te verstrekken.
Dit hangt van de vraag af en of de politiedienst een bestuurlijk of gerechtelijk opdracht uitvoert.
Bestuurlijke en gerechtelijke opdrachten
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat de wet op het politieambt, politiediensten het recht verleent persoonsgegevens in te winnen en te verwerken, voor zover de gebeurtenissen, de groeperingen en de personen waarover gegevens verwerkt worden, een concreet belang vertonen voor de uitoefening van hun opdracht als bestuurlijke politie of als gerechtelijke politie.
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat de wet op het politieambt, politiediensten het recht verleent persoonsgegevens in te winnen en te verwerken, voor zover de gebeurtenissen, de groeperingen en de personen waarover gegevens verwerkt worden, een concreet belang vertonen voor de uitoefening van hun opdracht als bestuurlijke politie of als gerechtelijke politie.
- De bestuurlijke daden van de politiediensten zijn van preventieve aard: ze omvatten de handhaving van de openbare orde en het toezicht op de naleving van de politiewetten en –verordeningen, de voorkoming van misdrijven en de bescherming van personen en goederen.
- De gerechtelijke daden van de politiediensten hebben een repressief karakter: ze omvatten de opsporing en de vaststelling van misdrijven en de verzameling van bewijzen die eventueel later aan de rechter kunnen worden voorgelegd.
De finaliteit van de verwerking van persoonsgegevens door een politiedienst verschilt dus naargelang de politiedienst een bestuurlijke of een gerechtelijke opdracht uitvoert. In de praktijk gaat het bij interventies ten aanzien van de school doorgaans om een gerechtelijke opdracht.
Gegevensverzameling in het kader van een gerechtelijk onderzoek
De wet op het politieambt stelt uitdrukkelijk dat het inwinnen en verwerken van persoonsgegevens door politiediensten overeenkomstig de privacywet dient te gebeuren, in het bijzonder wat de principes van finaliteit en proportionaliteit betreft. Hieruit volgt onder meer dat de aard van de opdracht mede bepaalt tot welke verwerkingen van persoonsgegevens de politiediensten gerechtigd zijn.
De wet op het politieambt stelt uitdrukkelijk dat het inwinnen en verwerken van persoonsgegevens door politiediensten overeenkomstig de privacywet dient te gebeuren, in het bijzonder wat de principes van finaliteit en proportionaliteit betreft. Hieruit volgt onder meer dat de aard van de opdracht mede bepaalt tot welke verwerkingen van persoonsgegevens de politiediensten gerechtigd zijn.
Tot de taken van de gerechtelijke politie behoort het vooronderzoek in strafzaken, waarin vooral bewijsmateriaal verzameld wordt met betrekking tot misdrijven en hun vermoedelijke daders. Het vooronderzoek neemt meestal de vorm aan van een opsporingsonderzoek onder leiding van de Procureur des Konings, soms gaat het om een gerechtelijk onderzoek onder leiding van een onderzoeksrechter.
- In het kader van een opsporingsonderzoek kunnen de politiediensten onder meer persoonsgegevens verzamelen die in een algemene nationale databank worden verwerkt, verdachten en getuigen ondervragen, een deskundigenonderzoek of een DNA-onderzoek uitvoeren, tot een lichaamsonderzoek of een fouillering overgaan, een plaatsbezoek of een huiszoeking verrichten, tot inbeslagneming overgaan, gewone gesprekken of telefoongesprekken afluisteren en personen visueel bespieden.
- In het kader van een gerechtelijk onderzoek kunnen de politiediensten onder meer een maatschappelijke enquête voeren met betrekking tot de verdachte en zijn milieu, verdachten ondervragen, getuigen verhoren, een deskundigenonderzoek of een DNA-onderzoek uitvoeren, tot een lichaamsonderzoek of een fouillering overgaan, een verdachte in observatie stellen, een plaatsbezoek of een huiszoeking verrichten, tot inbeslagneming overgaan, het briefgeheim en andere vertrouwelijke communicaties schenden, telefoonnummers identificeren, telecommunicatie opsporen en lokaliseren, gewone gesprekken of telefoongesprekken afluisteren en personen visueel of elektronisch bespieden.
Veel van deze onderzoeksverrichtingen zijn onderworpen aan strikte voorwaarden en/of voorafgaande toestemmingen. Het zou ons vanzelfsprekend te ver voeren om deze hier toe te lichten.
Concreet is het onbegonnen werk voor een schooldirectie om in al deze gevallen uit te maken welke leerlingengegevens de politiediensten in het kader van hun toepasselijke bevoegdheid mogen opvragen. De schooldirectie zal zich moeten verlaten op de inlichtingen die door de politiediensten zelf dienaangaande verstrekt worden. Het verdient aanbeveling dat de school zich bij een gebeurlijke vraagstelling vanwege de politie in het kader van een gerechtelijke opdracht laat informeren, vooraleer de vragen te beantwoorden.
Het is sterk aan te raden om bij elk verzoek, de identiteit van de vraagsteller(s) te verifiëren (let in het bijzonder op bij telefonisch contact) en elk verzoek (ongeacht of er op ingegaan werd, of niet) te documenteren.
Besluit
Het is niet eenvoudig voor de school om te beoordelen welke persoonsgegevens met betrekking tot leerlingen op verzoek van de politie wel of niet mogen of moeten meegedeeld worden aan de politie. Enerzijds moet de school de gerechtvaardigde belangen van de leerlingen verdedigen, anderzijds mag de school een gebeurlijk onderzoek niet belemmeren. Toch kunnen we enkele suggesties aanreiken:
Het is niet eenvoudig voor de school om te beoordelen welke persoonsgegevens met betrekking tot leerlingen op verzoek van de politie wel of niet mogen of moeten meegedeeld worden aan de politie. Enerzijds moet de school de gerechtvaardigde belangen van de leerlingen verdedigen, anderzijds mag de school een gebeurlijk onderzoek niet belemmeren. Toch kunnen we enkele suggesties aanreiken:
- Indien de vraag van de politie kennelijk tot voordeel van de betrokken leerling strekt, dan is het duidelijk dat er weinig of geen beperkingen zijn om te antwoorden op relevante vragen. Bijvoorbeeld bij een onrustwekkende verdwijning van een leerling dient de school al haar medewerking te verlenen aan het speurwerk.
- Indien andere instanties of personen beter geplaatst zijn om de gevraagde gegevens te leveren, doet de school er goed aan naar die instanties of personen te verwijzen. Indien de politie bijvoorbeeld over een recente foto van de leerling wenst te beschikken, is het in principe logischer dat zulke foto door de ouders overhandigd wordt, en niet door de school.
- In de andere gevallen verdient het aanbeveling persoonsgegevens van leerlingen niet op basis van een telefonisch verzoek, maar uitsluitend na een expliciet schriftelijk verzoek mee te delen aan de politie. Indien de tijd dringt, kan dit verzoek snel per e-mail aan de school gericht worden. Let er op dat de identiteit van de vraagsteller gecontroleerd wordt.
- Ook het meedelen van de persoonsgegevens aan de politie gebeurt bij voorkeur schriftelijk en niet via de telefoon. Ook hier kan het gebruik van e-mail de communicatie versnellen.
- In de regel zullen de vragen van de politie steeds voldoen aan de vereisten van finaliteit en proportionaliteit. De verzamelde persoonsgegevens zullen pertinent en adequaat zijn, rekening houdend met de beoogde finaliteit van de verwerking van de persoonsgegevens in het kader van de politieopdracht.
- Toch kan de politie zich in zeer uitzonderlijke gevallen genoodzaakt zien de privacy van een leerling op school op ernstige wijze te schenden, bijvoorbeeld bij een huiszoeking in de kamer van een interne leerling, bij de schending van het briefgeheim of het telefoongeheim van de leerling, of bij een lichaamsonderzoek van de leerling (niet te verwarren met een fouillering). Zonder de toestemming van de betrokken leerling kunnen dergelijke dwangmaatregelen tijdens het vooronderzoek enkel bevolen worden door de onderzoeksrechter. De politie zal dan vooraf het bevelschrift tonen dat deze onderzoeksdaad verordent.
- Ten slotte willen we niet nalaten te pleiten voor bedachtzaamheid en redelijkheid. De school zal in voorkomend geval een evenwicht moeten vinden tussen de gerechtvaardigde belangen van de betrokken leerling(en), de gerechtvaardigde belangen van de eventuele benadeelde partijen en het belang van het onderzoek. Via open en correct overleg met de betrokken politiediensten kunnen spanningen en incidenten wellicht vermeden worden.
Ja, op voorwaarde dat de gegevens volledig worden geanonimiseerd.
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat voor een dergelijke toepassing geen gegevens van geïdentificeerde of identificeerbare personen verwerkt mogen worden.
Voor beleidsgerichte toepassingen zoals kwaliteitsverbetering van het geboden onderwijs moet er immers geen geïdentificeerde basisinformatie verwerkt worden, maar moet de secundaire school kunnen beschikken over bestanden met geaggregeerde gegevens van haar oud-leerlingen aan de hogeschool of de universiteit. Indien deze persoonsgegevens volledig geanonimiseerd kunnen worden, kan de overdracht vanuit de hogeschool of de universiteit naar de secundaire school wel gebeuren, want dan gaat het niet langer om een verwerking die valt onder de privacywet.
Nee, tenzij er vooraf toestemming wordt gevraagd aan de betrokkene.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten.
Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen moeten zich hiertegen minstens kunnen verzetten. Wanneer er een functionele band tussen beide onderwijsinstellingen zou zijn, dan zou volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden onder bepaalde voorwaarden nog binnen de redelijke verwachtingen van betrokkenen vallen en dus te verantwoorden zijn. Dergelijke functionele band ontbreekt evenwel tussen de secundaire school en de hogeschool of de universiteit. Daarom is het doorgeven van persoonsgegevens voor zulke doeleinden enkel mogelijk mits elke betrokkene voorafgaandelijk zijn uitdrukkelijke toestemming geeft.
Bovendien moet de secundaire school, nadat ze de toestemming van de betrokkenen verkregen heeft, voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:
- duidelijk, specifiek en vrijelijk de toestemming van elke betrokkene vragen;
- elke betrokkene hierbij informeren over zijn/haar rechten;
- uitsluitend gegevens doorgeven uit gegevenscategorieën die vermeld zijn bij het vragen van de betrokkene;
- deze verwerkingsactiviteiten toevoegen aan het register;
- bij overdracht van de gegevens voldoende organisatorische en technische maatregelen in acht nemen om lekken of onrechtmatig gebruik ervan te voorkomen (bv. versleuteling toepassen).
Vanzelfsprekend moet elke betrokken hogeschool of universiteit op haar beurt de verplichtingen naleven die van toepassing zijn bij het verkrijgen van persoonsgegevens van een derde.
In deze casus mogen er geen gegevens worden meegedeeld.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat de school in principe slechts informatie kan meedelen indien zij hiervoor de toelating van de betrokken leerling of zijn ouders heeft en indien dit in het voordeel van de leerling is. Dit laatste is in de beschreven situatie kennelijk niet het geval. De advocaat kan bepaalde informatie omtrent de vermeende dader (bijvoorbeeld diens woonplaats) opsporen via het rijksregister, dat toegankelijk is voor advocaten.
Voor alle duidelijkheid, de onderstaande tekst gaat enkel over de systematische gegevensuitwisseling tussen de school en het CLB (bv. gegevensuitwisseling bij de start van elk schooljaar of voor nieuwkomers).
In het decreet betreffende de leerlingenbegeleiding staat: “De school deelt relevante informatie die in de school aanwezig is over de leerlingen met het centrum (art. 14)”.
Scholen stellen zich de vraag, wat is relevante informatie?
De scholen kunnen (wanneer het gaat over systematische gegevensuitwisseling) het houden bij de naam, klas en geboortedatum van de leerlingen. In plaats van de geboortedatum van de leerling kan ook het stamnummer worden gegeven. Met de geboortedatum of het stamnummer kan het CLB de leerling uniek identificeren. Als een CLB extra informatie nodig heeft van een leerling, dan kan het CLB de informatie halen uit Discimus.
Wanneer een CLB aan contact tracing moet doen tijdens een pandemie, dan kan bijvoorbeeld de school de contactgegevens van de ouders (bv. telefoonnummer) bijvoegen van de klas waar de besmetting zich heeft voorgedaan.
Voor de kleuters staat er in het BVR tot operationalisering van de leerlingenbegeleiding: “Het systematische contact in de eerste kleuterklas of bij de leeftijdscohorte driejarigen wordt zo georganiseerd dat de ouders maximaal aanwezig kunnen zijn en omvat minstens” (art. 3)”. Voor het eerste leerjaar staat er: “Het systematische contact in het eerste leerjaar of leeftijdscohorte zesjarigen wordt zo georganiseerd dat de aanwezigheid van de ouders aangemoedigd wordt (art. 4)”. Het aanmoedigen van de aanwezigheid van de ouders bij het medisch onderzoek kan op de uitnodigingsbrief staan.
We merken nog eens op dat de bovenstaande tekst enkel gaat over de systematische gegevensuitwisseling tussen de school en het CLB. Als bijvoorbeeld een school consultatieve leerlingenbegeleiding gaat aanbieden en versterking vraagt aan een CLB kunnen er wel meer gegevens van leerlingen uitgewisseld worden (gedrag in klas, punten…).
Ja, mits toestemming van de betrokkene.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten. Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen zouden zich hiertegen minstens moeten kunnen verzetten.
Wanneer er echter een functionele band is tussen de basisschool en secundaire school, zelfs indien beide zich op enige afstand van elkaar bevinden, dan valt volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden nog binnen de redelijke verwachtingen van betrokkenen en is deze overdracht te verantwoorden, op voorwaarde dat aan de betrokken leerlingen op voorhand de gelegenheid geboden wordt hun naam te laten schrappen van de lijst die doorgegeven wordt aan de secundaire school.
Bovendien moet in dat laatste geval de secundaire school voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:
- zodra de persoonsgegevens in haar bezit zijn, de kennisgevingsplicht vervullen, met andere woorden, aan de betrokkenen meedelen dat deze gegevens in haar bezit zijn en op welke wijze ze deze verkregen heeft;
- zodra de persoonsgegevens in haar bezit zijn, de verwerkingsactiviteiten dienaangaande toevoegen aan hun register;
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleven. Eén van deze verplichtingen houdt in dat de school deze persoonsgegevens niet langer mag bewaren dan noodzakelijk. De persoonsgegevens van de leerlingen waarvan op 1 september blijkt dat ze zich niet ingeschreven hebben, moeten dus bij het begin van het nieuwe schooljaar verwijderd worden.
Vanzelfsprekend moet elke betrokken basisschool op haar beurt de verplichtingen naleven die van toepassing zijn bij het doorgeven van persoonsgegevens aan een derde, i.h.b. het toevoegen van deze verwerkingsactiviteiten aan hun register.
We wijzen er op dat deze verplichtingen ook gelden indien de basisschool en de secundaire school deel uitmaken van dezelfde vzw-schoolbestuur en de verantwoordelijke voor de verwerking in beide gevallen dus dezelfde is. Immers, het doel van de verwerking van persoonsgegevens binnen de basisschool en de secundaire school is niet geheel gelijklopend. De aangiften die ingediend zijn, zullen dan ook verschillend zijn.
Bovendien moet er op gewezen worden dat de basisschool niet verplicht kan worden de gevraagde gegevens door te geven. Uit het feit dat het doorgeven van persoonsgegevens geoorloofd is, volgt immers niet dat dit verplicht is.
Ten slotte wijzen we op onze specifieke mededeling betreffende het doorgeven van leerlingengegevens van het basisonderwijs naar het secundair onderwijs (waarbij het doeleinde, administratie en/of begeleiding betreft i.p.v. 'direct marketing').
Het antwoord is nee.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat voor een dergelijke toepassing geen gegevens van geïdentificeerde of identificeerbare personen verwerkt mogen worden.
Voor beleidsgerichte toepassingen zoals kwaliteitsverbetering van het geboden onderwijs moet er immers geen geïdentificeerde basisinformatie verwerkt worden, maar moet de basisschool kunnen beschikken over bestanden met geaggregeerde gegevens van haar oud-leerlingen in de secundaire school. Indien deze persoonsgegevens volledig geanonimiseerd kunnen worden, kan de overdracht vanuit de secundaire school naar de basisschool wel gebeuren, want dan gaat het niet langer om een verwerking die valt onder de privacywet.
Neen, dat kan niet zomaar. De school zal hiervoor vooraf toestemming moeten vragen aan de leerlingen.
Dergelijke gegevensoverdracht past niet binnen de finaliteit van de gegevensverwerking van de school. De systematische prospectie van nieuwe abonnees voor een tijdschrift behoort immers niet tot de maatschappelijke opdracht van de school.
Indien de leraar van oordeel is dat een abonnement een waardevolle aanvulling bij zijn lessen vormt, dan kan hij de leerlingen die daarvoor in aanmerking komen - volkomen vrijblijvend, zonder enige druk uit te oefenen en zonder de persoonlijke levenssfeer van de leerlingen in het gedrang te brengen - de gelegenheid bieden hun naam en adres mee te delen om aldus toestemming te geven voor de doorgifte. De leerlingen moeten voorafgaand transparant geïnformeerd zijn. Vervolgens geeft de school enkel de adresgegevens door van die leerlingen die positief gereageerd hebben. We gaan er van uit dat het gaat om leerlingen met voldoende beoordelingsvermogen (bekwame leerlingen).
Bovenstaand antwoord beperkt zich tot een interpretatie in het licht van de privacywet. In meer algemene termen kan men stellen dat de school uiterst omzichtig moet zijn bij het promoten van commerciële initiatieven bij leerlingen, zoals blijkt uit het decreet rechtspositie en de reglementering omtrent zorgvuldig bestuur.
Ja, maar onder bepaalde voorwaarden.
Zoals voor elke verwerking, is er ook voor een doorgifte van persoonsgegevens een grondslag nodig. In feite kunnen er twee verschillende grondslagen zijn voor de doorgifte van gegevens voor dit doeleinde.
1. De doorgifte past binnen de overeenkomst tussen de school en de betrokken leerlingen
Als de doorgifte binnen de rechtmatigheid 'overeenkomst' past, is de redenering dat het lezen een onderdeel is van de basiseducatie, en dus deel uitmaakt van het doel 'onderwijs verstrekken' (het voldoen aan de eindtermen).
De school moet er dan over waken dat de gegevens die doorgegeven worden, proportioneel zijn voor dit doel.
Belangrijk is dat de school, indien men de grondslag overeenkomst hiervoor inroept, verantwoordelijk blijft voor de verwerkingen van de leerlingengegevens, ook na de overdracht aan de bibliotheek. Met de bibliotheek is er geen overeenkomst; daarom blijft de school verantwoordelijk. De bibliotheek is voor de privacywet dus een verwerker: een externe partner die in opdracht van de school (het schoolbestuur) handelt. Derhalve dient de school in dit geval een verwerkersovereenkomst met de bibliotheek aan te gaan, waarin de verplichtingen en verantwoordelijkheden voor de verwerkingen duidelijk afgesproken worden. De school (het schoolbestuur) blijft eindverantwoordelijke voor alle verwerkingen op deze leerlinggegevens.
2. De doorgifte wordt gebaseerd op de grondslag 'toestemming'
De school kan ervoor opteren toestemming te vragen voor de doorgifte. Hierbij dient men transparant, duidelijk en specifiek te zijn. Men moet duidelijk stellen waarvoor de bibliotheek de gegevens zal gebruiken (bijvoorbeeld het maken van een pasje), over welke gegevens het juist gaat en dat de bibliotheek na de doorgifte de verwerkingsverantwoordelijke is voor de gegevens (en dat betrokkenen zich na de doorgifte dus naar de bibliotheek of het gemeentebestuur moeten wenden voor vragen of om hun privacyrechten uit te oefenen, en niet via de school). Desgevallend kan in de toestemming ook opgenomen worden dat bv. klas, telefoonnummer of zelfs (pas)foto doorgegeven wordt, indien de bibliotheek deze vraagt. De toestemming is steeds vrijelijk: als een bekwame leerling, of diens vertegenwoordiger, geen uitdrukkelijke toestemming geeft, dan mogen de gegevens van die leerling niet doorgegeven worden aan de bibliotheek.
Zodra de overdracht gebeurd is, is niet langer de school, maar de bibliotheek (het gemeentebestuur) verantwoordelijk voor hun verwerking van de persoonsgegevens die dan "in hun bezit" zijn. In deze is de bibliotheek (het gemeentebestuur) dus een afzonderlijke verwerkingsverantwoordelijke als zij eenmaal de gegevens van de school verkrijgen, met alle verplichtingen ten aanzien van de privacywetgeving van dien. Zij handelen immers niet in opdracht van of "onder het gezag van" de school (het schoolbestuur).
Alles samen beschouwd, is het raadzaam om als school voor de grondslag 'toestemming' te kiezen, ofwel om de leerlingen (of hun vertegenwoordigers) zelf de nodige gegevens te laten bezorgen aan de bibliotheek.
(Bijkomende) verplichtingen
De school moet sowieso voorafgaand de leerlingen en/of hun vertegenwoordiger informeren over de overdracht. Dit kan bv. via een privacyverklaring en/of door een afzonderlijk schrijven. Bij scenario 2 (de school baseert zich op de grondslag 'toestemming') moet de bibliotheek (het gemeentebestuur) de betrokkenen uiterlijk binnen de maand over de verdere verwerking van hun gegevens informeren.
De school documenteert de overdracht van de gegevens in het register van verwerkingsverantwoordelijken en de bibliotheek (het gemeentebestuur) documenteert hun verwerkingsactiviteiten in hun register. Beide maken afspraken over passende organisatorische en technische maatregelen bij de overdracht van de gegevens teneinde lekken of onrechtmatig gebruik ervan te voorkomen.
Neen, dat kan niet zomaar. De school zal hiervoor vooraf toestemming moeten vragen aan de leerlingen.
Het doorgeven van adresgegevens van leerlingen aan een bedrijf met het oog op tewerkstelling van die leerlingen in dat bedrijf past niet binnen de finaliteit van de gegevensverwerking van de school. Het is immers niet de maatschappelijke opdracht van de school om de tewerkstelling van jongeren te organiseren.
De school kan tegemoet komen aan een dergelijke vraag vanwege een bedrijf, door de leerlingen van de studierichtingen die in aanmerking komen voor tewerkstelling in het bedrijf in kwestie (en die over voldoende beoordelingsvermogen beschikken), vrijelijk om toestemming te vragen.
Ja dat mag, mits het respecteren van een aantal voorwaarden.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het decreet leerlingenbegeleiding de rechtsgrond verschaft voor het uitwisselen van relevante persoonsgegevens van leerlingen tussen het CLB en de school.
De secundaire school moet dan wel:
- vooraf haar verwerkingsactiviteiten voor de doeleinden leerlingenadministratie en leerlingenbegeleiding toevoegen aan het register;
- de uitdrukkelijke, specifieke en vrijelijke toestemming bekomen van de (vertegenwoordiger van de) leerling om gezondheidsgerelateerde gegevens te mogen verwerken;
- in het register het CLB vermeld hebben als (potentiële) ontvangers van persoonsgegevens van de leerlingen;
- uitsluitend gegevens doorgeven uit gegevenscategorieën waarvan in het register vermeld is dat ze doorgegeven kunnen worden.
- bij de doorgifte van (gevoelige) gegevens, de nodige organisatorische en technische maatregelen nemen teneinde lekken of onrechtmatig gebruik van de gegevens te voorkomen (bv. versleuteling, toegangsbeveliging tot het systeem, enz.).
Verder moet er een samenwerkingsovereenkomst zijn tussen de school en het CLB, waarin in het bijzonder afspraken rond de uitwisseling van leerlinggebonden gegevens gemaakt worden.
In ons model van gezondheidsfiche die ingevuld kan worden bij het opvragen van gegevens betreffende de gezondheid van de leerling, kunnen de ouders aan (de arts van) het CLB toestemming geven om gegevens over de gezondheid van hun kind op te vragen bij de school. In dit model is ook geformuleerd hoe de uitdrukkelijke toestemming voor de verwerking van gezondheidsgerelateerde gegevens bekomen wordt. Het aanspreekpunt informatieveiligheid beschikt over het model van gezondheidsfiche.
Vanzelfsprekend moet elk betrokken CLB op zijn beurt de verplichtingen naleven die van toepassing zijn bij het ontvangen van persoonsgegevens van een derde.
Ja dat mag, maar bij het uitwisselen van gegevens mogen geen deontologische regels overtreden worden.
In haar antwoord op onze vraag dienaangaande meldt de Gegevensbeschermingsautoriteit ons dat het decreet leerlingenbegeleiding de rechtsgrond verschaft voor het uitwisselen van relevante persoonsgegevens van leerlingen tussen het CLB en de school: “Via een expliciete deontologische code moeten mogelijke interferenties worden vermeden. Om de scholen en de centra toe te laten hun opdrachten naar behoren te vervullen is het noodzakelijk dat relevante informatie uitgewisseld wordt. Bij het uitwisselen van gegevens mogen geen deontologische regels overtreden worden.”.
Met relevante informatie worden hier persoonsgegevens bedoeld die passen binnen de finaliteit van de verwerking van persoonsgegevens in de school en in het CLB. Met andere woorden, de school mag de ontvangen gegevens enkel verwerken voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel. De vaststelling dat de ontvangen gegevens “nuttig kunnen zijn” volstaat hiervoor geenszins.
Indien de ontvangen gegevens betrekking hebben op de gezondheid van de leerling, zijn de bepalingen strenger. De school mag deze gezondheidsgegevens enkel verwerken als dit een voordeel voor de leerling inhoudt en als de leerling akkoord gaat met de verwerking. Deze toestemming moet schriftelijk zijn, vrijelijk, specifiek en is steeds intrekbaar. Voorts moet de leerling, vooraleer hij zijn toestemming geeft, voldoende geïnformeerd zijn over de beoogde verwerking van de gegevens die zijn gezondheid betreft, over de doeleinden, de verantwoordelijke en de mogelijke nieuwe ontvangers.
Vanuit het CLB is, voor de medewerkers, het beroepsgeheim van kracht. Het decreet stipuleert dat zij enkel informatie mogen uitwisselen met de school indien een leerling met voldoende onderscheidingsvermogen hen hiertoe uitdrukkelijk toestemming geeft. Het lijkt ons derhalve allerminst vanzelfsprekend dat een school gegevens met betrekking tot de gezondheid van leerlingen opvraagt bij het CLB.
Merk op dat een leerling met voldoende onderscheidingsvermogen (bekwame leerling) op dezelfde manier het recht heeft om privacygevoelige elementen uit het individuele begeleidingsdossier (ook dat van de school) af te schermen van ouder(s) of voogd.
Tot slot moet de secundaire school:
- de verwerkingsactiviteiten aangaande het individuele leerlingbegeleidingsdossiers en eventuele doorgiften aan CLB, toevoegen aan hun register;
- zodra zij gegevens van het CLB ontvangen, deze conform het doeleinde en volgens de verplichtingen inzake de verwerking van persoonsgegevens, verwerken;
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleven.
Neen, dat mag niet.
Als werkgever en onderwijsverstrekker mag je GEEN gevoelige (waaronder medische) persoonsgegevens verwerken. Het al of niet gevaccineerd zijn of een bewijs van negatieve pcr-test voorleggen is een medisch gegeven dat onderwijsinstellingen (maar ook zorginstellingen) vooralsnog niet mogen opvragen en verwerken. Het verplicht vaccineren (of verplicht een bewijs van volledige vaccinatie voorleggen) kan pas als daar een uitdrukkelijke wettelijke basis voor is (zoals bijvoorbeeld al het geval is voor hepatitis B, tetanus en tuberculose). Men is momenteel aan het onderzoeken of het mogelijk is om dat wettelijk te bepalen. Een werkgever (hier stagegever) mag aan zijn werknemers (hier stagiairs) pas vragen of ze gevaccineerd zijn als de toekomstige wettelijke bepaling in werking is getreden.
Het is de werkgever (stagegever) die die gegevens moet verwerken, niet de school. Zelfs indien het verplicht zou worden dat personeel (en in casu dan ook een stagiair) in de zorgsector gevaccineerd moet zijn, dan zal het nog steeds zo zijn dat de onderwijsinstelling die medische gegevens niet mag opvragen en doorgeven aan de zorginstelling. Het overmaken van gezondheidsgegevens gebeurt door de stagiair zelf of via de preventieadviseur-arbeidsarts. De school komt hierin niet tussen.
De school moet stagiairs in de zorgsector wel de boodschap geven dat ze hoogstwaarschijnlijk verplicht zullen worden om een vaccinatiebewijs voor te leggen, als leerlingen dat weigeren, kunnen ze geen stage doen (en uiteindelijk dan ook geen diploma behalen) of tewerkgesteld worden in de zorgsector.
Neen, dit kan niet. Onderwijsinstellingen willen zoveel mogelijk de gezondheid van de leerlingen en lesgevers garanderen door les te geven in zo veilig mogelijke omstandigheden. Dit verantwoordt echter niet dat ze de toegang tot de leslokalen mogen weigeren voor niet-gevaccineerde leerlingen. De huidige vaccinatiestrategie bepaalt dat personen niet verplicht zijn om zich te laten vaccineren, maar dit vrij kiezen. Leerlingen laten bewijzen dat ze zich hebben gevaccineerd voordat ze een leslokaal mogen betreden zou een onrechtmatige verwerking van gezondheidsgegevens inhouden.
Ook indien de toestemming van de betrokken leerlingen verkregen wordt, zal dit nog steeds verboden zijn. Deze toestemming zal namelijk niet vrij gegeven worden omdat er nadelige gevolgen verbonden worden aan de weigering tot toestemming, namelijk het niet kunnen betreden van de leslokalen.
Tot op heden heeft de Gegevensbeschermingsautoriteit (GBA - de toezichthouder) ook nog geen kennis genomen van enige wettelijke of decretale bepaling die het mogelijk maakt voor onderwijsinstellingen om vaccinatiebewijzen op te vragen met het oog op het creëren van een veilige leeromgeving voor leerlingen.
Nee, dit kan enkel mits toestemming van het personeelslid.
Voor het afdrukken van privégegevens om aan de personeelsleden te geven of eventueel aan leerlingen, moet een onderwijsinstelling altijd toestemming vragen.
Deze toestemming dient vrijelijk, goed geïnformeerd en specifiek te worden gevraagd. Het schoolbestuur moet kunnen aantonen dat de betrokkene zijn/haar toestemming gegeven heeft.
Tegen het publiceren of doorgeven van iemands naam en een werkgerelateerd e-mailadres kan men zich niet verzetten.
Nee, dit kan enkel mits toestemming van de betrokkene.
In haar antwoord op onze vraag meldt de Gegevensbeschermingsautoriteit ons dat het hier in feite gaat om het doorgeven van persoonsgegevens die gebruikt zullen worden voor doeleinden van direct marketing. Dit moet aan de betrokkenen worden gemeld en tegelijk moet hen gevraagd worden of zij zich tegen zulk gebruik verzetten. Meer en meer worden ook op individuele personen gerichte acties voor caritatieve, electorale of andere doeleinden immers beschouwd als verwerkingen met doeleinden van direct marketing. De betrokkenen zouden zich hiertegen minstens moeten kunnen verzetten.
Wanneer er echter een functionele band is tussen de basisschool en secundaire school, zelfs indien beide zich op enige afstand van elkaar bevinden, dan valt volgens de Gegevensbeschermingsautoriteit het doorgeven van persoonsgegevens voor zulke doeleinden nog binnen de redelijke verwachtingen van betrokkenen en is deze overdracht te verantwoorden, op voorwaarde dat aan de betrokken leerlingen op voorhand de gelegenheid geboden wordt hun naam te laten schrappen van de lijst die doorgegeven wordt aan de secundaire school.
Bovendien moet in dat laatste geval de secundaire school voldoen aan de overige verplichtingen die de privacywet haar oplegt, met name:
- zodra de persoonsgegevens in haar bezit zijn, de kennisgevingsplicht vervullen, met andere woorden, aan de betrokkenen meedelen dat deze gegevens in haar bezit zijn en op welke wijze ze deze verkregen heeft;
- zodra de persoonsgegevens in haar bezit zijn, de verwerkingsactiviteiten dienaangaande toevoegen aan hun register;
- zolang de gegevens in haar bezit blijven, de verplichtingen inzake de verwerking van persoonsgegevens naleven. Eén van deze verplichtingen houdt in dat de school deze persoonsgegevens niet langer mag bewaren dan noodzakelijk. De persoonsgegevens van de leerlingen waarvan op 1 september blijkt dat ze zich niet ingeschreven hebben, moeten dus bij het begin van het nieuwe schooljaar verwijderd worden.
Vanzelfsprekend moet elke betrokken basisschool op haar beurt de verplichtingen naleven die van toepassing zijn bij het doorgeven van persoonsgegevens aan een derde, i.h.b. het toevoegen van deze verwerkingsactiviteiten aan hun register.
We wijzen er op dat deze verplichtingen ook gelden indien de basisschool en de secundaire school deel uitmaken van dezelfde vzw-schoolbestuur en de verantwoordelijke voor de verwerking in beide gevallen dus dezelfde is. Immers, het doel van de verwerking van persoonsgegevens binnen de basisschool en de secundaire school is niet geheel gelijklopend. De aangiften die ingediend zijn, zullen dan ook verschillend zijn.
Bovendien moet er op gewezen worden dat de basisschool niet verplicht kan worden de gevraagde gegevens door te geven. Uit het feit dat het doorgeven van persoonsgegevens geoorloofd is, volgt immers niet dat dit verplicht is.
Ten slotte wijzen we op onze specifieke mededeling betreffende het doorgeven van leerlingengegevens van het basisonderwijs naar het secundair onderwijs (waarbij het doeleinde, administratie en/of begeleiding betreft i.p.v. 'direct marketing').
Voor het publiceren van een gerichte foto van een betrokkene, bijvoorbeeld in een brochure of een folder, op een website, op sociale media ... is er voorafgaande, uitdrukkelijke en aantoonbare toestemming nodig van de betrokkene.
Je mag ervan uitgaan dat het poseren voor een foto een actieve en ondubbelzinnige manier is om toe te stemmen met het nemen van de foto. Voor het publiceren van een gerichte foto zal er toestemming moeten worden gevraagd.
Indien er geen toestemming is gegeven, kan de betrokkene zich beroepen op zijn recht op gegevenswissing. Het schoolbestuur als verwerkingsverantwoordelijke zal dan zonder onredelijke vertraging de betreffende persoonsgegevens moeten wissen.
Probeer als verwerkingsverantwoordelijke dergelijke situaties te vermijden. Het verwijderen van foto's is niet altijd evident. Ga als onderwijsinstelling zeer bewust om met het verspreiden van foto's.
Nee, toestemming is niet nodig. Personeelsleden en ondersteuners hebben wettelijk altijd inzagerecht in het (gemotiveerd) verslag.
De wettelijke basis hiervoor is terug te vinden in artikel 28/1 van het besluit van de Vlaamse Regering (BVR) tot operationalisering van de leerlingenbegeleiding in het basisonderwijs, het secundair onderwijs en de centra voor leerlingenbegeleiding (bron: https://data-onderwijs.vlaanderen.be/edulex/document.aspx?docid=15228).
Dit is een wettelijke basis om personeelsleden en ondersteuners van een ondersteuningsnetwerk inzagerecht te geven in een (gemotiveerd) verslag. Toestemming is niet nodig, zelfs verzet aantekenen kan niet (omdat het net in het belang van het kind is).
Indien een externe schoolfotograaf de foto's neemt, en dus ook verwerkt, in opdracht van de onderwijsinstelling, dan moet je als school met elke fotograaf een aantal afspraken maken over deze verwerkingen.
Het gaat in het bijzonder over:
- het opleggen van een discretieplicht voor het beeldmateriaal (en, indien van toepassing, andere persoonsgegevens die zij bekomen zoals bv. klaslijsten met namen);
- de doelen van de verwerking vastleggen en de afspraak maken dat zij het beeldmateriaal (en, indien van toepassing, andere persoonsgegevens) niet voor andere doelen gebruiken;
- afspraken maken over de veilige overdracht van de foto's (en, indien van toepassing, andere persoonsgegevens);
- afspraken maken over de verwijdering van alle persoonsgegevens zodra de door de onderwijsinstelling vooropgestelde doelen bereikt zijn.
Indien een externe fotograaf bepaald beeldmateriaal voor andere doelen wil aanwenden, zoals bv. publicatie op hun website of sociale media (bij wijze van reclame), dan is deze externe fotograaf verantwoordelijk voor die bijkomende verwerkingen.
Dit wil in het bijzonder zeggen dat de externe schoolfotograaf dan verantwoordelijk is om de toestemming hiervoor te bekomen, alsook dat betrokkenen zich tot de externe fotograaf moeten wenden als deze de persoonsgegevens, en in het bijzonder het beeldmateriaal, niet volgens de GDPR-verordening verwerkt of aanwendt. Bovenstaande afspraken bakenen immers duidelijk de verantwoordelijkheid van de onderwijsinstelling (het schoolbestuur) af. De externe fotograaf treedt in feite op als verwerker.
Indien een personeelslid van de onderwijsinstelling de foto's neemt, of een medewerker die onder het gezag van het schoolbestuur valt, dan wordt hij/zij door de onderwijsinstelling of het schoolbestuur onderricht aangaande de discretieplicht en het correct en veilig verwerken van het beeldmateriaal. In dit geval voorziet de onderwijsinstelling of het schoolbestuur ook de middelen die nodig zijn om de foto's te nemen, te sorteren, te bezorgen, te bewaren en, wanneer ze niet meer nodig zijn, te verwijderen.
Ja, maar er zijn voorwaarden.
Zoals voor alle verwerkingen van persoonsgegevens, moet je de finaliteit (doelbinding) en proportionaliteit evalueren. Het doel is hier communicatie; het effectief informeren van de ouder(s) aangaande de start van het schooljaar van hun kind.
Onder klaslijst verstaan we hier een (meestal alfabetisch op achternaam gesorteerd) overzicht van de combinatie voornaam en achternaam van leerlingen van één bepaalde lesgroep, eventueel aangevuld met de naam van de verantwoordelijke leraar of leraren (titularissen). Andere gegevens en in het bijzonder (pas)foto's zijn niet toegestaan op dergelijke lijsten (niet proportioneel voor het doeleinde).
Deze klaslijsten kunnen eind augustus uitgehangen worden voor bezoekers van het schoolterrein, zoals bijvoorbeeld aan de ingang van het klaslokaal of ad valvas in de gang, maar niet op een publiek vrij toegankelijke plaats, zoals bijvoorbeeld achter een raam aan de straatkant. Probeer ouders te informeren (sensibiliseren) om de gegevens niet over te schrijven en om de lijsten niet te fotograferen. We weten dat dit in de praktijk niet zo eenvoudig is. Er kan bijvoorbeeld een "verboden foto's te nemen" pictogram opgehangen worden naast of vermeld worden op de klaslijsten. Dit zal sowieso al wel ontradend werken.
De school kan eventueel ook klaslijsten doormailen aan ouder(s) en voogd, maar beperk de bestemmelingen dan zeker tot de vertegenwoordigers van kinderen op de lijst (dus niet de klaslijsten van alle klassen tegelijk, naar alle ouder(s) mailen). Let er zoals steeds op dat je de ouder(s) blind in kopieert (bcc). Vermeld in het e-mailbericht en/of op de digitale klaslijsten dat de informatie enkel voor de bestemmeling(en) bedoeld is, en niet verder mag verspreid worden.
De klaslijsten publiceren op het publiek toegankelijke gedeelte van de schoolwebsite, is sowieso niet gerechtvaardigd vanuit de privacywetgeving.
Ja, maar onder voorwaarden.
De beslissing of er foto's, geluids- en filmopnamen worden gemaakt op de terreinen of in de lokalen van de onderwijsinstelling komt in eerste instantie het schoolbestuur toe. Het schoolbestuur kan in zijn school- en arbeidsreglement een bepaling opnemen die het maken van opnames van gelijk welke aard op de schoolterreinen verbiedt zonder voorafgaande toestemming van de directie. Ook kan het schoolbestuur bij de toegangen van de schoolterreinen een verbodsbord opstellen (rond bord met witte achtergrond, rode rand en schuine rode streep over zwart fototoestel).
Elke persoon die wordt gefilmd, moet zijn of haar individuele toestemming geven. Deze personen (leerlingen en personeelsleden) kunnen daartoe niet worden verplicht. Met toestemming wordt bedoeld een "vrije, specifieke en op informatie berustende wilsuiting".
Deze toestemming mag, maar moet niet schriftelijk worden gegeven. De onderwijsinstelling moet de toestemming wel kunnen aantonen of motiveren. Van leerlingen die enthousiast lachend in de camera kijken (of poseren), kan overigens worden aangenomen dat ze een impliciete toestemming geven. De toestemming van de ouders is niet vereist, tenzij de leerlingen niet over voldoende beoordelingsvermogen beschikken (leeftijdsgrens ligt tussen de 12 en 14 jaar).
Ja, dat kan.
Over Bednet zegt de toezichthouder (GBA) het volgende:
"Toestemming is verplicht ... maar er zijn ook enkele uitzonderingen, bijvoorbeeld Bednet. Dit project laat toe dat zieke leerlingen de les van thuis meevolgen, met behulp van een webcam. In dit geval is er geen toestemming van de leerlingen en/of leraar nodig, omdat het recht op onderwijs van een kind primeert op het recht op afbeelding.” (bron: www.ikbeslis.be)
"Toestemming is verplicht ... maar er zijn ook enkele uitzonderingen, bijvoorbeeld Bednet. Dit project laat toe dat zieke leerlingen de les van thuis meevolgen, met behulp van een webcam. In dit geval is er geen toestemming van de leerlingen en/of leraar nodig, omdat het recht op onderwijs van een kind primeert op het recht op afbeelding.” (bron: www.ikbeslis.be)
Normaal gezien moet je dus geen toestemming vragen aan elke leerling. Probeer wel de privacy van alle leerlingen en leraar zo veel mogelijk te waarborgen.
Maak iedereen bewust dat het wettelijk verboden is om stiekem afbeeldingen en screenshots te maken van leraren en leerlingen en deze te delen op openbare sociale media of in een andere context te gebruiken.
Het recht op SIO (synchroon internetonderwijs) is geformaliseerd in het SIO-decreet van 23 april 2014. Bednet vzw (www.bednet.be/) is de, door het departement onderwijs gesubsidieerde, leverancier van SIO in Vlaanderen. Zij zijn verwerkingsverantwoordelijke voor alle persoonsgegevens die zij van de leerling, ouder(s) of voogd, school, CLB ... ontvangen.
Nee, dat kan niet.
Voor materies waarbij ouders een individuele keuze kunnen maken en waarbij deze keuzemogelijkheid gegarandeerd wordt door een bepaalde regelgeving, kan het geven van toestemming niet via het schoolreglement worden “opgelegd”.
Voorbeelden hiervan zijn het al dan niet deelnemen aan niet-verplichte schoolactiviteiten of het verlenen van toestemming inzake materies rond privacy.
Een expliciete toestemming vereist een afzonderlijke, actieve handeling. Dit kan dus niet samengaan met de inschrijving.
De instemming met het schoolreglement gaat over het geheel van de bepalingen in het schoolreglement. Wanneer men instemt met dit geheel, dan kan er een inschrijving gebeuren. Is dat niet het geval, dan kan het kind niet ingeschreven worden.
Voor materies waarbij ouders een individuele keuze kunnen maken en waarbij deze keuzemogelijkheid gegarandeerd wordt door een bepaalde regelgeving, kan het geven van toestemming niet via het schoolreglement worden “opgelegd”.
Voorbeelden hiervan zijn het al dan niet deelnemen aan niet-verplichte schoolactiviteiten of het verlenen van toestemming voor materies rond privacy.
Een expliciete toestemming vereist een afzonderlijke, actieve handeling. Dit kan dus niet samengaan met de inschrijving.
Dit hangt van de foto af.
De Gegevensbeschermingsautoriteit (GBA) spreekt van gerichte en niet-gerichte beelden. Voor gerichte beelden moet toestemming worden gevraagd. Zowel voor het maken als publiceren ervan. Voor niet-gerichte beelden is het niet noodzakelijk om toestemming te vragen.
Het begrip "gericht" zal veeleer een individuele afbeelding zijn of een afbeelding waarvoor één of enkele personen tijdens een groepsactiviteit worden uitgelicht of een afbeelding waarvoor wordt geposeerd (bv. de klassieke klasfoto of een individuele foto).
Het begrip "niet-gericht" zal eerder moeten begrepen worden als beeldmateriaal dat een algemene en eerder spontane, niet geposeerde sfeeropname weergeeft zonder daarvoor specifiek één of enkele personen eruit te lichten (bv. een groepsfoto van de klas tijdens een boswandeling of een sportactiviteit).
De Vlaamse Toezichtcommissie (VTC) spreekt van herkenbaar en niet-herkenbaar.
Als op de genomen foto herkenbare kinderen kunnen staan, moet je toestemming vragen om de foto’s te nemen én te bewaren.
Als de kinderen niet herkenbaar (identificeerbaar) zijn, gaat het niet om persoonsgegevens en moet je geen toestemming vragen om de foto’s te nemen en ook niet om ze te publiceren.
Het betreft hier soms een "grijze zone". Het onderscheid tussen een gericht en een niet-gericht beeld of herkenbaar en niet-herkenbaar is niet altijd een duidelijk afgelijnd. Bij twijfel is het raadzaam om steeds toestemming van de betrokkene(n) te vragen.
Ja, dat mag.
Veel scholen gebruiken voor de leerlingenadministratie (pas)foto's. Deze komen dan voor in het administratieve systeem, maar bijvoorbeeld ook in het leerlingvolgsysteem, puntenboeken van leraren of het (interne) communicatie/berichtensysteem.
Soms werken scholen (bij bepaalde activiteiten of uitstappen) met overzichtslijsten waarop leerlingen per klas geïdentificeerd kunnen worden aan de hand van deze (pas)foto — dit is het zogenaamde 'smoelenboek'.
Deze verwerkingen mag de school toepassen zonder dat er toestemming van de leerling (of diens vertegenwoordiger) nodig is. Zij kunnen zich hier niet tegen verzetten. De school moet er wel over waken dat de afbeeldingen niet onrechtmatig, of voor een ander doeleinde verwerkt worden. De school moet deze verwerking ook toevoegen aan het register.
Dat mag, maar ga er omzichtig mee om. Bij twijfel, vraag toestemming.
Het begrip niet-gericht heeft betrekking op beeldmateriaal dat een algemene en eerder spontane, niet-geposeerde sfeeropname weergeeft zonder daarvoor specifiek één of enkele personen eruit te lichten (bijvoorbeeld een groep leerlingen tijdens een boswandeling of een sportactiviteit). Voor niet-gerichte beelden volstaat het om de betrokkenen te informeren dat zulke beelden worden genomen, voor welk doel en voor welke publicatie (bron GBA - ikbeslis.be).
De Vlaamse Toezichtcommissie (VTC) spreekt zelfs van herkenbaarheid. Als op de genomen foto wel herkenbare kinderen kunnen staan, moet je in principe toestemming vragen om de foto’s te nemen én te bewaren.
Nee, dat mag niet zomaar.
Het basisprincipe is dat het gebruik van beeldmateriaal (foto, video ...) onderworpen is aan de toestemming van de betrokkene. Deze toestemming moet vrij van druk gegeven worden, specifiek zijn en op informatie berusten.
Als iemand toestemming geeft om foto’s of videobeelden te nemen, betekent dit echter niet noodzakelijk dat er toestemming is om deze beelden te publiceren of te verspreiden. Het nemen van beelden en het publiceren ervan staan los van elkaar. De toestemming voor deze bedrijvigheden moet dus apart gevraagd worden.
Een minderjarige zonder onderscheidingsvermogen kan zelf geen toestemming geven en wordt vertegenwoordigd door zijn ouder(s) of voogd. Voor een minderjarige met onderscheidingsvermogen kunnen niet alleen de ouders toestemming geven, maar ook de minderjarige. De leeftijd waarop dit onderscheidingsvermogen bereikt wordt, wordt tussen 12 en 14 jaar gelegd.
Het begrip gericht slaat veeleer op een individuele afbeelding, dit is een afbeelding waardoor één of enkele personen tijdens een groepsactiviteit worden uitgelicht of een afbeelding waarvoor wordt geposeerd (bijvoorbeeld een klasfoto of een individuele foto.
Elke betrokkene heeft 'Recht van inzage' (art. 15 GDPR). Dus een leerling (of indien minderjarig zijn ouders/voogd) heeft het recht om zijn tuchtdossier in te kijken.
Maar wat met de privacygevoelige of vertrouwelijke informatie over anderen (bv. ondertekende getuigenverklaringen)? Een van die bewijsstukken kan een getekende en gedateerde getuigenverklaring zijn. De personen die deze getuigenverklaring afleggen moeten vooraf op de hoogte zijn dat deze getuigenis in het kader van een tuchtonderzoek wordt gevraagd. De getuigenis moet ook ondertekend worden. Zijn de getuigen echter bang van represailles, dan kunnen ze de getuigenis anoniem ondertekenen. De anonieme getuigenis wordt dan toegevoegd aan het tuchtdossier. Op een apart blad laat de onderwijsinstelling de anonieme getuigen ondertekenen (naam, datum en handtekening). Dit apart blad wordt niet in het tuchtdossier bewaard maar blijft op de onderwijsinstelling zodanig dat de onderwijsinstelling weet wie de anonieme getuigenis heeft ondertekend. Gebruik per anonieme getuigenverklaring een apart blad om te ondertekenen, getuigen hoeven onderling ook niet te weten wie er allemaal getuige is. Indien de betrokkene zijn tuchtdossier opvraagt krijgt die alle elementen te zien, maar niet de namen van de getuigen die een getuigenis hebben afgelegd.
Bij 'Recht van inzage van de betrokkene' mag een onderwijsinstelling enkel informatie vrijgeven van de betrokkene zelf (art. 15(4) GDPR en art. 123/7 Codex Secundair Onderwijs). Als er in het dossier van de betrokkene bijvoorbeeld een verslag zit van de hele klassenraad zal de betrokkene alleen het stuk mogen lezen dat over de betrokkene gaat.
Het korte antwoord is nee.
Noch in het decreet basisonderwijs noch in het besluit van de Vlaamse Regering staat dat de school een kopie moet nemen van de identiteitskaart of het Kids-ID. De Gegevensbeschermingsautoriteit keurt het bovendien af.
Uit de omzendbrief volgt dat de school wel de identiteitskaart of Kids-ID mag vragen om de juiste schrijfwijze van de naam te controleren en om de geboortedatum en eventueel het rijksregisternummer te controleren, maar een kopie hoeft hiervoor niet genomen te worden. Uit het dataminimalisatieprincipe van de AVG (GDPR) volgt dat men een dergelijke kopie dus niet (meer) mag nemen en bijhouden.
Noot: Hieruit volgt dat men eventuele kopieën van identiteitsbewijzen die zich nog op de scholen (in de archieven) bevinden niet meer moet verwerken en bijgevolg, volgens de GDPR-principes, dient te verwijderen.
Uit de omzendbrief volgt dat de school wel de identiteitskaart of Kids-ID mag vragen om de juiste schrijfwijze van de naam te controleren en om de geboortedatum en eventueel het rijksregisternummer te controleren, maar een kopie hoeft hiervoor niet genomen te worden. Uit het dataminimalisatieprincipe van de AVG (GDPR) volgt dat men een dergelijke kopie dus niet (meer) mag nemen en bijhouden.
Noot: Hieruit volgt dat men eventuele kopieën van identiteitsbewijzen die zich nog op de scholen (in de archieven) bevinden niet meer moet verwerken en bijgevolg, volgens de GDPR-principes, dient te verwijderen.
Uit de omzendbrief volgt dat de school wel de identiteitskaart of Kids-ID mag vragen om de juiste schrijfwijze van de naam te controleren en om de geboortedatum en eventueel het rijksregisternummer te controleren, maar een kopie hoeft hiervoor niet genomen te worden. Uit het dataminimalisatieprincipe van de AVG (GDPR) volgt dat men een dergelijke kopie dus niet (meer) mag nemen en bijhouden.
Noot: Hieruit volgt dat men eventuele kopieën van identiteitsbewijzen die zich nog op de scholen (in de archieven) bevinden niet meer moet verwerken en bijgevolg, volgens de GDPR-principes, dient te verwijderen.
Het is zeker niet aangewezen dat een leraar in de klas op eigen initiatief persoonsgegevens van leerlingen opvraagt, bijvoorbeeld om een eigen adressenbestand aan te leggen of om via het beroep van de ouders een beeld te krijgen van de sociale samenstelling van de klasgroep.
Vooreerst ligt het niet voor de hand dat bij een dergelijke gegevensverwerking nauwgezet alle verplichtingen nageleefd worden die de privacywet voorschrijft. Voorts leidt de proliferatie van dergelijke bestanden tot een gebrek aan transparantie voor de betrokkenen. Daarnaast kan er onduidelijkheid ontstaan omtrent de finaliteit van deze gegevensverwerking. En tenslotte is het inefficiënt indien de leerlingen meermaals dezelfde gegevens aan verschillende personen moeten meedelen.
Het verzamelen van gegevens over studiehouding, psychosociale achtergrond, schoolse resultaten, vrijetijdsbesteding … gebeurt bij de (eerste) inschrijving van een leerling, het best in een open intakegesprek.
Alhoewel de school in principe geen persoonsgegevens betreffende de gezondheid mag verwerken, kan ze in dit geval de schriftelijke toestemming van de betrokkene verkrijgen om dit toch te doen. Deze gegevens (bijvoorbeeld allergie, hyperventilatie, epilepsie, dyslexie ...) kunnen enkel verwerkt worden met het oog op risicopreventie of aangepaste begeleiding, gegevens opvragen met betrekking tot allergie, hyperventilatie, epilepsie …? Hierbij gelden de volgende beperkingen:
- de toestemming moet schriftelijk gegeven worden;
- de toestemming kan op elk ogenblik ingetrokken worden;
- de verwerking van de gegevens betreffende de gezondheid moet erop gericht zijn de leerling een voordeel te geven. Het is duidelijk dat de betrokken leerling er voordeel bij heeft indien de school weet dat ze gepast moet kunnen omgaan met medische risico’s zoals allergie, anorexia, boulimie, hyperventilatie, epilepsie of met leerstoornissen zoals dyslexie en ADHD.
Vanzelfsprekend leidt het opvragen van medische gegevens omtrent deze aandoeningen niet tot een voordeel voor leerlingen die deze aandoeningen niet hebben. Van hen mogen deze persoonsgegevens dan ook niet verwerkt worden. Een collectieve vraagstelling die gericht is aan alle leerlingen, is dus niet toegestaan.
Op het inschrijvingsformulier zijn ja-neen-vragen zoals 'Lijd je aan hyperventilatie?' of 'Ben je allergisch voor bepaalde stoffen?' in geen geval toegestaan. Wel kan men via een open vraagstelling de ouders of de leerling de mogelijkheid bieden mogelijke gezondheidsrisico’s te signaleren. Je vindt een voorbeeld van zulke tekst in onze mededeling betreffende de gezondheidsfiche.
Ten slotte wijzen we er op dat de school, indien ze gegevens betreffende de gezondheid van de leerlingen verwerkt, enkele bijkomende voorschriften dient na te leven.
