Wat zijn de eisen aan software voor onderwijsinstellingen op het gebied van privacy?

Software voor onderwijsinstellingen moet voldoen aan strenge privacyeisen, omdat scholen en hogescholen dagelijks grote hoeveelheden persoonsgegevens van leerlingen, studenten en medewerkers verwerken. De belangrijkste wetgeving is de AVG (Algemene Verordening Gegevensbescherming), aangevuld met specifieke richtlijnen vanuit sectoren als het primair en voortgezet onderwijs. Concreet betekent dit dat elke softwareoplossing die je als onderwijsinstelling inzet, aantoonbaar veilig moet omgaan met die gegevens. In dit artikel beantwoorden we de meest gestelde vragen over privacyeisen aan software voor onderwijsinstellingen, zodat je weet waar je op moet letten.

Welke privacywetgeving geldt voor software in het onderwijs?

De AVG is de leidende wetgeving voor het verwerken van persoonsgegevens in het onderwijs. Daarnaast gelden in Nederland aanvullende afspraken en richtlijnen, waaronder de ROSA (Referentiearchitectuur voor het Onderwijs) en het convenant Digitale Onderwijsmiddelen en Privacy (DUP), dat specifiek is opgesteld voor scholen en hun softwareleveranciers.

De AVG verplicht onderwijsinstellingen om persoonsgegevens alleen te verwerken met een geldige grondslag, zoals toestemming of een wettelijke verplichting. Scholen zijn verwerkingsverantwoordelijken: zij bepalen het doel en de middelen van de gegevensverwerking. Softwareleveranciers die namens de school gegevens verwerken, zijn verwerkers en vallen daarmee ook onder de AVG-verplichtingen. Het convenant DUP voegt hier concrete afspraken aan toe over welke gegevens een leverancier wel en niet mag gebruiken, en hoe ze beveiligd moeten worden.

Welke persoonsgegevens verwerken onderwijsinstellingen in software?

Onderwijsinstellingen verwerken in hun software een breed scala aan persoonsgegevens: namen, adressen en contactgegevens van leerlingen en ouders, maar ook cijfers, aanwezigheidsregistraties, gedragsnotities en soms bijzondere gegevens zoals gezondheids- of zorgbehoeften. Dit maakt onderwijs een sector met een verhoogd privacyrisico.

Bijzondere categorieën persoonsgegevens, zoals informatie over gezondheid, religie of leerlingondersteuning, verdienen extra bescherming onder de AVG. Het is dan ook relevant om per softwareapplicatie helder in kaart te brengen welke gegevens worden verwerkt, met welk doel, en hoe lang ze worden bewaard. Dit noem je een verwerkingsregister, en iedere onderwijsinstelling is verplicht dit bij te houden.

Wat zijn de concrete privacyeisen aan onderwijssoftware?

Onderwijssoftware moet voldoen aan een aantal concrete eisen vanuit de AVG en het convenant DUP. De belangrijkste zijn: doelbinding (gegevens mogen alleen worden gebruikt voor het doel waarvoor ze zijn verzameld), dataminimalisatie (niet meer gegevens verzamelen dan nodig), beveiliging (passende technische en organisatorische maatregelen), en transparantie (de instelling en haar leerlingen moeten weten wat er met hun gegevens gebeurt).

Aanvullend stelt het convenant DUP dat leveranciers geen leerlinggegevens mogen gebruiken voor commerciële doeleinden, zoals advertenties of profilering. De software moet ook aantoonbaar veilig zijn, met encryptie, toegangsbeveiliging en een verwerkersovereenkomst. Voor scholen betekent dit dat ze bij het selecteren van software actief moeten controleren of de leverancier aan al deze eisen voldoet.

Wat is het verschil tussen een verwerkersovereenkomst en een licentieovereenkomst?

Een verwerkersovereenkomst regelt de privacyverplichtingen tussen een onderwijsinstelling en een softwareleverancier die persoonsgegevens verwerkt namens de instelling. Een licentieovereenkomst regelt de gebruiksrechten op de software zelf. Beide zijn nodig, maar ze hebben een fundamenteel ander doel.

De verwerkersovereenkomst is verplicht onder de AVG zodra een leverancier toegang heeft tot persoonsgegevens. Hierin leg je vast welke gegevens worden verwerkt, voor welk doel, hoe lang, en welke beveiligingsmaatregelen gelden. De licentieovereenkomst bepaalt hoe je de software mag gebruiken: hoeveel gebruikers, voor welke periode, en wat de intellectuele eigendomsrechten zijn. Een veelgemaakte fout is denken dat een licentieovereenkomst ook de privacyafspraken dekt. Dat is niet zo. Zonder aparte verwerkersovereenkomst voldoe je als school niet aan de AVG.

Hoe beoordeel je of onderwijssoftware AVG-compliant is?

Je beoordeelt of onderwijssoftware AVG-compliant is door te controleren op vier punten: beschikt de leverancier over een actuele verwerkersovereenkomst, is er een privacyverklaring die aansluit bij het convenant DUP, worden gegevens verwerkt binnen de EER (Europese Economische Ruimte) of met passende waarborgen, en heeft de leverancier een aantoonbaar informatiebeveiligingsbeleid?

Vraag bij een leverancier altijd om een ingevulde DPIA (Data Protection Impact Assessment) als de software bijzondere persoonsgegevens verwerkt of grootschalige verwerking betreft. Veel scholen gebruiken ook de SIVON-toetsen of de Privacy Checklist van Kennisnet om software te beoordelen. Dit zijn praktische hulpmiddelen die je helpen om snel de juiste vragen te stellen aan een leverancier.

Welke risico's lopen onderwijsinstellingen bij privacyschendingen in software?

Onderwijsinstellingen die niet voldoen aan de privacyeisen voor software riskeren boetes van de Autoriteit Persoonsgegevens, reputatieschade en verlies van vertrouwen bij ouders en leerlingen. De AP kan boetes opleggen tot 20 miljoen euro of 4% van de jaarlijkse wereldwijde omzet, afhankelijk van wat hoger is.

Naast financiële gevolgen zijn er ook operationele risico's. Een datalek waarbij leerlinggegevens uitlekken, moet binnen 72 uur worden gemeld bij de AP. Als de school geen verwerkersovereenkomst heeft met de betrokken leverancier, staat ze er juridisch alleen voor. Bovendien kan reputatieschade bij ouders en leerlingen langdurig doorwerken op het vertrouwen in de instelling. Investeren in goede privacyafspraken is dan ook geen bureaucratische verplichting, maar een concrete risicobeheersmaatregel.

Wanneer is maatwerksoftware beter dan standaardsoftware voor privacy in het onderwijs?

Maatwerksoftware is beter dan standaardsoftware voor privacy wanneer je als onderwijsinstelling unieke processen hebt, gevoelige gegevens verwerkt die standaardoplossingen niet goed kunnen afschermen, of wanneer je volledige controle wilt over waar en hoe data wordt opgeslagen. Bij maatwerk bepaal jij de architectuur, niet de leverancier.

Standaardsoftware is gebouwd voor brede inzetbaarheid, wat betekent dat de privacyinstellingen vaak een compromis zijn tussen de wensen van veel verschillende klanten. Met maatwerksoftware kun je precies inrichten wat nodig is: geen overbodige gegevensverwerking, geen externe koppelingen die je niet nodig hebt, en een verwerkersovereenkomst die aansluit op jouw specifieke situatie. Dit is vooral relevant voor instellingen die werken met leerlingen met complexe ondersteuningsbehoeften of die meerdere systemen willen integreren zonder gegevens onnodig te dupliceren.

Benieuwd wat wij voor jouw organisatie kunnen betekenen? Bekijk onze diensten en ontdek hoe wij samenwerken.