Embedded Files
Wat wel en niet mag
De meeste onderwijsorganisaties hebben inmiddels een vastgesteld privacybeleid, of zijn dit aan het ontwikkelen.
Veel besturen kampen met de vraag of het gebruik van WhatsApp nog wel binnen de kaders van de Algemene Verordening Gegevensbescherming en het privacybeleid valt. Er zijn veel haken en ogen.
De Algemene Verordening Gegevensbescherming (AVG) is inmiddels een jaar van kracht. Deze Europese wetgeving moet zowel voor mensen van wie gegevens worden verwerkt, als voor organisaties die persoonsgegevens verwerken (zoals ook onderwijsinstellingen) voor meer grip op die gegevens zorgen.
Onderwijsbesturen hebben niet stilgezeten, ze hebben in kaart gebracht welke persoonsgegevens worden gebruikt en hebben hun privacybeleid – of in de woorden van de Autoriteit Persoonsgegevens: een gegevensbeschermingsbeleid – afgestemd op de nieuwe wetgeving. Uit dit beleid moet op een transparante wijze blijken dat de schoolorganisatie aantoonbaar aan de AVG voldoet.
Een vraag die zich bij veel besturen opdrong, was of het gebruik van WhatsApp binnen het privacybeleid en de kaders van de AVG past. Een eenduidig antwoord op deze vraag is niet te geven: er zijn veel mitsen en maren. Bij drie daarvan staan wij hier stil, te weten 1) de toestemming, 2) de controle over de verwerking van persoonsgegevens en 3) de gegevenshuishouding. Oordeelt u vervolgens zelf of de geschetste knelpunten in de weg staan bij het gebruik van WhatsApp in uw organisatie.
Carola van Andel en Maarten van Nijendaal, advocaten en CIPP/E bij Nysingh voor Onderwijs en Overheid
Wel of niet van toepassing
Alvorens op bovenstaande punten in te gaan, is het goed te benoemen wanneer de AVG van toepassing is en wanneer niet. In artikel 2 lid 2 AVG is namelijk bepaald dat de verordening niet van toepassing is op de verwerking van persoonsgegevens door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit. Dit betekent dat als ouders of leerlingen onderling een WhatsAppgroep aanmaken, de AVG hier niet op van toepassing is. De school staat hier immers buiten. Het wordt anders als een leerkracht ook deelneemt in deze WhatsAppgroep. Vanaf dat moment is sprake van het verwerken van persoonsgegevens door de onderwijsinstelling. Het gaat dan niet alleen om de contactgegevens en profielfoto’s van de deelnemers in de groep, maar ook om hetgeen in die groep gedeeld wordt. Dit kunnen foto’s zijn, maar ook andere privacygevoelige informatie zoals gegevens over iemands gezondheid, godsdienst of seksualiteit. Dit worden bijzondere persoonsgegevens genoemd en verwerking hiervan is aan strikte voorwaarden gebonden.
Toestemming
Artikel 9 lid 1 AVG verbiedt verwerking van bijzondere persoonsgegevens, tenzij één van de in lid 2 opgenomen uitzonderingen van toepassing is. Voor onderwijsorganisaties lijkt het gebruik van WhatsApp alleen mogelijk indien betrokkene daarvoor uitdrukkelijke toestemming geeft. Rechtsgeldige toestemming moet vrijelijk, ondubbelzinnig, geïnformeerd en specifiek zijn gegeven. Hierbij moet een organisatie duidelijk toelichten voor welke specifieke verwerking toestemming wordt gevraagd. Een toestemming in algemene termen is niet rechtsgeldig. Daar komt bij dat aantoonbaar moet zijn dat toestemming is verkregen en moet het voor de betrokkene duidelijk zijn dat de gegeven toestemming op elk moment kan worden ingetrokken. Onderwijsorganisaties moeten dus zorgvuldig administreren dat toestemming is verleend.
Het verwerken van persoonsgegevens op grond van de (uitdrukkelijke) toestemming van betrokkenen is in de praktijk behoorlijk lastig, omdat toestemming op ieder moment kan worden ingetrokken. Dit zou betekenen dat indien een ouder of leerling de gegeven toestemming intrekt, deze ook uit de WhatsAppgroep verwijderd zou moeten worden. Ook het verkrijgen van een rechtsgeldige toestemming van de leerkracht kan in de praktijk problematisch zijn. Dit speelt met name bij leerkrachten die – bij gebrek aan een telefoon die door de instelling wordt versterkt – gebruik moeten maken van een eigen (privé) telefoon(nummer). Hij of zij wordt door het gebruiken van WhatsApp verplicht privégegevens te delen met de andere ouders en leerlingen in de groep én met WhatsApp. Dit lijkt op zichzelf al een onwenselijke situatie. Daar komt bij dat in afhankelijkheidsrelaties – zoals een werknemer ten opzichte van een werkgever –in de regel moet worden aangenomen dat de afhankelijke partij zijn toestemming niet in vrijheid heeft kunnen geven vanwege mogelijke negatieve gevolgen bij weigeren van deze toestemming. Voor kinderen jonger dan 16 jaar geldt bovendien dat zij toestemming moeten hebben van de persoon die de ouderlijke verantwoordelijkheid draagt. In de voorwaarden van WhatsApp is echter opgenomen dat gebruikers woonachtig in een land in de Europese Regio ten minste 16 jaar oud moeten zijn om de dienst te gebruiken. Hiermee is gebruik van WhatsApp georganiseerd vanuit school voor leerlingen jonger dan 16 jaar uitgesloten.
Controle over de verwerking
Een WhatsApp groep met ouders of leerlingen ouder dan 16 jaar behoort wel tot de mogelijkheden, mits alle betrokkenen rechtsgeldig toestemming hebben gegeven. Het is dan wel van belang dat duidelijke afspraken worden gemaakt (en vastgelegd) over wat precies gedeeld wordt binnen een WhatsAppgroep. In het gebruiken van een WhatsAppgroep schuilt het risico dat de school zelf geen controle heeft over de berichten die in de groep worden gedeeld. De kans bestaat dat in de groep een stroom van berichten wordt geplaatst, waarbij persoonsgegevens worden gedeeld waarvoor geen rechtsgeldige toestemming is gegeven. Ook is het goed denkbaar dat berichten in een verkeerde groep of naar verkeerde contacten worden gestuurd. Bij het gebruiken van WhatsApp groepen dienen onderwijsinstellingen dus vooraf goed na te denken hoe zij omgaan met ongewenste of verkeerd verzonden berichten.
Gegevenshuishouding
Stel dat al de hiervoor omschreven privacyrechtelijke obstakels worden overwonnen en de onderwijsinstelling gebruik gaat (of wellicht blijft) maken van Gegevenshuishouding Stel dat al de hiervoor omschreven privacyrechtelijke obstakels worden overwonnen en de onderwijsinstelling gebruik gaat (of wellicht blijft) maken van WhatsApp. In dat geval is het goed om acht te slaan op een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State van 20 maart 2019 (ECLI:NL:RVS:2019:899). In deze uitspraak stond de vraag centraal of de Wet openbaarheid van bestuur (Wob) van toepassing is op sms- en WhatsAppberichten. De uitspraak is helder: op sms- en WhatsAppberichten over een bestuurlijke aangelegenheid is de Wob van toepassing, ongeacht of deze berichten op de zakelijke of privé telefoon van een bestuurder of ambtenaar staan. Deze uitspraak is ook relevant als een betrokkene, bijvoorbeeld een leerling, ouder of medewerker, een beroep doet op zijn inzagerecht op grond van artikel 15 AVG. Met voornoemde uitspraak moet aangenomen worden dat in voorkomende gevallen eveneens WhatsApp-berichten in de reactie en besluitvorming op een inzageverzoek betrokken moeten worden. Dit betekent dat organisaties ook op het gebied van WhatsApp-berichten moeten zorgen voor een zorgvuldig bewaarbeleid. Met deze uitspraak wordt opnieuw het toenemende belang van een gedegen informatiehuishouding en privacybeleid duidelijk.
Gebruik maken van WhatsApp in een onderwijsorganisatie is zeker
niet zonder risico
Afsluitend
Gebruikmaken van WhatsApp binnen een (onderwijs) organisatie is gezien het voorgaande zeker niet zonder risico. Zoals met alle verwerkingen van persoonsgegevens moet zorgvuldig worden gemotiveerd op welke grondslag persoonsgegevens worden verwerkt en wat de doeleinden zijn van de verwerking. Gelet op het beginsel van minimale gegevensverwerking uit artikel 5 lid 1 sub c AVG moeten organisaties zich tevens afvragen of het gebruik van WhatsApp noodzakelijk is, mede gezien de aanmerkelijke kans dat privacygevoelige informatie wordt verwerkt. Dit komt mede doordat WhatsApp in belangrijke mate privé wordt gebruikt en wordt gezien als een zeer toegankelijk medium. Strikte afspraken over welke gegevens wel of niet te delen, zijn eenvoudiger te maken (en te handhaven) als gebruik wordt gemaakt van een afzonderlijke, op het onderwijs toegesneden, applicatie. Diverse alternatieven zijn in te passen in een goed werkbaar privacybeleid. Onderwijsinstellingen kunnen bij het maken en motiveren van hun keuze tegelijkertijd vanuit hun rol voorlichting geven over verstandig omgaan met persoonsgegevens. Op die manier heeft niet alleen de onderwijsinstelling grip op persoonsgegevens, maar hebben leerlingen, ouders en medewerkers diezelfde grip ook.
Bovenstaand artikel is op 3 juni 2019 gepubliceerd in Schoolmanagement Totaal.
Page updated
Google Sites
Report abuse