Vragen van de leden Rog (CDA), Voordewind (ChristenUnie) en Jasper vanDijk (SP) aan de Staatssecretaris van Onderwijs, Cultuur en Wetenschap over het bericht «Scholen spelen privégegevens leerlingen door naar uitgevers» (ingezonden 27 november 2014).

Antwoord van Staatssecretaris Dekker (Onderwijs, Cultuur en Wetenschap) (ontvangen 8 december 2014).

Vraag 1

Bent u bekend met het bericht «Scholen spelen privégegevens leerlingen door naar uitgevers»?1

Antwoord 1

Ja.

Vraag 2

Kunt u bevestigen dat scholen gegevens van leerlingen doorgeven aan uitgevers zonder dat ouders hiervan op de hoogte zijn of hier expliciet toestemming voor hebben gegeven? Vindt u dit een wenselijke situatie? Zo nee, wat gaat u daar aan doen?

Antwoord 2

Ja. Op scholen waar digitaal lesmateriaal wordt gebruikt, krijgen uitgevers de beschikking over gegevens van leerlingen. Deze worden uitsluitend gebruikt ten behoeve van het functioneren van het leermiddel. Aparte toestemming van de ouders is niet verplicht, omdat het aanbieden van het leermiddel in het kader van de onderwijstaak een grondslag biedt om persoonsgegevens te verwerken. De verwerkingsgrondslag van de school komt overeen met de doelen van de school: goed onderwijs geven. Wel acht ik het wenselijk dat scholen zich de toenemende aandacht voor dit onderwerp aantrekken, goede bewerkersovereenkomsten sluiten en ouders hierover goed informeren.

Vraag 3

Kunt u bevestigen dat deze gegevens niet geanonimiseerd worden doorgegeven en dus te herleiden zijn naar de afzonderlijke leerlingen? Vindt u dit een wenselijke situatie? Zo nee, wat gaat u daar aan doen?

Antwoord 3

Uitgeverijen ontwikkelen ten behoeve van de leermiddelen een gebruikersprofiel van een leerling, zodat individuele feedback en maatwerk mogelijk zijn. Alleen de aanbieder van een gebruikt leermiddel beschikt over deze gegevens en wel uitsluitend om terugkoppeling naar leraar en leerling mogelijk te maken. Uitgeverijen gebruiken op dit moment gegevens die niet geanonimiseerd of gepseudonimiseerd zijn. Vanuit het streven naar dataminimalisering werk ik samen met de sectorraden aan het verder verbeteren van de privacy van de leerlingen door het scheppen van de mogelijkheid om leerlinggegevens te laten pseudonimiseren. Dit houdt in dat de uitgeverij wel gepersonaliseerde leermiddelen kan bieden, maar dat hij niet weet over welke leerling het gaat. De school koppelt dit gebruikersprofiel zelf aan de juiste persoon. De meerwaarde van de ICT-toepassing blijft in dat geval overeind, terwijl de privacy tegelijkertijd beter wordt geborgd.

Vraag 4

Deelt u de mening dat dit in strijd is met de privacywetgeving? Zo nee, waarom niet?

Antwoord 4

Dit is niet strijdig met de privacywetgeving. De scholen hebben een wettelijke grondslag om persoonsgegevens te laten verwerken als dit noodzakelijk is voor het onderwijsproces en het goed kunnen laten functioneren van de leermiddelen. Daarnaast dienen de scholen afspraken met de aanbieders of uitgeverijen te maken over het uitwisselen van persoonsgegevens. Gebruik van persoonsgegevens van leerlingen dient tot een minimum beperkt te zijn. Met behulp van pseudonimisering kan hierin een extra slag worden gemaakt.

Vraag 5

Kunt u bevestigen dat u sinds april de beschikking had over het rapport «Nulmeting Privacy en Informatiebeveiliging in het Primair en Voortgezet Onderwijs», waarin werd geconstateerd dat scholen niet geanonimiseerde gegevens van leerlingen doorspelen naar uitgevers?2

Antwoord 5

Mijn ambtenaren beschikten sinds april over het rapport.

Vraag 6

Wat is de reden dat de Kamer hierover niet actief is geïnformeerd? Deelt u de mening dat dit wel had gemoeten? Zo nee, waarom niet?

Antwoord 6

De verkenning wijst op potentiële risico’s bij zowel uitgeverijen als de onderzochte scholen. Het betreft risico’s die breder kunnen spelen en dus getoetst en aangepakt zouden moeten worden. De aanbevelingen bevestigden de keuzes en acties die inmiddels opgepakt waren. Tevens betrof het een beperkte verkenning onder vier scholen, waaraan geen algemene conclusies van privacy-schending kunnen worden verbonden. De verkenning diende als toets voor de uitvoering van beleid, bevestigde vermoedens die er op ambtelijk niveau leefden, en waar al eerder acties aan verbonden waren. Het rapport is daarom niet aan uw Kamer toegestuurd.

Er is geen sprake van dat het rapport bewust is achtergehouden. De verkenning is afgelopen september door mijn departement op de website van de rijksoverheid geplaatst, in het kader van een Rijkspilot actieve openbaarmaking van onderzoeksrapporten. Het doel van deze pilot is juist om ook rapporten die gebruikt zijn bij de ambtelijke beleidsvoorbereiding te openbaren.

Vraag 7

Bent u bereid maatregelen te treffen indien leerlinggegevens door commerciële partijen zonder uitdrukkelijke toestemming van de ouders gebruikt blijven worden en ook niet geanonimiseerd zijn? Zo nee, waarom niet?

Antwoord 7

Toestemming van de ouders is niet verplicht indien de gegevens uitsluitend gebruikt worden ten behoeve van de goede werking van het leermiddel en er goede afspraken worden gemaakt over de gegevensuitwisseling. Commerciële doeleinden vallen hier buiten. Binnen het Doorbraakproject Onderwijs en ICT wordt gewerkt aan de pseudonimisering van leerlinggegevens. Ik verwijs u verder naar mijn brief.

Vraag 8

Kunt u aangeven of er ook andere situaties zijn waarbij, zonder dat ouders het weten, gegevens van hun kinderen worden gebruikt door commerciële partijen? Hoe zit dit bijvoorbeeld bij het CITO, dat naast een publieke functie ook een commerciële tak heeft?

Antwoord 8

Cito bestaat uit zowel een stichting als een bv. De marktactiviteiten van Cito worden uitgevoerd door Cito B.V. Bij het gebruik van de toetsproducten van Cito B.V. worden persoonsgegevens in de zin van de Wbp verwerkt. Cito B.V. geeft aan zich te houden aan de betreffende verplichtingen en bepalingen. Ze valt daarmee onder hetzelfde regime als de uitgeverijen. Alle verwerkingen zijn gemeld bij het CBP. Zo zijn bijvoorbeeld alle toetsen uit het leerlingvolgsysteem basisonderwijs en de toetsen uit het volg- en adviessysteem voortgezet onderwijs gemeld bij het CBP. Ook Stichting Cito handelt bij de uitvoering van de publieke taken conform de Wbp. Tussen Cito B.V. en Stichting Cito is er geen uitwisseling van persoonsgegevens van leerlingen.

X Noot
1

RTL Nieuws, 25 november 2014, Scholen spelen privégegevens leerlingen door naar uitgevers (http://www.rtlnieuws.nl/nieuws/binnenland/scholen-spelen-privegegevens-leerlingen-door-naar-uitgevers)

X Noot
2

PWC (in opdracht van OCW), 7 april 2014, Nulmeting Privacy en Informatiebeveiliging in het Primair en Voortgezet Onderwijs

Naar boven