Vragen van het lid Van Meenen (D66) aan de Minister voor Basis- en Voortgezet Onderwijs en Media over het bericht «Hoe de digitale halsband van Magister de privacy van schoolkinderen nekt» (ingezonden 29 maart 2018).

Antwoord van Minister Slob (Basis- en Voortgezet Onderwijs en Media) (ontvangen 14 mei 2018).

Vraag 1

Heeft u kennisgenomen van het bericht «Hoe de digitale halsband van Magister de privacy van schoolkinderen nekt»?1

Antwoord 1

Ja.

Vraag 2

Hoe beoordeelt u de zeer geconcentreerde markt van leerlingvolgsystemen, waarbij 95% van het marktaandeel in handen is van twee aanbieders?

Antwoord 2

De markt van leerlingvolgsystemen kent inderdaad een hoge concentratiegraad. Dat hoeft op zichzelf geen probleem te zijn, van belang is de vraag of een partij misbruik maakt van een dominante marktpositie. Ik ken daar tot op heden geen signalen van. De Autoriteit Consument en Markt houdt toezicht op de naleving van de Mededingingswet, waarin bepalingen rondom misbruik van een economische machtspositie zijn opgenomen.

Vraag 3

Is het bij u bekend hoelang scholen en de bedrijven die leerlingvolgsystemen aanbieden de leerlinggegevens bewaren?

Antwoord 3

De privacywetgeving schrijft voor dat persoonsgegevens niet langer worden opgeslagen dan noodzakelijk voor het doel waarvoor zij zijn verzameld. Ten aanzien van de gegevens in een leerlingdossier staat de Autoriteit Persoonsgegevens op het standpunt dat een school de meeste gegevens nog twee jaar mag bewaren nadat het kind van school is gegaan.2 Op grond van specifieke bepalingen in de onderwijswetgeving moeten scholen bepaalde gegevens langer bewaren:

  • ▪ gegevens over verzuim en in- en uitschrijving moeten tot 5 jaar nadat de leerling is uitgeschreven bewaard blijven;

  • ▪ gegevens over een leerling die naar een school voor speciaal onderwijs is doorverwezen, moet een school 3 jaar na het vertrek van de leerling bewaren, en

  • ▪ het centraal examen, inclusief de cijferlijsten, moet minstens 6 maanden bewaard worden na de vaststelling van de uitslag.

In de modelverwerkersovereenkomst die hoort bij het privacyconvenant (waarin de sectorraden en inmiddels meer dan 200 leveranciers afspraken hebben gemaakt over privacy en informatiebeveiliging) zijn bepalingen opgenomen over hoe scholen en bedrijven die in opdracht van scholen persoonsgegevens verwerken om moeten gaan met bewaartermijnen en de vernietiging van persoonsgegevens.3 De bedrijven die leerlingvolgsystemen aanbieden hebben het convenant ondertekend.

Vraag 4

Klopt het dat marketingdoeleinden buiten het gesloten privacyconvenant zijn gehouden, waardoor deze bedrijven geld kunnen verdienen door scholen aanbiedingen te sturen gericht op de geaggregeerde data?

Antwoord 4

Nee dat klopt niet. Artikel 5, lid 3 van het privacyconvenant bepaalt: «De Verwerking van Persoonsgegevens met betrekking tot Digitale Onderwijsmiddelen vindt nooit plaats voor reclamedoeleinden of het doen van ongevraagde aanbiedingen door Leveranciers.»

Vraag 5

Kunt u de Inspectie toezicht laten houden op de bewerkingsovereenkomsten tussen scholen en aanbieders van leerlingvolgsystemen of deze overeenkomsten voldoen aan de wet en regelgeving rondom privacy.

Antwoord 5

De modelverwerkersovereenkomst die opgesteld is voldoet aan de wet- en regelgeving rondom privacy. Het is de taak van de Autoriteit Persoonsgegevens om toezicht te houden op de wet- en regelgeving rondom privacy. De Inspectie van het Onderwijs en de Autoriteit Persoonsgegevens hebben een samenwerkingsovereenkomst afgesloten waarin zij afspraken hebben gemaakt over hoe zij elkaar informeren.

Vraag 6

Deelt u de mening dat het zeer onwenselijk is dat de gegevens van Nederlandse leerlingen in een Amerikaans netwerk worden verwerkt en daarmee onder Amerikaanse wetgeving valt, gezien de grote concentratie van gevoelige persoonsgegevens?

Antwoord 6

Ik vind het onwenselijk als persoonsgegevens van Nederlandse leerlingen op Amerikaanse servers staan. Magister verzekert onderwijsinstellingen ervan dat daar geen sprake van is. De data wordt versleuteld opgeslagen op Nederlandse servers. Magister maakt voor haar beveiliging gebruik van de diensten van Akamai, een Amerikaans bedrijf. Die diensten (met name de bescherming tegen DDoS-aanvallen) worden geleverd in Europa, conform Europese privacywetgeving. De AVG stelt voorwaarden voor doorgifte van persoonsgegevens aan derde landen of internationale organisaties. Voor scholen zijn deze hanteerbaar gemaakt in artikel 10 van de modelverwerkersovereenkomst.

Vraag 7

Wat is uw oordeel over de capaciteit van toezicht en handhaving van privacywetgeving bij leerlinggegevens?

Antwoord 7

Het kabinet heeft de capaciteit van de Autoriteit Persoonsgegevens met oog op de inwerkingtreding van de AVG uitgebreid. Daarmee verwacht ik dat de Autoriteit Persoonsgegevens voldoende geëquipeerd is om haar taken uit te voeren. Ik zie dat de Autoriteit Persoonsgegevens ook actief is binnen het onderwijsdomein met onderzoek, voorlichting en recent bijvoorbeeld ook met de ontwikkeling van lesmateriaal over privacy.4

Vraag 8

Bent u bereid onderzoek te doen naar gebruik, opslag en verwerking van leerlinggegevens door scholen en aanbieders van leerlingvolgsystemen?

Antwoord 8

Het is de rol van de Autoriteit Persoonsgegevens om toezicht te houden en indien nodig onderzoek te doen. Recent is er door de Autoriteit Persoonsgegevens bijvoorbeeld onderzoek gedaan naar de werkwijze van scholen rondom hun leerlingvolgsystemen.5 Naar aanleiding van dit onderzoek hebben scholen en de leverancier hun werkwijzen en systemen aangepast zodat de omgang met leerlinggegevens voldoet aan de Wet bescherming persoonsgegevens. Zo hebben leraren nu bijvoorbeeld alleen nog toegang tot persoonsgegevens van leerlingen die zij voor de uitvoering van hun taken nodig hebben en is de beveiliging van de persoonsgegevens verbeterd door bij te houden welke bestanden van welke leerlingen zijn gelezen of aangepast.

Met het privacyconvenant en de modelverwerkersovereenkomst worden scholen ondersteund bij het maken van de juiste afspraken over gebruik, opslag en verwerking van leerlinggegevens met onder meer aanbieders van leerlingvolgsystemen.

Zoals toegezegd tijdens het AO Digitalisering op 31 januari jongstleden, informeer ik uw Kamer later dit jaar over de uitkomsten van een monitor naar de stand van zaken rondom privacy en beveiliging in het primair en voortgezet onderwijs.

X Noot
1

Follow the Money, «Hoe de digitale halsband van Magister de privacy van schoolkinderen nekt» (17 maart 2018)

X Noot
3

Het privacyconvenant en de bijbehorende modelverwerkersovereenkomst is te vinden op https://www.privacyconvenant.nl/

Naar boven