34 741 Wijziging van diverse onderwijswetten in verband met het pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer ten behoeve van het bieden van voorzieningen in het kader van het onderwijs en de begeleiding van onderwijsdeelnemers

Nr. 5 VERSLAG

Vastgesteld 7 september 2017

De vaste commissie voor Onderwijs, Cultuur en Wetenschap, belast met het voorbereidend onderzoek van dit wetsvoorstel, heeft de eer als volgt verslag uit te brengen. Onder het voorbehoud dat de hierin gestelde vragen en gemaakte opmerkingen voldoende zullen zijn beantwoord, acht de commissie de openbare behandeling van het wetsvoorstel genoegzaam voorbereid.

Inhoudsopgave			blz.
Algemeen			1
1.	Inleiding		2
	1.1.	Probleemanalyse	2
	1.2.	Privacy en digitale onderwijsmiddelen: onderwijsinstellingen voeren de regie	4
	1.3.	Pseudoniem maakt verdere dataminimalisatie mogelijk	4
	1.4.	Nut en noodzaak wetsvoorstel	4
2.	Doel van het wetsvoorstel		5
	2.1.	Doel	5
	2.2.	Bescherming van persoonsgegevens	5
	2.3.	Reikwijdte van pseudoniemen	5
	2.4.	Hoe komt een pseudoniem en ketenID tot stand?	7
3.	Reactie onderwijsorganisaties en uitkomst internetconsultatie		7
4.	Reactie Autoriteit Persoonsgegevens (AP)		7
5.	Uitvoering en handhaving		7

ALGEMEEN

De leden van de VVD-fractie hebben kennisgenomen van het wetsvoorstel wijziging van diverse onderwijswetten in verband met het pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer ten behoeve van het bieden van voorzieningen in het kader van het onderwijs en de begeleiding van onderwijsdeelnemers. Zij hebben nog enkele vragen.

De leden van de CDA-fractie hebben met belangstelling kennisgenomen van het onderhavige wetsvoorstel. Deze leden kunnen zich vinden in het belang van het pseudonimiseren van gegevens op basis van het persoonsgebonden nummer. Deze leden onderschrijven het belang van het gebruiken van een pseudoniem dat gebruikt kan worden bij de digitale uitwisseling van gegevens tussen een onderwijsinstelling en een andere partij. Nu steeds meer toetsen digitaal worden afgenomen en ook veelal een adaptief karakter hebben, dienen instellingen de privacy van hun leerlingen te garanderen. Deze leden hebben nog wel een vraag.

De leden van de D66-fractie hebben kennisgenomen van het wetsvoorstel inzake het pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer. Zij hebben nog enkele vragen en opmerkingen.

De leden van de GroenLinks-fractie hebben kennisgenomen van het wetsvoorstel over het gebruik van pseudonimisering in het onderwijs. Zij hebben enkele vragen.

De leden van de SP-fractie hebben kennisgenomen van de wijziging van diverse onderwijswetten in verband met het pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer ten behoeve van het bieden van voorzieningen in het kader van het onderwijs en de begeleiding van onderwijsdeelnemers. Zij hebben daar nog enkele vragen over.

De leden van de PvdA-fractie hebben met belangstelling kennisgenomen van het onderhavige wetsvoorstel. Zij hechten eraan dat bij de gegevensuitwisseling tussen actoren in het onderwijsveld de privacy van de deelnemers voldoende wordt gewaarborgd, zoals ook is uitgedrukt in de motie van het lid Ypma c.s.¹, die de Kamer in 2015 heeft aangenomen.

De leden van de ChristenUnie-fractie hebben met belangstelling kennisgenomen van het voorstel tot wijziging van diverse onderwijswetten in verband met het pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer ten behoeve van het bieden van voorzieningen in het kader van het onderwijs en de begeleiding van onderwijsdeelnemers. Met betrekking tot dit voorstel hebben de leden van deze fractie nog op een enkel punt behoefte aan een nadere toelichting.

De leden van de SGP-fractie hebben met belangstelling kennisgenomen van het wetsvoorstel.

1. Inleiding

1.1. Probleemanalyse

De leden van de VVD-fractie zien veel kansen voor verbetering van het onderwijs door benutting van digitalisering. Tegelijkertijd gaat digitalisering in het onderwijs gepaard met stevige privacy- en informatiebeveiligingsvraagstukken. De leden zijn dan ook te spreken over het doel van het wetsvoorstel; namelijk de uitwisseling van persoonsgegevens tussen onderwijs en leveranciers van onderwijskundige producten veiliger, betrouwbaarder en efficiënter maken.

Leveranciers van digitale producten of diensten kunnen door dit wetsvoorstel van het bevoegd gezag van een onderwijsinstelling een pseudoniem (ketenID) van een leerling verstrekt krijgen dat is gegenereerd op basis van het initiële pseudoniem dat weer gegenereerd is op basis van het persoonsgebonden nummer. Hebben de leden dat goed begrepen? De school bewaart de achterliggende leerlinggegevens en is dus de enige partij die direct tot de leerling herleidbare gegevens heeft. Hoe is geborgd dat deze goed beveiligd zijn? Zullen daar standaarden voor bestaan in zowel po² als vo³ voordat dit wetsvoorstel van kracht wordt? En hoe wordt op het gebruik hiervan toegezien?

In artikel 1A, lid 13 van het wetsvoorstel wordt de mogelijkheid gecreëerd dat bij AMvB⁴ andere gevallen voor andere categorieën worden aangewezen waarvoor een school ook een pseudoniem zou kunnen genereren. Kan de regering een voorbeeld noemen van zo’n mogelijk geval en mogelijke categorie? De leden vragen waarom hier geen voorhangbepaling is opgenomen. Het convenant platform Edu-K draagt volgens de regering bij aan de borging van de privacy van onderwijsdeelnemers, kan zij motiveren waarom dit zo is? Dit platform dekt 95% van de markt van leermiddelen en leerling-informatiesystemen. Deze leden vragen waarom de andere 5% niet deelneemt en of deze overwegingen bekend zijn bij de regering. Wat zijn de gevolgen voor de privacy van scholieren wanneer scholen producten afnemen bij deze 5%? Zij vragen of de regering heeft overwogen om deelname aan dit convenant verplicht te stellen in dit wetsvoorstel en of zij dit kan motiveren.

Voorts wordt er aandacht besteed aan de rechten die onderwijsdeelnemers en ouders hebben door dit convenant, zij hebben het recht op inzage en correctie. Wat is de daadwerkelijke invloed van onderwijsdeelnemers en ouders, kan de regering dit toelichten? Zij vragen in hoeverre een onderwijsdeelnemer zelf kan beslissen welke gegevens vrij worden gegeven samen met het ketenID, bijvoorbeeld door zelf te kunnen bepalen of het geslacht bekend wordt via de ketenID bij de leverancier. En zijn hier verschillen tussen de verschillende onderwijsniveaus? Tevens vragen zij of er ook wordt vastgelegd dat dit duidelijk gecommuniceerd dient te worden naar de onderwijsdeelnemers en ouders. De onderwijsinstelling is de verantwoordelijke en zou, zoals beschreven staat: «vanuit haar eigen ambities en visie op goed onderwijs, en in goed overleg met ouders en de medezeggenschapsraad, een zorgvuldige afweging maakt over de persoonsgegevens die zij van onderwijsdeelnemers ter beschikking stelt en voor welke doeleinden». De voornoemde leden vragen wat de motivatie is om deze verantwoordelijkheid bij de scholen neer te leggen.

De leden van de D66-fractie vragen de regering het beleid rondom digitale leermiddelen nader toe te lichten. Worden licenties met leveranciers altijd op het niveau van onderwijsinstelling of onderwijsdeelnemer afgesloten? Is er inkoopvoordeel te halen door op stelselniveau inkoop te regelen? Wat zijn hier de voor- en nadelen van? Wie is eigenaar van de data gegenereerd door digitale leermiddelen? Kunnen gebruikers van de digitale leermiddelen hun «leerdata» makkelijk overbrengen naar een andere leverancier? Welke mogelijkheden hebben leveranciers om data van onderwijsdeelnemers, bijvoorbeeld over hoe mensen leren, te delen met derden, zo vragen de voornoemde leden.

De leden van de GroenLinks-fractie merken op dat het convenant Digitale Onderwijsmiddelen en Privacy 2.0 is ondertekend door de brancheverenigingen van primaire onderwijs, voortgezet onderwijs en middelbaar beroepsonderwijs en de Groep Educatieve Uitgeverijen en Vereniging Digitale Onderwijs Dienstverleners. Is de regering voornemens om bij de ontwikkeling van het pseudoniem op basis van het BSN-nummer samen op te trekken met het platform dat dit convenant ondersteunt, zo vragen de leden.

1.2. Privacy en digitale onderwijsmiddelen: onderwijsinstellingen voeren de regie

De leden van de CDA-fractie vragen de regering wat de reden is om verschillende partijen een rol te geven bij het houden van toezicht op de verstrekking van de gegevens. Deze leden lezen dat zowel de Inspectie van het Onderwijs, de Autoriteit Persoonsgegevens en het Platform Edu-K hun eigen rol hebben hierbij. Graag ontvangen zij een nadere toelichting en vragen zij tevens of dit voor de betrokken instellingen ook extra administratieve lastendruk oplevert.

1.3. Pseudoniem maakt verdere dataminimalisatie mogelijk

De leden van de GroenLinks-fractie delen het uitgangspunt van dataminimalisatie. Zij vragen de regering daarom of de toename in gebruiksvriendelijkheid – die bijvoorbeeld verkregen zou worden bij het delen van de voornaam – opweegt tegen het grotere risico van koppelbaarheid van gegevens. De afspraken omtrent welke aanvullende gegevens gedeeld mogen worden, worden nu vastgelegd in het convenant. De partners in dit convenant maken echter niet de gehele markt uit van aanbieders van digitale leer- of toetsmiddelen. De voornoemde leden vragen de regering dan ook of zij overwogen heeft artikelen aangaande het delen van aanvullende gegevens in de wet op te nemen en zo ja, wat haar afwegingen waren dit toch niet op te nemen. Binnen Edu-K is een attributenbeleid vastgesteld waarin hier wel eisen aan worden gesteld. De leden vragen de regering welke (juridische) middelen Edu-K heeft om dit attributenbeleid op te leggen en scholen die te veel gegevens delen tot de orde te roepen.

De leden van de SGP-fractie constateren dat door het beperken van data de risico’s voor betrokkenen zouden moeten verminderen. Het is bijvoorbeeld niet langer nodig om namen en geboortedata uit te wisselen. Tegelijkertijd lezen zij dat in de praktijk nog steeds gebruik gemaakt zal worden van voornamen en een aanduiding van de groep van de leerling. Deze leden vragen in hoeverre in een dergelijke situatie daadwerkelijk sprake is van dataminimalisatie. Is het risico niet groot dat, zeker in het basisonderwijs, op basis van voornaam en groep de identiteit van leerlingen redelijk eenvoudig te herleiden kan zijn, zo vragen zij. Kan de regering toelichten waarom andere alternatieven dan het gebruik van de voornaam niet werkbaar zijn voor een adequaat gebruik van de systemen, zo vragen de voornoemde leden.

1.4. Nut en noodzaak wetsvoorstel

De leden van de D66-fractie vragen de regering nader toe te lichten in hoeverre het mogelijk is voor onderwijsdeelnemers (of ouders van onderwijsdeelnemers) om inzicht te verkrijgen in de studie- en gedragsgegevens die van hen zijn opgeslagen en met wie de gegevens gedeeld zijn. Kan de regering uiteenzetten welke wettelijke restricties bestaan ten aanzien van de groepen personen die inzicht hebben in de onderwijs- en gedragsgegevens van onderwijsdeelnemers, zo vragen de eerder genoemde leden.

2. Doel van het wetsvoorstel

2.1. Doel

Het lijkt de leden van de VVD-fractie duidelijk dat het thema privacy in het onderwijs aandacht verdient. Veel partijen hebben toegang nodig tot de gegevens van de onderwijsdeelnemers. Zij zouden graag weten of en welke eisen er gesteld worden aan softwareproducenten en andere leveranciers wanneer zij een ketenID en gegevens krijgen. Zijn de eisen die gesteld zijn aan de informatiebeveiliging voldoende?

De eerder genoemde leden zouden graag een motivatie zien met betrekking tot het feit dat ondanks de grote verschillen in onderwijsvormen, er geen onderscheid gemaakt wordt in dit wetsvoorstel tussen de onderwijsvormen. De rol van ouders is in het primair onderwijs bijvoorbeeld anders dan die van ouders in het hoger onderwijs. Daarnaast wordt er in het hoger onderwijs al veel gebruik gemaakt van een studentnummer, waarom is met deze verschillen niet meer rekening gehouden in het wetsvoorstel, zo vragen de eerder genoemde leden.

2.2. Bescherming persoonsgegevens

De leden van de VVD-fractie merken op dat het wetsvoorstel voorziet in een behoefte om minder gevoelige persoonsgegevens te delen. Onderwijsinstellingen zijn echter nog steeds verantwoordelijk voor de gegevens, zoals zij dat nu ook zijn. Zij blijven degene die bepalen welke leverancier een ketenID krijgt van een onderwijsdeelnemer. Mocht een contractuele relatie met een leverancier echter stoppen, dan zijn de leveranciers verantwoordelijk voor het verwijderen van de gegevens inclusief de ketenID’s. De leden vragen hoe de regering hier naar kijkt en of er een risico ontstaat voor de veiligheid van gegevens als een leverancier niet tot verwijdering overgaat. Hoe kan controle hierop plaatsvinden? Zij vragen of een praktische/technische oplossing denkbaar is, waarmee gegevens niet meer bruikbaar zijn als de contractrelatie is beëindigd.

De leden van de D66-fractie constateren dat leveranciers gehouden zijn om pseudoniemen op een zodanig beveiligde manier in hun administratie te bewaren, dat er geen koppeling kan plaatsvinden met gegevenssets van onderwijsdeelnemers die voor andere doeleinden zijn verkregen. Zij vragen of de regering nader kan toelichten welke veiligheidseisen gesteld worden.

2.3. Reikwijdte van pseudoniemen

De leden van de VVD-fractie nemen kennis van het feit dat er scholen zijn die gegronde redenen zouden hebben om geen gebruik te maken van ketenID, maar de regering noemt één voorbeeld. Zijn er nog andere meer principiële redenen om niet deel te nemen? Zij vragen op hoeveel procent van de scholen in de verschillende sectoren de regering verwacht dat er geen gebruik van wordt gemaakt. Betekent het dat scholen die niet voor pseudonimisering kiezen in de toekomst waarschijnlijk minder goed met leveranciers kunnen samenwerken, omdat het pseudoniem de standaard zal worden? Hoe zorgen we ervoor dat het niet verplichten van het pseudoniem er niet toe leidt dat leerlingen benadeeld worden doordat hun school minder gebruik kan maken van digitale leermiddelen?

Zij vragen tevens hoe de regering de bescherming van persoonsgegevens borgt op scholen die niet werken met het pseudoniem. Komen er standaarden voor anonimisering en worden deze wel verplicht? Zo nee: waarom niet?

Veel ouders weten niet hoe het zit met de gegevensbescherming van hun kind. Tot slot vragen zij hoe ouders worden geïnformeerd over de vraag of een school de gegevens van hun kind geanonimiseerd met derden deelt en daar wel of niet een pseudoniem voor gebruikt.

De leden van de GroenLinks-fractie vragen de regering hoe tot op heden werd omgegaan met privacy en het aanbieden van digitale leermiddelen en toetsen. Tevens vragen zij of er in het verleden persoonsgegevens van leerlingen openbaar zijn geworden door gebrekkige beveiliging bij de uitgevers van digitale onderwijsmiddelen.

De leden van de SP-fractie vragen hoeveel onderwijsinstellingen er in Nederland zijn die zelf al andere maatregelen hebben getroffen om persoonsgegevens te beschermen in plaats van pseudonimisering en het hanteren van een ketenID. En op welke wijze geven deze onderwijsinstellingen de bescherming van persoonsgegevens van hun leerlingen/studenten op dit moment vorm? Acht de regering het wenselijk dat er straks meerdere vormen van bescherming van persoonsgegevens ontstaan? Zij vragen of de regering haar antwoord kan toelichten. Wat zijn de gevolgen voor deze onderwijsinstellingen mochten zij verplicht worden tot pseudonimisering van het persoonsgebonden nummer van onderwijsdeelnemers en het hanteren van een ketenID? Teven vragen zij hoe de motie van het lid Jasper van Dijk⁵, waarin de regering wordt verzocht ervoor te zorgen dat de persoonlijke gegevens van onderwijsdeelnemers in handen van commerciële bedrijven worden vernietigd («overwegende dat gewerkt wordt aan pseudonimisering»), uitgevoerd gaat worden, aangezien onderwijsinstellingen vrijgelaten worden in de wijze waarop zij persoonsgegevens van hun leerlingen/studenten beschermen.

De leden van de ChristenUnie-fractie merken op dat de Raad van State in haar advies stelt dat het van belang is dat duidelijk is welke aanvullende gegevens wel en niet verstrekt mogen worden. De onduidelijkheid in de toelichting over de persoonsgegevens die mogen worden verstrekt en de keuze om dit aan de onderwijsinstellingen zelf over te laten lijken daarom op gespannen voet te staan met het doel van het wetsvoorstel om bij de uitwisseling zo min mogelijk persoonsgegevens te gebruiken. De regering stelt in reactie hierop dat de sector stevig inzet op een verbetering in de goede omgang en bescherming van persoonsgegevens van onderwijsdeelnemers. De leden van de fractie van de ChristenUnie verzoeken de regering nader toe te lichten, waarop de verwachting gebaseerd is dat dit voldoende effect zal sorteren. Zou het niet verstandig zijn het voorzorgsprincipe te hanteren en vooraf heldere voorwaarden vast te stellen die eventueel versoepeld kunnen worden nadat gebleken is dat de sector op een goede wijze met deze gegevens omgaat, zo vragen deze leden.

De leden van de SGP-fractie vragen waarom de regering ervoor kiest om het gebruik van het eerste ketenID ten behoeve van leermiddelen in het voorstel vast te leggen, terwijl het gebruik van volgende ketenID’s bij algemene maatregel van bestuur kan geschieden. In hoeverre is dit onderscheid ingegeven door de aard van de verschillende activiteiten waarvoor ketenID’s worden gebruikt, zo vragen zij. Het lijkt deze leden eerder voor de hand te liggen dat het gebruik van ketenID’s in alle gevallen gelijkelijk ofwel in de formele wet ofwel in een algemene maatregel van bestuur wordt geregeld.

2.4. Hoe komt een pseudoniem en ketenID tot stand?

De leden van de VVD-fractie merken op dat er wordt gesproken over het feit dat de technologische ontwikkelingen mogelijkheden meebrengen die maken dat een continue verbetering wordt aangebracht in het systeem. De leden vragen in hoeverre die continue verbetering mogelijk is in het voorgestelde kader. Wordt in dit licht ook de wet geëvalueerd over vijf jaar? Zij vragen of er andere landen of sectoren zijn die al op een dergelijke manier werken of gewerkt hebben en wat daar de ervaringen zijn.

De leden van de D66-fractie vragen de regering aan te geven bij welke organisatie de centraal georganiseerde nummervoorziening is belegd. Welke eisen worden gesteld aan de versleuteling van het PGN⁶? Zij vragen of de ontwikkelde nummervoorziening is gecontroleerd door de AP⁷ of NCSC⁸ op veiligheid.

3. Reactie onderwijsorganisaties en uitkomst internetconsultatie

De leden van de GroenLinks-fractie vragen de regering waarom de voorkeur is uitgegaan naar één pseudoniem per leerling voor een hele onderwijssector. Zij vragen of het niet veiliger zou zijn om per partij waarmee gegevens worden uitgewisseld een eigen pseudoniem te onderwerpen, om zo de koppeling van gegevens door derden tegen te gaan, zoals dr. E.R. Verheul⁹ reeds in de internetconsultatie heeft ingebracht. Zij vragen de regering of het technisch mogelijk is een dergelijke systeem in te voeren.

4. Reactie Autoriteit Persoonsgegevens

De leden van de D66-fractie constateren dat de Autoriteit Persoonsgegevens heeft geadviseerd om in de toelichting op het wetsvoorstel nader te motiveren waarom een pseudoniem noodzakelijk is en op welke wijze een pseudoniem tot dataminimalisatie leidt. De leden vragen of de regering kan uiteenzetten welke wijzen van pseudonimisering overwogen zijn en de mate waarin de alternatieven de privacy borgen.

De leden van de PvdA-fractie merken op dat in de memorie van toelichting de regering een gedetailleerde reactie geeft op het advies van de Autoriteit Persoonsgegevens. De Autoriteit Persoonsgegevens adviseert dat andere pseudoniemen niet worden gebaseerd op het persoonsgebonden nummer, tenzij dit geschiedt bij formele wet. Zij vragen of de regering nader kan toelichten hoe de vastlegging van de voorwaarden waaronder een ketenID gebruikt mag worden in een ministeriële regeling, recht doet aan deze overweging.

5. Uitvoering en handhaving

De leden van de PvdA-fractie lezen in de brief¹⁰ van de sectorraden voor het primair onderwijs, het voortgezet onderwijs en het mbo en de brancheorganisaties van uitgeverijen, distributeurs en softwareleveranciers dat zij aandringen op de inwerkingtreding van de wet per januari 2018. Heeft de regering ook nagegaan of er bij de scholierenorganisatie LAKS, de deelnemersorganisatie in het mbo, JOB, of de ouderorganisaties Ouders & Onderwijs en de Vereniging Openbaar Onderwijs de wens leeft dat het wetsvoorstel zo spoedig mogelijk in werking treedt? In dat geval lijkt het de leden wenselijk om inderdaad de wetsbehandeling nu met voortvarendheid tot een goed einde te brengen.

De fungerend voorzitter van de commissie, Tellegen

De adjunct-griffier van de commissie, Arends

---

1 Kamerstuk 32 034, nr. 13

2 po: primair onderwijs

3 vo: voortgezet onderwijs

4 AMvB: algemene maatregel van bestuur

5 Kamerstuk 32 034, nr. 9

6 PGN: Persoonsgebonden nummer

7 AP: Autoriteit Persoonsgegevens

8 NCSC: Het Nationaal Cyber Security Centrum

9 https://www.cs.ru.nl/E.Verheul/presentations/Reactie_op_wetsvoorstel_pseudonimisering_onderwijs.pdf

10 Parlis nr. 2017Z08439, d.d. 16 juni 2017