34 878 Bundeling en aanpassing van regels over de registers met betrekking tot onderwijsdeelnemers (Wet register onderwijsdeelnemers)

Nr. 6 NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 30 mei 2018

De regering dankt de vaste commissie voor Onderwijs, Cultuur en Wetenschap voor de schriftelijke inbreng bij het wetsvoorstel register onderwijsdeelnemers. In de onderstaande beantwoording wordt de indeling van het verslag van de commissie gevolgd.

1. Bundeling en aanpassing van de registerwetgeving

1.1 Inleiding

De leden van de VVD-fractie zien veel kansen voor verbetering van het onderwijs door benutting van digitalisering, lezen dat de regering verwacht dat de nieuwe registerwetgeving meer geschikt zal zijn om vernieuwingen op het gebied van digitalisering te ondersteunen, en vragen of de regering uitgebreid kan toelichten hoe dit wetsvoorstel bijdraagt aan vernieuwingen op het gebied van digitalisering.

In de brief van 14 december 2016 aan uw Kamer zijn de ontwikkelingen op het gebied van informatie- en communicatietechnologie (ICT) bij OCW uiteengezet.¹ De ontwikkelingen zullen zich snel, waarschijnlijk steeds sneller, blijven opvolgen. Zie bijvoorbeeld het toenemende aanbod van (internationaal) digitaal onderwijs, het delen en hergebruiken van digitaal leermateriaal (programma voor open en verbonden onderwijs in het hoger onderwijs), de groei van open science en de daaropvolgende wens tot hergebruik en koppeling van onderzoeksgegevens.

Dit wetsvoorstel ondersteunt het hergebruik van gegevens en daarmee ook de vervanging van papieren informatiestromen door digitale. Het wetsvoorstel maakt in de eerste plaats het, mogelijk dat VO- en MBO-instellingen uit het register de geboorteplaats van de onderwijsdeelnemer digitaal ontvangen, ten behoeve van vermelding op het diploma. Dit betekent dat dit gegeven niet meer bij de ouders of de leerling hoeft te worden opgevraagd door middel van inschrijfformulieren of uittreksels uit de basisregistratie personen. Ten tweede: de levering van gegevens aan andere overheidsorganisaties kan volgens dit wetsvoorstel voortaan bij algemene maatregel van bestuur (amvb) worden geregeld. We zien dat hergebruik van registergegevens leidt tot een vermindering van papieren informatiestromen en van administratieve lasten. Zo is het sinds 2016 bijvoorbeeld mogelijk om vanuit BRON gegevens over jongeren tot 18 jaar te verstrekken aan de jeugdgezondheidsorganisaties, ten behoeve van de planning van het onderzoek van de schoolartsen. Deze gegevens werden tot dan toe door de scholen veelal op papier aan de jeugdgezondheidsorganisaties geleverd. Ten derde: de nota van wijziging bij dit wetsvoorstel die ik voornemens ben in te dienen, voorziet erin dat het in- en uitschrijfproces bij scholen wordt ondersteund met digitale gegevens uit het register. Hierdoor kan op termijn het papieren bewijs van uitschrijving worden afgeschaft. Ook regelt de voorgenomen nota van wijziging dat scholen in het basisonderwijs uit het register doorstroominformatie over hun oud-leerlingen kunnen ontvangen, waarmee zij de kwaliteit van hun schooladviezen verder kunnen verbeteren. Deze digitale informatie zorgt ervoor dat er minder informatie op papier hoeft te worden uitgewisseld tussen scholen in het basisonderwijs en het voortgezet onderwijs.

Ook vragen deze leden hoe dit wetsvoorstel zich verhoudt tot het Doorbraakproject ICT.

Met het Doorbraakproject is gewerkt aan het stimuleren van eigentijds en uitdagend onderwijs op maat door een goede inzet van ICT in scholen in het primair en voortgezet onderwijs. Onderhavig wetsvoorstel richt zich primair op de (administratieve) informatie-uitwisseling tussen de Dienst Uitvoering Onderwijs (DUO) en de onderwijsinstellingen en de verwerking van deze informatie bij DUO, die nodig is voor het vervullen van wettelijke taken. Scholen en hun digitale dienstverleners, zoals leveranciers van leerlinginformatie- en leerlingvolgsystemen en uitgevers, zijn gebaat bij eenduidige afspraken en standaarden. Een kwalitatief hoogwaardige en transparante registratie van gegevens maakt hergebruik mogelijk. Een eenduidige registratie van onderwijsinstellingen kan bijvoorbeeld ook gebruikt worden in de processen die leerlingen toegang geven tot digitale leermiddelen. Op die manier ontstaat een efficiënte keten van dienstverleners in het onderwijs, gebaseerd op standaarden en gedeelde technische bouwstenen.

De leden van de CDA-fractie begrijpen uit de memorie van toelichting dat het gaat om bundeling van de gegevens en niet zozeer om nieuwe gegevens die worden opgeslagen, en vragen of de regering dat kan bevestigen.

Dit is juist. Ik wil hierbij opmerken dat het niet gaat om het bundelen van de gegevens, maar om het bundelen van de wettelijke bepalingen (over de registers). In de beantwoording van de vragen van deze leden in paragraaf 4 ga ik hier nader op in.

Deze leden vragen een nadere toelichting op welke wijze het goed inzichtelijk wordt gemaakt voor onderwijsdeelnemers welke gegevens er van hen zijn opgeslagen en waar zij deze gegevens kunnen inzien.

In de amvb vanwege dit wetsvoorstel zal inzichtelijk gemaakt worden welke gegevens benut worden voor uitvoering van wettelijke taken en derhalve geregistreerd worden. Daarnaast kunnen onderwijsdeelnemers bij DUO een verzoek om inzage in de persoonsgegevens die over hen zijn opgeslagen indienen. De betrokkene heeft een recht van inzage, op grond van artikel 15 van de Algemene verordening gegevensbescherming (AVG).

De leden van de SGP-fractie vragen of de regering voornemens heeft om ook met betrekking tot andere thema’s tot overkoepelende wetgeving te komen. Zij hebben eerder bijvoorbeeld gevraagd waarom de bepalingen inzake het lerarenregister niet in een afzonderlijke wet worden opgenomen, vergelijkbaar met de Wet beroepen in de gezondheidszorg. Graag vernemen zij of hieromtrent nog wijziging van inzicht heeft plaatsgevonden naar aanleiding van het advies van de Afdeling advisering van de Raad van State.

Er is momenteel een wetsvoorstel in voorbereiding om het Nederlands Kwalificatiekader (NLQF) wettelijk te verankeren. Dit wetsvoorstel roept een afzonderlijke wet voor het NLQF in het leven, in overeenstemming met het advies van prof. mr. P.W.A. Huisman c.s. uit 2013 over de wettelijke vormgeving van NLQF. In het rapport Implementatie van het NLQF. Juridische modaliteiten en consequenties adviseerde prof. Huisman een raamwet voor het NLQF vast te stellen, het inhoudelijke kader in een (bijlage van een) amvb op te nemen en sectorwetten aan te passen, naar het voorbeeld van de Wet referentieniveaus Nederlandse taal en rekenen. De regering vindt het nu niet opportuun om de wettelijke vormgeving van het lerarenregister opnieuw te bezien. De wetgeving in verband met de invoering van het lerarenregister (overkoepelend ook wel de Wet beroep leraar genoemd) is nog geen jaar geleden van kracht geworden en verkeert nog in de implementatiefase.

1.2. Aanleidingen voor wijziging van de registerwetgeving

De leden van de VVD-fractie vragen hoe dit wetsvoorstel zich verhoudt tot de in voorbereiding zijnde Wet digitale overheid die later dit jaar wordt ingediend.

Dit wetsvoorstel heeft geen directe relatie met de in voorbereiding zijnde Wet digitale overheid die later dit jaar wordt ingediend. Op basis van de Wet digitale overheid wordt het wel mogelijk te bepalen dat het uitwisselen van gegevens met een specifieke techniek of standaard moet worden uitgevoerd. De Wet digitale overheid biedt namelijk de mogelijkheid techniek bij amvb voor te schrijven in de vorm van verplicht toe te passen open standaarden.

Deze leden vragen voorts hoe het Bureau ICT-Toetsing is betrokken bij het bundelen van de verschillende bestaande registers tot een integraal register voor onderwijsdeelnemers. Tevens vragen de voornoemde leden of zij een advies zullen uitbrengen.

De bundeling van de wetgeving inzake de bestaande registers is geen onderwerp van toetsing door het Bureau ICT-toetsing, aangezien die bundeling op zichzelf geen wijziging van ICT-systemen met zich meebrengt. Het verwante programma Doorontwikkelen BRON is wel onderwerp van een toets geweest. Trancheplan 2016 van het programma is in april 2016 getoetst. Bij brief van 3 juni 2016 is uw Kamer geïnformeerd over de resultaten van deze toets en de invulling die wordt gegeven aan de aanbevelingen van het Bureau ICT-toetsing.² Het programma handelt in lijn daarmee verder.

2. Hoofdlijnen wijzigingen registerwetgeving

De leden van de VVD-fractie merken op dat de registerwetgeving recent gewijzigd is waardoor diploma’s van het niet-bekostigd onderwijs worden opgenomen in het diplomaregister. Zijn er wat betreft het huidige wetsvoorstel verschillen tussen bekostigde en niet-bekostigde instellingen, zo vragen deze leden.

Niet-bekostigde onderwijsinstellingen, althans de instellingen die erkende diploma’s mogen verstrekken, zijn aangesloten op BRON en het meldingsregister relatief verzuim. Per 1 januari 2018 is, zoals deze leden opmerken, ook wettelijk geregeld dat de diploma’s van het niet-bekostigd onderwijs in het diplomaregister worden opgenomen. Voor bekostigde en niet-bekostigde instellingen gelden dezelfde regels, met dien verstande dat niet-bekostigde instellingen een aantal gegevens niet hoeven aan te leveren aan BRON (dit betreft gegevens die nodig zijn voor de bekostiging). Dit blijft zo met het huidige wetsvoorstel.

De leden van de SGP-fractie vragen waarom de regering een onderscheid heeft gemaakt tussen het gebruik van gegevens en de uitwisseling van gegevens in het kader van het register, waardoor onder meer in de Wet op het primair onderwijs een deel van de huidige regeling inzake het persoonsgebonden nummer achterblijft. Waarom worden met het oog op overzichtelijkheid van wetgeving niet alle bepalingen over het gebruik en de levering van gegevens in het wetsvoorstel ondergebracht, nu eenmaal de keuze voor een thematische wet is gemaakt, zo vragen deze leden.

De leden van de SGP-fractie merken terecht op dat niet alle bepalingen over het persoonsgebonden nummer worden opgenomen in de nieuwe wet. De doelen waarvoor het persoonsgebonden nummer wordt gebruikt, zijn erg divers. Dit nummer wordt door scholen niet alleen gebruikt in het kader van de registers, maar bijvoorbeeld ook bij de uitwisseling van het onderwijskundig rapport met de nieuwe school van de leerling en bij het pseudonimiseren van leerlinggegevens.³ Het bij elkaar plaatsen van alle bepalingen over het persoonsgebonden nummer in één wet zou, vanuit een oogpunt van overzichtelijkheid, bepaalde nadelen meebrengen. Zo kent elke sectorwet een artikel dat van ouders en (meerderjarige) onderwijsdeelnemers vraagt het persoonsgebonden nummer aan de school te verstrekken bij de toelating.⁴ Deze artikelen zijn onderdeel van een bredere set bepalingen over de toelating, waarvan ook de meer inhoudelijke toelatingsvoorwaarden deel uitmaken.⁵ Voor de overzichtelijkheid van de wetgeving is het mijns inziens goed om de wettelijke toelatingsvoorwaarden – de administratieve en de inhoudelijke – bij elkaar te houden in de sectorwetten. Het doel van dit wetsvoorstel is dan ook niet om een alomvattende regeling te bieden van het persoonsgebonden nummer in het onderwijs. Er is voor gekozen het wetsvoorstel specifiek op de onderwijsregisters te richten omdat dit een goed af te bakenen onderwerp is.

2.1. Bundeling van de registerwetgeving

De leden van de VVD-fractie vragen of de regering kan aangeven hoe zij bij het vormgeven van de AMvB zal toetsen of de actuele vormen van gegevensuitwisseling nog wel adequaat zijn en of er een beperking kan worden aangebracht in de uit te wisselen gegevenssets.

De bundeling van registerwetgeving heeft in beginsel niet tot oogmerk de huidige registratie en verwerking van gegevens aan te passen. In het kader van onze verplichtingen onder de AVG toetsen OCW en DUO bij het opstellen van de amvb waarin de gegevenssets worden gespecificeerd, of de gegevens op dit moment noodzakelijk zijn voor de taken van OCW of van andere organisaties. Ook structureel is hier aandacht voor vanuit OCW en DUO. Bij beleidsvoorstellen met gevolgen voor de verwerking van persoonsgegevens wordt gekeken naar de actualiteit van de gegevenssets. In het verleden zijn bij de invoering van passend onderwijs, bijvoorbeeld, gegevens toegevoegd maar zijn andere gegevens geschrapt omdat zij in de nieuwe situatie niet meer aan de orde waren (dit betrof gegevens over indicaties van de regionale expertisecentra).

Deze leden vragen of onderwijsinstellingen en gemeenten verplicht zijn om alle relevante gegevens en meldingen in het register onderwijsdeelnemers op te nemen. Zo niet, hoe ziet de regering er dan op toe dat de informatievoorziening binnen de onderwijssector eenduidig, compleet en op orde is, zo vragen de voornoemde leden.

Ja. Aangezien het registratie van persoonsgegevens betreft is alleen voorzien in opslag en bewerking wanneer dat noodzakelijk is vanwege uitvoering van wettelijke taken. Uit die noodzaak vloeit ook de verplichting tot tijdige en adequate melding en opname voort.

3. Enkele specifieke onderwerpen met betrekking tot het register onderwijsdeelnemers

3.1. Vrijstellingsgegevens

De leden van de VVD-fractie vragen of er bijgehouden wordt op basis van welke gronden een vrijstelling van het volgen van onderwijs wordt gegeven. Waarom wordt dit niet meegenomen in het register, zo vragen deze leden.

In het register vrijstellingen en vervangende leerplicht wordt dit niet bijgehouden.⁶ Daarvoor is destijds gekozen in verband met privacy-overwegingen. Voor de doelen van het register was het niet noodzakelijk de vrijstellingsgrond te registreren. Vrijstellingen worden in de meeste gevallen afgegeven om medische redenen of vanwege geloofsopvatting of levensbeschouwing. Met het registreren van dergelijke bijzondere persoonsgegevens gaan we zeer terughoudend om. Dat neemt niet weg dat er op een geaggregeerd niveau wel informatie beschikbaar is over de vrijstellingsgronden, doordat jaarlijks gegevens hierover worden opgevraagd bij de gemeenten via de leerplichtenquête (zie de beantwoording van de volgende vraag).

Zij vragen of de regering een overzicht kan geven, landelijk en per gemeente, van de gronden waarop een vrijstelling of vervangende leerplicht is gegeven.

Voor vrijstellingen is dit mogelijk. Gemeenten geven jaarlijks de aantallen vrijstellingen per vrijstellingsgrond (als bedoeld in onderdelen a, b en c van artikel 5 van de Leerplichtwet 1969) op via de eerder genoemde leerplichtenquête.⁷ Deze cijfers worden met uw Kamer gedeeld in de jaarlijkse brief over verzuim en vrijstellingen.⁸ Voor vervangende leerplicht is dit niet mogelijk. Vervangende leerplicht wordt verleend als een jongere vanaf 14 jaar niet geschikt is volledig dagonderwijs te volgen. De jongere kan dan naast onderwijs ook praktijktijd krijgen. De leerplichtambtenaar beslist hierover op aanvraag van de ouders, na overleg met de ouders, de jongere en de school van de jongere. De reden van de aanvraag wordt vanwege privacy-overwegingen niet op landelijk niveau geregistreerd. Het is daarbij niet goed mogelijk om de individuele situaties van jongeren voor wie vervangende leerplicht wordt toegestaan, te vatten in categorieën.

3.2 Informatiebeveiliging

De leden van de VVD-fractie lezen dat onderwijsinstellingen zelf verantwoordelijk blijven voor het realiseren van voldoende informatiebeveiliging. Is dit bij alle onderwijsinstellingen op dit moment op orde?

In het onderwijs is de afgelopen jaren veel werk verzet om informatiebeveiliging en privacy beter te organiseren. Zo is er in het primair en voortgezet onderwijs een privacyconvenant afgesloten, waar inmiddels meer dan 200 leveranciers die digitale producten aanbieden zich aan gecommitteerd hebben. Hierin zijn ook afspraken gemaakt over informatiebeveiliging. Nu de wet pseudonimisering leerlinggegevens in werking is getreden, wordt gewerkt aan invoering van een pseudoniem voor leerlingen voor het gebruik van digitale leermiddelen.⁹ Er is een standaard voor informatiebeveiliging ontwikkeld en deze wordt momenteel door veel leveranciers geïmplementeerd. Met de sectorraden ben ik in gesprek over de plannen van SIVON om de beveiliging van de internetverbindingen op een hoger plan te brengen. Naast standaarden en afspraken, is het ook nodig dat onderwijsinstellingen zich in de dagelijkse omgang met persoonsgegevens bewust zijn van de risico’s en de belangrijkste maatregelen die zij kunnen nemen, zodat zij hun verantwoordelijkheid op een goede manier kunnen invullen. De sectorraden en partijen als Kennisnet, SURF en saMBO-ict ondersteunen hen daarbij. Om zicht te krijgen op de stand van zaken op het gebied van informatiebeveiliging en privacy zullen de PO-Raad en VO-raad in samenwerking met Kennisnet dit jaar een monitor uitvoeren. Zoals toegezegd tijdens het AO «ICT in het onderwijs en Leermiddelen» op 31 januari jl., wordt uw Kamer later dit jaar over de uitkomsten hiervan geïnformeerd. Een dergelijke monitor is er ook in het middelbaar beroepsonderwijs. In het hoger onderwijs ondersteunt SURF de onderwijsinstellingen bij de beveiliging van informatie door middel van gemeenschappelijk beleid en tools.

Deze leden vragen hoe de regering hier toezicht op houdt.

Het is de rol van de Autoriteit Persoonsgegevens om toezicht te houden op de naleving van wet- en regelgeving op het gebied van privacy en indien nodig onderzoek te doen.

Tot slot vragen zij wat de gevolgen voor onderwijsdeelnemers zijn als onderwijsinstellingen niet voldoen aan de eisen voor informatiebeveiliging.

Wanneer informatiebeveiliging op onderwijsinstellingen onvoldoende op orde is, ontstaan er risico’s voor de privacy van leerlingen. De privacy moet te allen tijde geborgd zijn, daarom blijven de inspanningen van dit kabinet erop gericht om onderwijsinstellingen zo goed mogelijk te ondersteunen bij het op orde krijgen en houden van informatiebeveiliging. Onderhavig wetsvoorstel ziet op de uitwisseling van gegevens tussen onderwijsinstellingen en DUO. Voor deze uitwisseling wordt gebruik gemaakt van bestaande systemen (bij DUO en leerlingadministratiesystemen op onderwijsinstellingen). Onderwijsinstellingen zijn vertrouwd met de werking van deze systemen. Deze systemen hebben bewezen betrouwbaar te zijn en zij werken met actuele en adequate informatiebeveiliging- en privacystandaarden, waardoor de gegevensuitwisseling zo veilig mogelijk gebeurt.

De leden van de CDA-fractie vragen een nadere toelichting van de regering op de positie van DUO bij deze wetswijziging. DUO is vanwege diverse redenen overbelast en onder andere de verwerking van vragen en klachten duurt lang, zo merken deze leden op. Kan de regering nader toelichten waarom zij de mening is toegedaan dat DUO klaar is voor deze integrale registerwetswijziging en dat de invoering hiervan niet tot verslechtering van de dienstverlening van DUO op andere vlakken zal leiden, zo vragen deze leden.

DUO heeft maatregelen getroffen door het aantrekken van nieuwe krachten om de dienstverlening voor het beantwoorden van vragen en klachten te verbeteren. Dit wetsvoorstel heeft betrekking op een juridische wijziging van de bestaande registers en leidt er niet toe dat er tevens in technische zin een nieuw register wordt gebouwd. Daarom heeft dit wetsvoorstel geen impact op de bestaande dienstverlening van DUO.

De leden van deze fractie vragen de regering voorts de mate van informatiebeveiliging bij DUO nader toe te lichten.

Informatiebeveiliging heeft continue aandacht binnen DUO. Het beveiligingsbeleid is conform het Voorschrift Informatiebeveiliging Rijksdienst (VIR) ingericht en voldoet aan de Baseline Informatiebeveiliging rijksoverheid.

Kan DUO, ook in de implementatiefase van deze integrale benadering, garanties geven over de veiligheid van de gegevens en het voorkomen van een datalek, zo vragen de voornoemde leden.

Dit wetsvoorstel heeft betrekking op een juridische wijziging van de bestaande registers en leidt er niet toe dat er tevens in technische zin een nieuw register wordt gebouwd. In dat kader kent dit wetsvoorstel geen implementatiefase bij DUO. Voor de veiligheid van gegevens voldoet DUO aan de Baseline Informatiebeveiliging rijksoverheid. Voor datalekken zijn aparte procedures ingericht. In deze procedures is ook de afhandeling van incidenten die tot een datalek zouden kunnen leiden beschreven.

4. Advies Autoriteit Persoonsgegevens

De leden van de CDA-fractie vragen de regering een nadere toelichting op de zorgen ten aanzien van de Autoriteit Persoonsgegevens. Kan de regering gemotiveerd aangeven waarom zij van mening is dat het hier alleen gaat om samenbrengen en niet verwerken zoals de Autoriteit Persoonsgegevens stelt, zo vragen deze leden.

De persoonsgegevens worden juridisch samengebracht in dit wetsvoorstel, maar technisch worden deze gegevens niet samengebracht. De bestaande werkwijze en omgang met persoonsgegevens verandert niet bij DUO. De wijze waarop persoonsgegevens door DUO worden ontvangen van instellingen (het inwinnen van gegevens) gaat ook na inwerkingtreding van dit wetsvoorstel via bestaande technologie. In het programma Doorontwikkelen BRON vindt wel een modernisering plaats van de bestaande technologie. De inhoud van de gegevens en het beveiligingsniveau van de uitwisseling verandert echter niet. De opslag van de persoonsgegevens vindt plaats in bestaande databases. Dat verandert derhalve ook niet naar aanleiding van het wetsvoorstel. In het programma Doorontwikkelen BRON vindt wel een modernisering plaats van de databases. De inrichting van de nieuwe databases is conform het Voorschrift Informatiebeveiliging Rijksdienst (VIR) en voldoet aan de Baseline Informatiebeveiliging rijksoverheid. De toegang van medewerkers van DUO tot de persoonsgegevens wijzigt ook niet naar aanleiding van dit wetsvoorstel.

Is het niet, zo vragen deze leden, dat door het bijeenbrengen van de verschillende persoonsgegevens dit een grotere (ongeoorloofde) inbreuk op de persoonlijke levenssfeer kan opleveren?

De persoonsgegevens worden in technische zin niet samengebracht. Dat betekent dat er geen toename is van de kans op een (ongeoorloofde) inbreuk op de persoonlijke levenssfeer.

Deze leden vragen of hier niet het gevaar van «function creep» op de loer ligt waarbij de persoonsgegevens relatief makkelijk voor andere doelen zullen worden gebruikt dan oorspronkelijk was bedoeld. Zijn er ook wettelijke voorschriften hoe om te gaan met deze «function creep», zo vragen deze leden.

Als het gaat om het doelgebonden gebruik van de gegevens in het register, zijn in de eerste plaats de bepalingen van dit wetsvoorstel en de onderliggende amvb van belang. Hierin worden de gegevensverwerkingen in het kader van het register onderwijsdeelnemers gekoppeld aan doelen en taken:

• Artikel 5 benoemt de doelen van het verstrekken van de verschillende soorten gegevens (de basisgegevens, verzuimgegevens, diplomagegevens en vrijstellingsgegevens). Deze doelen zijn inhoudelijk gelijk aan de doelen van de op dit moment bestaande registers.¹⁰

• De verstrekkingsartikelen (artikelen 15 tot en met 23) geven hier een verdere uitwerking aan. In deze artikelen staat voor welke taken de Minister, inspectie, onderwijsinstellingen, gemeenten, CBS en onderzoeksinstellingen gegevens uit het register ontvangen. Ook deze bepalingen zijn ontleend aan de wetgeving zoals we die nu kennen en zijn inhoudelijk gelijk.

• De amvb op grond van artikel 24 zal regelen voor welke wettelijke taken er verstrekking van gegevens aan andere bestuursorganen plaatsvindt (bijvoorbeeld de SVB en het UWV). Uitgangspunt hierbij zijn de huidige bestuursorganen en wettelijke taken, zoals zij nu in de wetgeving zijn benoemd.¹¹ Uitbreiding naar andere bestuursorganen of andere wettelijke taken is weliswaar mogelijk, maar pas nadat dit in de amvb is geregeld. Over de amvb en wijzigingen daarvan wordt advies gevraagd aan de Autoriteit Persoonsgegevens.

Naast het wetsvoorstel en de amvb is de AVG van belang. Artikel 5 van de AVG bepaalt dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld, en dat zij vervolgens niet verder mogen verwerkt op een wijze die onverenigbaar is met die doeleinden (beginsel van doelbinding). De verdere verwerking met het oog op onder andere statistisch onderzoek wordt hierbij niet als onverenigbaar beschouwd. Deze normen zijn overigens niet nieuw, ook de Wet bescherming persoonsgegevens bevatte deze normen al.¹²

Samenvattend: het voorliggende wetsvoorstel brengt, inhoudelijk gezien, geen verandering in de wettelijke kaders voor het gebruik van de registergegevens. Op grond van de AVG geldt onverkort het doelbindingsbeginsel. Als het gaat om de omgang met persoonsgegevens en het doelgebonden gebruik van die gegevens, is het verder van belang dat DUO een functionaris voor de gegevensbescherming heeft en dat er extern toezicht is door de Autoriteit Persoonsgegevens. Daarmee zijn er naar mijn oordeel voldoende waarborgen tegen «function creep».

Deze leden vragen ook een nadere toelichting hoe de regering omgaat met het risico van datalekken en nadelige gevolgen voor onderwijsdeelnemers naarmate het gaat om meer en bijzondere persoonsgegevens.

DUO heeft haar beveiligingsbeleid ingericht conform het Voorschrift Informatiebeveiliging Rijksdienst. Hiermee is het risico op een datalek laag. Voor het geval een datalek desalniettemin voorkomt, heeft DUO processen ingericht om een datalek te melden en de benodigde acties te ondernemen richting de Autoriteit Persoonsgegevens en betrokkenen.

5. Financiële gevolgen

De leden van de VVD-fractie vragen welke kosten er zijn gemoeid met het omzetten van de verschillende bestaande registers naar een integraal register onderwijsdeelnemers.

Dit wetsvoorstel heeft betrekking op een juridische wijziging van de bestaande registers en leidt er niet toe dat er tevens in technische zin een nieuw register wordt gebouwd. Dat betekent dat er geen uitvoeringskosten zijn verbonden aan dit wetsvoorstel, omdat er geen nieuw register moet worden gebouwd. Wel zijn er incidentele uitvoeringskosten verbonden aan de twee maatregelen uit de voorgenomen nota van wijziging (terugkoppeling van doorstroominformatie van VO naar PO en digitale uitwisseling van in- en uitschrijvingsgegevens). Hiervoor is € 1,4 miljoen gereserveerd op de rijksbegroting. De technische wijzigingen voor deze maatregelen zijn onderdeel van het programma Doorontwikkelen BRON.

Kan de regering de Kamer op de hoogte houden over het verloop van dit ICT-project, zo vragen de voornoemde leden.

Zoals bij voorgaande vragen werd aangegeven, brengt dit wetsvoorstel geen ICT-project met zich mee. Voor het programma Doorontwikkelen BRON geldt dat de geraamde meerjarige projectkosten zijn opgenomen op het Rijks ICT-dashboard (https://www.rijksictdashboard.nl). Het dashboard toont het verloop van geraamde kosten, werkelijke uitgaven en de doorlooptijd. Ook de baten en de betrokken belangrijkste leveranciers worden vermeld.

Artikelsgewijs deel

Artikel 1

De leden van de SGP-fractie geven aan te hebben begrepen dat de regering niet voornemens is de definitie van het bevoegd gezag in de onderwijswetgeving te uniformeren. Zij vragen waarom niet ten minste een aanvang gemaakt kan worden met het uniformeren van het bevoegd gezag door in de voorgenomen Wet register onderwijsdeelnemers wel uit te gaan van de rechtspersoon als het bevoegd gezag. Zij vragen welke problemen zouden ontstaan wanneer het wetsvoorstel een eigenstandige, eenduidige definitie van het bevoegd gezag zou hanteren.

Wanneer in de Wet register onderwijsdeelnemers een eigenstandige definitie van bevoegd gezag zou worden gehanteerd – door steeds uit te gaan van de rechtspersoon als het bevoegd gezag – ontstaat er een verschil met de sectorwetten. In de sectorwetten wordt bij bepaalde onderwijsinstellingen de rechtspersoon (de stichting of vereniging) aangemerkt als bevoegd gezag en bij andere onderwijsinstellingen een orgaan van de rechtspersoon, zoals het college van bestuur. Er zijn op dit punt verschillen te zien tussen de onderwijssectoren en tussen openbare en bijzondere onderwijsinstellingen.

Hoe dit ook zij, het bevoegd gezag heeft op grond van de sectorwetten taken die nauw verwant zijn aan de taken die het wetsvoorstel register onderwijsdeelnemers aan het bevoegd gezag toekent. Volgens het wetsvoorstel dient het bevoegd gezag¹³ leerlinggegevens te verstrekken aan OCW (DUO). De sectorwetten schrijven op hun beurt voor dat het bevoegd gezag gegevens over onderwijspersoneel, organisatiegegevens en financiële gegevens verstrekt aan OCW (DUO). Het gaat om vergelijkbare administratieve taken. Ik vind het wenselijk dat de administratieve verplichtingen in het wetsvoorstel register onderwijsdeelnemers bij dezelfde (juridische) actoren worden neergelegd als in de sectorwetten. Dat levert mijns inziens voor de onderwijsinstellingen zelf ook de meest overzichtelijke situatie op. Ik geef er daarom de voorkeur aan om in het wetsvoorstel register onderwijsdeelnemers niet een definitie van bevoegd gezag op te nemen die afwijkt van het begrippenkader van de sectorwetten.

Ik wil tot slot opmerken dat de regering nog steeds voornemens is om te komen tot een wijziging van de WEB en de WHW op het punt van het begrip bevoegd gezag, maar wat betreft de planning hiervan rekening houdt met de wetgevingsopgaven uit het regeerakkoord.

Artikel 11

De leden van de CDA-fractie merken op dat het hierbij gaat om uitzonderingen voor bijzondere persoonsgegevens die dusdanig gevoelig zijn dat verwerking ervan in beginsel verboden is. De leden vragen aan de hand van voorbeelden om een nadere aanduiding om wat voor soort gegevens het hier gaat en wat de uitzonderingen zijn op dit specifieke verwerkingsverbod.

In het wetsvoorstel is voorzien dat persoonsgegevens over iemands gezondheid deel kunnen uitmaken van de basisgegevens. Hierbij kan bijvoorbeeld gedacht worden aan het gegeven dat een leerling begeleiding ontvangt vanuit een cluster 1 of 2 instelling of een epilepsieschool. Registratie van dit gegeven is nodig om landelijk zicht te houden op het aantal leerlingen in het onderwijs met een ondersteuningsbehoefte. Ook de verzuimgegevens zullen volgens het wetsvoorstel bijzondere persoonsgegevens kunnen omvatten. Onderwijsinstellingen dienen de (vermoedelijke) redenen van verzuim te melden; in dit kader kan afwezigheid vanwege (mogelijke) ziekte, afwezigheid vanwege een geloofsverplichting (zoals een bedevaart) of afwezigheid vanwege contact met politie of justitie worden geregistreerd. Registratie van dergelijke bijzondere persoonsgegevens is nodig voor een effectieve verzuimbestrijding door onderwijsinstellingen en gemeenten. Opmerking verdient dat de genoemde gegevens, conform de huidige wetgeving, ook nu al geregistreerd worden in BRON en het meldingsregister relatief verzuim. Tot slot merk ik op dat artikel 11 van het wetsvoorstel het verwerken van bijzondere persoonsgegevens inkadert; in dit artikel staat aan wie deze gegevens kunnen worden verstrekt en voor welke doelen dit gebeurt.

Artikel 30

De leden van de CDA-fractie vragen naar de termijn waar de regering en DUO zich aan moeten houden in alle fasen van een verzoek tot correctie.

Voor de afhandeling van een verzoek tot correctie van persoonsgegevens geldt in beginsel een termijn van een maand, op grond van artikel 12, derde en vierde lid, van de AVG.¹⁴ Afhankelijk van de complexiteit van het verzoek kan deze termijn volgens de verordening met twee maanden worden verlengd.¹⁵ De procedure rond correctie van diplomagegevens bestaat uit verschillende stappen. Na ontvangst van een correctieverzoek vraagt de Minister (DUO) aan de instelling die het diploma heeft uitgereikt, of de gegevens in het register overeenkomen met de gegevens waarover de instelling beschikt. De instelling gaat dit na en levert, indien correctie aangewezen is, aangepaste diplomagegevens aan bij DUO. Deze worden opgenomen in het register. De betrokkene wordt geïnformeerd over de uitkomst. Voor de verschillende stappen binnen de procedure gelden op grond van de AVG geen specifieke termijnen; de hiervoor genoemde termijnen gelden voor de procedure in haar geheel.

Zij vragen of de regering kan aangeven in hoeverre het ministerie en DUO ook voldoen aan deze termijnen.

DUO hanteert bij correctieverzoeken van diplomagegevens een behandelingstermijn van acht weken. Dit hangt samen met het feit dat de correctieprocedure diverse handelingen van verschillende partijen omvat, zoals ik bij de vorige vraag heb beschreven. DUO is hierbij afhankelijk van de instelling die het diploma heeft uitgereikt. De beoordeling of een correctieverzoek juist is, dient bovendien zeer zorgvuldig te gebeuren. De betrouwbaarheid van de gegevens in het diplomaregister is immers van groot belang.

Deze nota naar aanleiding van het verslag wordt gegeven mede namens de Minister voor Basis- en Voortgezet Onderwijs en Media.

De Minister van Onderwijs, Cultuur en Wetenschap, I.K. van Engelshoven

---

1 Kamerstukken II 2016/17, 32 034, nr. 20.

2 Kamerstukken II 2015/16, 26 643, nr. 412.

3 Zie onder meer artikel 178a, zesde en elfde lid, WPO.

4 Zie artikelen 40b WPO, 42a WEC, 27b WVO, 8.1.1a WEB en 7.39 WHW.

5 Zie bijvoorbeeld artikelen 40b WPO, 40 WEC, 27 WVO, 8.1.1 WEB en 7.37 WHW.

6 Tijdens de technische briefing op 28 maart jl. is naar aanleiding van een vraag over vrijstellingsgegevens aangegeven dat in het register de vrijstellingsgronden worden bijgehouden. Dit berustte op een misverstand.

7 Onderdeel a van artikel 5 van de Leerplichtwet is van toepassing wanneer een kind op lichamelijke of psychische gronden niet geschikt is om tot een school toegelaten te worden. Onderdeel b is van toepassing wanneer ouders bedenkingen hebben tegen de richting van alle scholen binnen een redelijke afstand van het woonadres. Onderdeel c is van toepassing wanneer een kind is ingeschreven op een school in het buitenland.

8 Zie onder meer de brief van 19 februari 2018, Kamerstukken II 2017/18, 26 695, nr. 121.

9 Wet van 29 november 2017 tot wijziging van diverse onderwijswetten in verband met het pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer ten behoeve van het bieden van voorzieningen in het kader van het onderwijs en de begeleiding van onderwijsdeelnemers (Stb. 2017, 508).

10 Met dien verstande dat in artikel 5 één nieuw doel is opgenomen: de verstrekking van waardedocumenten door onderwijsinstellingen (zie paragraaf 3.2.1 van de memorie van toelichting). De doelen van de huidige registers zijn beschreven in de artikelen 24b, 24h, 24k2 en 24m van de WOT.

11 Zie artikel 24f van de WOT.

12 Artikelen 7 en 9 van de Wet bescherming persoonsgegevens.

13 Volledigheidshalve wordt opgemerkt dat het wetsvoorstel uitgaat van het begrip bestuur in plaats van bevoegd gezag. Reden hiervoor is dat niet alle sectorwetten het begrip bevoegd gezag hanteren; de WHW hanteert het begrip instellingsbestuur. Omdat het wetsvoorstel alle onderwijssectoren bestrijkt, ook het HO, is gezocht naar een overkoepelende term (bestuur).

14 Artikel 12, derde en vierde lid, van de AVG geeft termijnen voor de behandeling van verzoeken in de zin van de artikelen 15 tot en met 22 van de AVG. Een verzoek tot correctie van diplomagegevens is een verzoek tot rectificatie als bedoeld in artikel 16 van de verordening.

15 Volledigheidshalve wordt opgemerkt dat wanneer bij indiening van een verzoek gegevens ontbreken die voor de beoordeling noodzakelijk zijn, de behandelingstermijn wordt opgeschort tot de gegevens zijn aangevuld (artikel 4:15 van de Algemene wet bestuursrecht).