35 963 Wijziging van de Wet register onderwijsdeelnemers en enkele andere wetten in verband met het uitbreiden van de wettelijke grondslagen voor de verwerking van gegevens in het kader van het register onderwijsdeelnemers

Nr. 3 MEMORIE VAN TOELICHTING

I. ALGEMEEN

1. Inleiding

Met dit wetsvoorstel wordt de Wet register onderwijsdeelnemers (hierna: WRO) gewijzigd in verband met het uitbreiden van de wettelijke grondslagen voor de verwerking van gegevens uit het register onderwijsdeelnemers. De volgende onderwerpen worden in dit wetsvoorstel geregeld:

• Ten eerste worden particuliere, buitenlandse en internationale scholen (de zogenoemde B3- en B4-scholen) aangesloten op het register onderwijsdeelnemers, met het oog op een effectievere aanpak van verzuim.

• Ten tweede wordt het aantal grondslagen voor het verstrekken van gegevens uit het register onderwijsdeelnemers aan organisaties uitgebreid ten behoeve van de uitvoering van diverse taken van deze organisaties.

• Ten derde wordt een aantal andere aspecten geregeld: er wordt een grondslag geboden voor het gebruik van basisgegevens voor de bepaling van het door studenten verschuldigde collegegeld en voor het gebruik van diplomagegevens voor het legaliseren van diploma’s ten behoeve van het gebruik hiervan in het buitenland.

Dit wetsvoorstel heeft verschillende aanleidingen.¹ Wat betreft particuliere, buitenlandse en internationale scholen is gebleken dat toezichthouders hun taken op het gebied van de aanpak van verzuim onvoldoende effectief kunnen uitoefenen, omdat er – anders dan bij alle overige scholen die onder de Leerplichtwet 1969 (LPW) vallen – geen gegevens over leerlingen van deze scholen zijn opgenomen in het register onderwijsdeelnemers.

Een andere aanleiding is dat de afgelopen jaren bij het Ministerie van Onderwijs, Cultuur en Wetenschap (OCW) verzoeken zijn binnengekomen van diverse instanties om gegevensuitwisselingen mogelijk te maken zodat deze instanties hun taken beter kunnen uitoefenen. Het gaat om verzoeken van onder meer bestuursorganen (waaronder samenwerkingsverbanden passend onderwijs), sectorraden, pensioenuitvoerders en Belgische overheidsinstanties die toezicht houden op verzuim. Met betrekking tot bestuursorganen wordt de grondslag van een aantal nieuwe gegevensverstrekkingen geregeld in een wijziging van het Besluit register onderwijsdeelnemers (BRO) die momenteel in procedure is.

Tot slot zijn naar aanleiding van de komst van de Algemene verordening gegevensbescherming (AVG) de gegevensverstrekkingen die in de praktijk door de Dienst Uitvoering Onderwijs (DUO) aan externe partijen plaatsvinden tegen het licht gehouden. Geconstateerd is dat voor een aantal verstrekkingen een expliciete wettelijke grondslag nodig is. Met dit wetsvoorstel worden deze grondslagen opgenomen in de WRO.

Met de voorgestelde uitbreiding van de wettelijke grondslagen worden de volgende doelen beoogd:

• Ondersteuning van de taakuitvoering door organisaties, met name bij de overheid en in het onderwijs, door middel van gegevensverstrekking aan die organisaties. Of iemand is ingeschreven bij een onderwijsinstelling of een bepaald diploma heeft behaald, is voor diverse organisaties een gegeven dat zij nodig hebben om hun (wettelijke) taken uit te voeren. Het register onderwijsdeelnemers is een bron van betrouwbare informatie over onderwijsdeelname en diploma’s. Dit wetsvoorstel beoogt het gebruik van deze informatie op een verantwoorde manier uit te breiden.

• Vermindering van administratieve lasten voor onderwijsinstellingen, toezichthouders, overheidsinstanties, ouders en leerlingen door hergebruik van al in het register onderwijsdeelnemers aanwezige gegevens (uitgangspunt «eenmalig opvragen, meervoudig gebruik»).

• Het bieden van een expliciete wettelijke grondslag voor een aantal noodzakelijke gegevensverstrekkingen uit het register onderwijsdeelnemers.

• Dit wetsvoorstel is een wijziging van de recent tot stand gekomen WRO. Met de komst van de WRO is de registerwetgeving vernieuwd. Voor de context van dit wetsvoorstel is het van belang om eerst in te gaan op deze vernieuwing.

2. Achtergronden WRO

De WRO is op 1 juli 2020 in werking getreden, tegelijk met het onderliggende BRO en de Regeling register onderwijsdeelnemers. Met deze vernieuwde registerwetgeving is een bundeling en flexibilisering van registerwetgeving tot stand gekomen. De wetgeving rondom registers die voorheen over verschillende onderwijswetten was verspreid, werd gecentraliseerd. Het ging hier met name om een (technische) herstructurering van registerwetgeving die – enkele uitzonderingen daargelaten – beleidsneutraal was. Er zijn met de invoering van de WRO slechts enkele materiële wijzigingen over de gegevensverwerking doorgevoerd.²

Met de WRO is er een wettelijke regeling voor een integraal register onderwijsdeelnemers gekomen. De voorheen bestaande vier registers van DUO werden geïntegreerd in één register onderwijsdeelnemers. Het ging om het basisregister onderwijs (BRON), het register vrijstellingen en vervangende leerplicht, het meldingsregister relatief verzuim en het diplomaregister. Hierdoor ontstond alleen qua opzet een nieuw register, niet qua inhoud: het integrale register bevat gegevens die eerder over de verschillende registers waren verspreid.

In de WRO is opgesomd welke soorten gegevens in het register zijn opgenomen:³ naast het persoonsgebonden nummer van de onderwijsdeelnemer gaat het om basisgegevens, vrijstellingsgegevens, verzuimgegevens en diplomagegevens. Ook de doelen waarvoor de gegevens mogen worden gebruikt zijn in de wet opgesomd. Deze doelen zijn onder meer bekostiging van onderwijsinstellingen door de Minister van OCW, toezicht op het onderwijs door de Inspectie van het Onderwijs (hierna: inspectie), toezicht op de naleving van de LPW door gemeenten, uitvoering van toelatings- en inschrijvingsprocedures door onderwijsinstellingen, en de uitvoering van wettelijke taken door andere bestuursorganen. Het BRO geeft een nadere uitwerking van de doelen waarvoor gegevens uit het register onderwijsdeelnemers mogen worden gebruikt. Als het bijvoorbeeld gaat om bestuursorganen regelt het BRO aan welke bestuursorganen en voor welke taken gegevens mogen worden verstrekt (zoals bijvoorbeeld aan de Sociale Verzekeringsbank (SVB)).

Met de bundeling van wetgeving werd het voor onderwijsdeelnemers en ouders transparanter welke onderwijsgegevens gedurende de gehele onderwijsloopbaan bij de rijksoverheid bekend zijn, voor welke doelen deze gegevens worden verzameld, waarvoor deze gegevens worden gebruikt en hoe lang ze worden bewaard.⁴

Het register bevat betrouwbare informatie die voor de taakuitvoering van diverse (overheids)instanties zoals de Minister van OCW, onderwijsinstellingen, inspectie en gemeenten onontbeerlijk is. Eén van de belangrijke uitgangspunten van het register is «eenmalig opvragen, meervoudig gebruik» zodat administratieve lasten voor de genoemde instanties, leerlingen en ouders worden verminderd. Met het oog daarop heeft de WRO meer flexibiliteit gebracht in de registerwetgeving: waar voorheen de specificatie van registergegevens voor een groot deel op het niveau van de formele wet plaatsvond, worden met de nieuwe registerwetgeving die gegevens in het vervolg bij algemene maatregel van bestuur (amvb) gespecificeerd, in het BRO. Ook de verstrekking aan andere bestuursorganen behoefde onder de oude registerwetgeving een grondslag in de formele wet, maar kan nu bij amvb worden geregeld.

Met de WRO is qua niveau van regelgeving aangesloten bij de systematiek zoals die in de wetgeving voor de basisregistraties, waaronder de Wet basisregistratie personen, gebruikelijk is: de wet bevat de hoofdelementen van de regeling, de amvb bevat uitwerking van die hoofdlijnen. De ministeriële regeling bevat een aantal technische en administratieve onderwerpen.⁵

Met de vernieuwing van de registerwetgeving werden, samenvattend, de volgende doelen beoogd:

• het overzichtelijker en daardoor toegankelijker maken van registerwetgeving,

• het realiseren van wetgeving die meer geschikt is om vernieuwingen op het gebied van digitalisering en hergebruik van gegevens te ondersteunen, en

• het bewaken van sectoroverstijgende samenhang in het informatiebeleid binnen het onderwijsveld. De vernieuwde wetgeving biedt meer inzicht in wat er omgaat aan onderwijsinformatie bij OCW; daarmee biedt zij een beter uitgangspunt voor bewaking van de samenhang op informatiegebied tussen de onderwijssectoren onderling.

Zoals hiervoor is vermeld, was de vernieuwing van registerwetgeving in de WRO grotendeels beleidsneutraal. Het doel was bundeling van wetgeving zodat deze toegankelijker en transparanter werd. Er zijn destijds vrijwel geen materiële wijzigingen meegenomen. Inmiddels is – zoals ook blijkt uit paragraaf 1 van deze toelichting – aanleiding en noodzaak ontstaan om de WRO op een aantal punten materieel te wijzigen. Deze inhoudelijke wijzigingen van de registerwetgeving zijn in dit wetsvoorstel neergelegd en worden in paragraaf 3 toegelicht. Zoals uit deze toelichting blijkt, past dit wetsvoorstel geheel in de hiervoor genoemde uitgangspunten en doelen van de WRO.

3. Hoofdlijnen wetsvoorstel

3.1. Inleiding

Met dit wetsvoorstel worden de wettelijke grondslagen in de WRO voor de verwerking van gegevens uit het register onderwijsdeelnemers uitgebreid. Concreet biedt dit wetsvoorstel een grondslag voor de volgende verwerkingen:

• Aansluiting van particuliere, buitenlandse en internationale scholen (zogenoemde B3- en B4-scholen) op het register onderwijsdeelnemers. Dit houdt in dat deze scholen gegevens over onderwijsdeelnemers aan het register leveren.

• Verstrekkingen van gegevens uit het register onderwijsdeelnemers aan:

  • instellingen voor hoger onderwijs en aangewezen organisaties;

  • samenwerkingsverbanden passend onderwijs;

  • pensioenuitvoerders;

  • Belgische overheidsinstanties die toezicht houden op de naleving van de leerplichtwetgeving.

• Overige verwerkingen:

  • het gebruik van basisgegevens voor de bepaling van het door studenten verschuldigde collegegeld;

  • verwerking van basis- en diplomagegevens door de Minister van OCW voor de legalisatie van waardedocumenten (diploma’s) en bewijzen van inschrijving.

Hierna zullen deze onderwerpen van het wetsvoorstel apart worden toegelicht. Daarbij zal de noodzaak van de verwerking of verstrekking van de gegevens aan de orde komen, en voor zover van toepassing ook de geboden waarborgen en overwogen alternatieven.

3.2 Aansluiting particuliere, buitenlandse en internationale scholen op het register onderwijsdeelnemers

Scholen kunnen worden onderverdeeld in zogenoemde B1-, B2-, B3- en B4-scholen. De aanduiding slaat op de vier subonderdelen van artikel 1, onderdeel b, van de LPW. Het subonderdeel 1 regelt het bekostigd onderwijs, de overige subonderdelen regelen het niet-bekostigd onderwijs. B2-scholen zijn bevoegd om vo-eindexamens af te nemen. De zogenoemde B3-scholen⁶ bieden basis- en/of voortgezet onderwijs aan, maar mogen geen examens afnemen of een diploma uitreiken. B4-scholen⁷ zijn buitenlandse,⁸ internationale of ambassadescholen die in Nederland gevestigd zijn.

Al deze scholen verzorgen onderwijs in de zin van de LPW. Inmiddels zijn alle bekostigde scholen en de particuliere B2-scholen⁹ aangesloten op het register onderwijsdeelnemers, maar de B3- en B4-scholen nog niet.¹⁰ Met dit wetsvoorstel wordt geregeld dat ook deze scholen als laatste categorie scholen worden aangesloten op het register onderwijsdeelnemers ten behoeve van effectief toezicht op het onderwijs en aanpak van verzuim. Dit wetsvoorstel vormt hiermee het sluitstuk voor wat betreft aansluiting van scholen op het register.

Hierna wordt voor beide categorieën scholen ingegaan op de noodzaak voor de aansluiting op het register.

a. Noodzaak aansluiting op het register onderwijsdeelnemers

B3-scholen

De B3-scholen zijn zoals eerder aangegeven nog niet aangesloten op het register onderwijsdeelnemers. Doordat zij momenteel nog geen gegevens aan het register leveren, ontstaat het probleem dat toezichthouders (gemeenten en inspectie) op dit moment geen sluitend beeld hebben van het aantal leerlingen op de B3-scholen en de mate waarin de leerlingen verzuimen. Bovendien brengt de huidige situatie veel administratieve lasten met zich voor de toezichthouders, scholen en ouders en leerlingen. Hierna wordt nader ingegaan op deze problemen.

Ten eerste levert de huidige wijze van decentraal melden van inschrijvingen, uitschrijvingen en verzuim problemen op voor de goede taakuitvoering van de leerplichtambtenaar van de gemeente. Scholen melden verzuim momenteel decentraal, dat wil zeggen bij de gemeente waar de leerling woont. De wijze waarop scholen verzuim melden verschilt in de praktijk per school. Soms is er sprake van geautomatiseerde koppelingen tussen de schooladministratie en de administratie van de gemeente, soms worden de meldingen telefonisch of per e-mail¹¹ doorgegeven. Leerlingen van B3-scholen zijn veelal afkomstig uit verschillende gemeenten in de regio. Een belangrijk probleem in de huidige situatie, met name voor vo-scholen, is dan ook dat verzuim moet worden gemeld aan een groot aantal gemeenten in de omgeving. De school moet ieder geval van relatief verzuim melden aan de woongemeente van de betrokken leerling.¹² Hiervoor dient niet alleen voor iedere keer dat wordt verzuimd, uitgezocht te worden aan welke gemeente moet worden gemeld, maar moet daarnaast de wijze van melden en de inhoud van de melding worden aangepast aan de eisen die de desbetreffende gemeente stelt. Dit leidt er toe dat verzuim niet in alle gevallen wordt gemeld of niet tijdig wordt gemeld. Bovendien bestaat er een risico dat de melding bij een verkeerde gemeente terechtkomt. In zo’n geval is er sprake van een datalek, hetgeen vanuit privacy-oogpunt vanzelfsprekend onwenselijk is.

Ten tweede zorgt de huidige wijze van decentraal melden niet alleen bij gemeenten, maar ook bij de inspectie voor een onzuiver beeld, waardoor de inspectie zijn toezichtstaak niet goed kan uitoefenen. De inspectie houdt toezicht op de kwaliteit van het onderwijs op de betreffende scholen, en daarnaast ook op de naleving door schoolhoofden van de in de LPW gestelde eisen. De inspectie heeft voor de uitvoering van haar toezichtstaken (volledige) gegevens en een sluitend beeld nodig. Omdat de benodigde gegevens niet zijn opgenomen in het register onderwijsdeelnemers, kan de inspectie niet op dezelfde wijze te werk gaan als zij doet bij B1- en B2-scholen. De inspectie moet extra stappen zetten om haar toezichtstaak te kunnen uitvoeren. Op dit moment ontvangt de inspectie verschillende gegevens van B3-scholen, onder meer via een vragenlijst die jaarlijks wordt uitgezet. Door deze werkwijze beschikt de inspectie niet over een sluitend beeld van het aantal leerlingen waardoor zij haar toezichtstaken niet goed kan uitvoeren.

Ten derde zijn volledige en juiste gegevens over leerlingen op deze scholen niet alleen noodzakelijk voor een effectieve aanpak van verzuim, maar ook voor de vorming van beleid dat ziet op deze scholen. Daarvoor is het voor de Minister van OCW noodzakelijk om zicht te hebben op de aantallen leerlingen die naar deze scholen gaan.

Tot slot levert de hiervoor genoemde wijze van melden veel administratieve lasten op voor zowel scholen als gemeenten. Bij de gemeenten is er veel administratieve belasting, omdat meldingen vanuit verschillende scholen niet in eenzelfde vorm of volgens eenzelfde format binnenkomen.

B4-scholen

B4-scholen verzorgen eveneens onderwijs in de zin van de LPW aan leerplichtige leerlingen. Het gaat hier om buitenlandse, internationale of ambassadescholen. Voorschriften over deze scholen zijn gegeven in de Regeling aanwijzing internationale en buitenlandse scholen. B4-scholen zijn op dit moment – net als B3-scholen – niet verplicht om gegevens aan het register te leveren. Ook hier ontbreekt er zicht op de leerlingenaantallen en -kenmerken op deze scholen, waardoor effectief toezicht op verzuim wordt bemoeilijkt. De hiervoor genoemde problemen ten aanzien van B3-scholen gelden ook hier: geen effectief toezicht op verzuim (met name door de leerplichtambtenaar),¹³ hoge administratieve lasten en onvolledige beleidsinformatie.

Conclusie

Met dit wetsvoorstel worden de B3- en B4 -scholen aangesloten op het register onderwijsdeelnemers. In het wetsvoorstel wordt een grondslag gecreëerd voor de levering van gegevens over onderwijsdeelnemers door de particuliere B3- en B4-scholen aan het register onderwijsdeelnemers. Hiermee wordt beoogd om een sluitend beeld te krijgen van het aantal leerlingen dat is ingeschreven op deze scholen, en daarmee ook van verzuim en voortijdig schoolverlaten in relatie tot deze scholen. Bovendien wordt met dit wetsvoorstel beoogd de administratieve lasten bij het melden van relatief verzuim aanzienlijk te verlagen, zowel voor de toezichthouders als voor scholen.

Door de aansluiting op het register onderwijsdeelnemers (centraal melden) wordt voortaan ook voor deze scholen – net als dat nu het geval is bij B1- en B2-scholen – één loket gecreëerd waaraan verzuim wordt gemeld, waarna de melding wordt doorgeleid naar de juiste gemeente. Dit zorgt niet alleen voor vermindering van administratieve lasten, maar ook voor een slagvaardige aanpak van verzuim en een sluitend beeld voor de vorming van beleidsmaatregelen.

b. Soorten persoonsgegevens

Met het oog op proportionaliteit en dataminimalisatie is het van belang om alleen die gegevens in het register onderwijsdeelnemers op te nemen die ten aanzien van deze scholen in het kader van toezicht en verzuim daadwerkelijk van belang zijn. Verwerking van gegevens die zijn gerelateerd aan bekostiging of reguliere examens is niet aan de orde.

Het gaat om de volgende persoonsgegevens:

• De persoonsgebonden nummers van de leerlingen die zijn ingeschreven of ingeschreven zijn geweest aan B3- en B4-scholen.

• Identificerende gegevens (zoals geslachtsnaam, voornamen, geboortedatum, geboorteland, geslacht, en nationaliteit van de leerling).

• Inschrijvingsgegevens (de onderwijsinstelling waar de onderwijsdeelnemer is of was ingeschreven en de datum van in- en uitschrijving bij de betreffende onderwijsinstelling).

• Welk soort onderwijs de leerling volgt.

• Verzuimgegevens.

De uitwerking hiervan zal in het BRO geschieden.

3.3. Verstrekkingen van gegevens uit het register onderwijsdeelnemers

De WRO kent een aantal uitgangspunten voor de verstrekking van persoonsgegevens uit het register onderwijsdeelnemers. Hieronder wordt eerst ingegaan op deze uitgangspunten. Daarna komen de voorgestelde uitbreidingen van de verstrekking van persoonsgegevens uit het register aan de orde.

3.3.1. Uitgangspunten verstrekking uit register onderwijsdeelnemers

De WRO kent (evenals haar voorgangers) een gesloten verstrekkingenregime voor de verstrekking van persoonsgegevens uit het register: in deze wet en de onderliggende amvb (BRO) is in beginsel uitputtend geregeld aan wie en voor welke doeleinden persoonsgegevens uit het register kunnen worden verstrekt.¹⁴ Verstrekking van persoonsgegevens uit het register aan een instantie of voor doeleinden die niet in de WRO of het BRO zijn benoemd is niet toegestaan, tenzij de verstrekking voortvloeit uit een andere wettelijke regeling.¹⁵ Overeenkomstig dit uitgangspunt beoogt dit wetsvoorstel een wettelijke grondslag te bieden voor een aantal verstrekkingen.

Verder strekt het register onderwijsdeelnemers primair ter ondersteuning van de uitvoering van publieke taken (dat gold ook voor de vier voorheen bestaande onderwijsregisters). Het oogmerk van de verstrekking van gegevens uit het register onderwijsdeelnemers is om de uitoefening van publieke taken, zoals het bekostigen van scholen en de beleids- en begrotingsvoorbereiding door de Minister van OCW, het toezicht door de onderwijsinspectie, de uitvoering van toelatingsprocedures door onderwijsinstellingen en diverse werkzaamheden van andere bestuursorganen (bijvoorbeeld de SVB en het Uitvoeringsinstituut werknemersverzekeringen (UWV)), beter te laten verlopen. Dit wetsvoorstel brengt hier geen verandering in. Ook het in dit wetsvoorstel geregelde (her)gebruik van gegevens uit het register staat in het teken van de publieke taakuitoefening. Het gaat onder andere om het toezicht op de naleving van de leerplicht door gemeenten, het uitvoeren door de samenwerkingsverbanden passend onderwijs van hun wettelijke taken, en werkzaamheden van het Ministerie van OCW (DUO) ten behoeve van de legalisatie van diploma’s in het kader van het Apostilleverdrag. Zoals in het verleden bij wetswijzigingen over nieuwe verstrekkingen uit de onderwijsregisters is gebeurd, wordt ook in deze memorie van toelichting onderbouwd waarom de verstrekking van gegevens uit het register onderwijsdeelnemers voor de desbetreffende publieke taak noodzakelijk wordt geacht.

Op twee onderdelen beoogt dit wetsvoorstel werkzaamheden te ondersteunen die niet door bestuursorganen worden uitgevoerd, maar door private organisaties die werkzaamheden verrichten met een gewichtig maatschappelijk belang. Dit betreft in de eerste plaats de uitkering van wezenpensioen door pensioenuitvoerders. Het gaat hier om gegevensverstrekking in het belang van kinderen die (half)wees zijn geworden en door middel van de uitkering van een wezenpensioen minder financiële gevolgen van het overlijden van hun ouder(s) ondervinden en hun school of opleiding kunnen voortzetten.

In de tweede plaats gaat het om het doen van belangrijk onderzoek op het terrein van onderwijs (door Studiekeuze123, Jongeren Organisatie Beroepsonderwijs (JOB), Nuffic, Kences en de sectorraden) of het ondersteunen van onderwijsinstellingen bij hun verantwoording door de sectorraden. De hier genoemde organisaties zijn geen bestuursorganen, maar private organisaties.¹⁶ Voor hen geldt evenwel dat hun werkzaamheden en de informatieproducten die zij maken van gewichtig maatschappelijk belang zijn. Zoals uit paragraaf 3.3.2 zal blijken voorzien de informatieproducten in een maatschappelijke behoefte en vormen zij een bron van waardevolle informatie voor ouders, leerlingen, voor scholenzelf, en voor het parlement.

Het wetsvoorstel levert in dit opzicht een beperkte en naar het oordeel van de regering verantwoorde uitbreiding op van het gebruik van gegevens uit het register onderwijsdeelnemers. In dit verband wordt gewezen op de extra waarborgen – naast de waarborgen die de AVG vereist – die in dit wetsvoorstel zijn opgenomen voor de verstrekking van gegevens aan aangewezen organisaties zoals de sectorraden en JOB.

3.3.2 Verstrekking aan instellingen voor hoger onderwijs en aan aangewezen organisaties

Het huidige artikel 23 WRO regelt de verstrekking van gegevens aan aangewezen onderzoeksinstellingen voor zover dit noodzakelijk is voor onderzoeksactiviteiten naar de kwaliteit en toegankelijkheid van het beroepsonderwijs, het voortgezet algemeen volwassenenonderwijs en het hoger onderwijs. In het wetsvoorstel wordt dit artikel op een aantal punten verruimd.

Ten eerste wordt de kring van organisaties uitgebreid waaraan gegevens uit het register onderwijsdeelnemers kunnen worden verstrekt: naast de huidige «onderzoeksinstellingen» kunnen voortaan ook gegevens worden verstrekt aan organisaties die bij wet of bij amvb zijn aangewezen.

Ten tweede wordt de doelomschrijving in een aantal opzichten uitgebreid:

• Naast «onderzoeksactiviteiten» wordt voorgesteld om het doel «ondersteuning van onderwijsinstellingen en samenwerkingsverbanden bij hun verantwoording omtrent de kwaliteit, doelmatigheid en toegankelijkheid van het onderwijs» toe te voegen.

• Nieuw is dat «doelmatigheid» van het onderwijs is toegevoegd (naast de bestaande «kwaliteit en toegankelijkheid» van het onderwijs).

• Nieuw is ook dat de onderwijssectoren primair en voortgezet onderwijs zijn toegevoegd aan de doelomschrijving «onderzoeksactiviteiten».

Verder wordt een procedure geïntroduceerd op grond waarvan door een besluit van de Minister verstrekking van basisgegevens kan plaatsvinden. Hieronder wordt eerst nader ingegaan op de noodzaak van deze uitbreidingen en vervolgens op de procedurele waarborgen.

a. Noodzaak verruiming

Gebleken is dat de grondslag van het huidige artikel 23 WRO te beperkend is, zowel qua organisaties waaraan gegevens kunnen worden verstrekt, als qua doelen waarvoor gegevens kunnen worden verstrekt.

Hierna wordt eerst ingegaan op de noodzaak voor de uitbreiding van de kring van organisaties. Daarbij wordt in het bijzonder stil gestaan bij de sectorraden, omdat deze raden de gegevens uit het register onderwijsdeelnemers niet alleen voor onderzoeksactiviteiten nodig hebben (het eerste lid van artikel 23), maar ook voor het doel «ondersteunen van onderwijsinstellingen bij hun verantwoording»(het derde lid van artikel 23). Vervolgens wordt ingegaan op de verruiming van de grondslag naar «doelmatigheid» en naar «primair en voortgezet onderwijs».

Uitbreiding kring van organisaties

Volgens het huidige artikel 23 WRO mogen gegevens uit het register onderwijsdeelnemers slechts worden verstrekt aan «onderzoeksinstellingen». Deze beperking is problematisch, omdat het er voor zorgt dat de Minister niet op alle gebieden van het onderwijs onderzoekers of organisaties in staat kan stellen hun werk te doen. Het gaat hier overigens niet om onderzoek dat plaatsvindt in opdracht van de Minister, maar op initiatief van bepaalde organisaties. Deze organisaties zijn dus zelf verwerkingsverantwoordelijke in de zin van de AVG. Het gaat om organisaties die regelmatig onderzoek doen naar het onderwijs, onderwijsbeleid, studenttevredenheid, studiefinanciering, studentenhuisvesting en aanpalende onderwerpen. Deze organisaties zijn echter geen «onderzoeksinstelling» in de strikte uitleg van het huidige artikel 23 WRO.

Zoals hierboven in paragraaf 3.3.1 is uiteengezet gaat het hier om een beperkte uitbreiding die is voorbehouden aan organisaties die werkzaamheden verrichten met een gewichtig maatschappelijk belang. Dit belang zit daarin dat deze organisaties door hun onderzoeken bijdragen aan de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs en daarmee aan het goed functioneren van het onderwijsstelsel. Een andere belangrijke voorwaarde voor verstrekking is dat de persoonsgegevens noodzakelijk moeten zijn voor de onderzoeken die deze organisaties verrichten. Meer in het algemeen blijft het uitgangspunt om het aantal organisaties waaraan persoonsgegevens uit het register worden verstrekt te beperken, omwille van de bescherming van de privacy. Daarom zetten OCW en DUO in op het breed beschikbaar stellen van geanonimiseerde open onderwijsdata – data die ook voor onderzoeksdoeleinden kunnen worden gebruikt.¹⁷ Verstrekking van persoonsgegevens is pas aan de orde als geanonimiseerde data niet zouden voldoen en dus tot de persoon herleidbare gegevens noodzakelijk zouden zijn.

De noodzaak om persoonsgegevens uit het register onderwijsdeelnemers te kunnen verstrekken aan een aantal organisaties blijkt uit de volgende praktijkvoorbeelden:

▪ Studiekeuze 123

De stichting Studiekeuze123 heeft op grond van artikel 7.15a WHW de wettelijke taak tot het verzamelen en kosteloos verspreiden van objectieve, betrouwbare en vergelijkbare studiekeuze informatie en het doen van onderzoek naar studenttevredenheid en -betrokkenheid. Hiervoor is een Studiekeuzedatabase ontwikkeld waarin informatie uit verschillende bronnen over hbo- en wo-opleidingen periodiek worden verwerkt en opgeslagen. Het gaat bijvoorbeeld om arbeidsmarktcijfers, accreditatiegegevens, toelatingseisen, instroomaantallen en studentenoordelen. Studiekeuze123 gebruikt de database om studiekiezers via Studiekeuze123.nl te ondersteunen bij hun studiekeuze. Dit betreft een publieke taak vanuit een maatschappelijke behoefte van jongeren uit het vo, mbo en ho. Ook worden deze gegevens op dagelijkse basis als instrument gebruikt door bijna alle decanen van het VO die jongeren helpen bij het maken van de studiekeuze. Daarnaast is de database beschikbaar voor externe gebruikers. Ten behoeve van de Studiekeuzedatabase zijn ook gegevens uit het register onderwijsdeelnemers nodig. Hiervoor zijn geen direct tot personen herleidbare gegevens nodig, maar gepseudonimiseerde gegevens.

▪ Jongeren Organisatie Beroepsonderwijs (JOB)

Tweejaarlijks wordt in opdracht van JOB door een onderzoeksbureau de JOB monitor gehouden waarbij per instelling de studententevredenheid wordt beoordeeld. Deze monitor vormt niet alleen voor aankomende studenten een keuze-instrument, maar biedt instellingen inzicht in de tevredenheid van hun studenten (ten opzichte van andere instellingen) en geeft ook het Ministerie van OCW beleidsinformatie. Hiervoor heeft JOB gepseudonimiseerde gegevens uit het register onderwijsdeelnemers nodig.

▪ Kenniscentrum voor studentenhuisvesting (Kences)

Jaarlijks worden in opdracht van Kences de Landelijke en Lokale Monitoren Studentenhuisvesting opgesteld. Deze rapporten zijn van groot belang voor de betrokken partijen omdat ze de bestaande huisvestingstekorten voor studenten (mbo en ho) weergeven en laten zien aan wat voor soort woningen behoefte is. Een significant tekort aan studentenhuisvesting heeft negatieve gevolgen voor de toegankelijkheid van het beroeps- en hoger onderwijs. Daarom is in 2018 een Landelijk Actieplan Studentenhuisvesting overeengekomen tussen overheden (Ministerie van BZK, Ministerie van OCW en gemeenten van studentensteden), onderwijsinstellingen, studentenhuisvesters en studentenorganisaties. Op basis van de onderzoeksrapporten worden door de genoemde partijen beslissingen genomen over onder meer de bouw van nieuwe studentenwoningen en de uitgifte van grond voor deze bouw. Voor dit soort onderzoeken zijn geen direct tot personen herleidbare gegevens uit het register nodig, en evenmin zijn gepseudonimiseerde gegevens nodig. Wat wel nodig is, zijn gegevens die op een bepaald niveau geaggregeerd zijn (aantallen mbo- en ho-studenten) in combinatie met bepaalde achtergrondkenmerken (zoals leeftijd, geslacht, regio, actuele onderwijsinstelling). Dit kan bij kleine aantallen onderwijsdeelnemers leiden tot herleidbaarheid naar een individu. De kans op herleidbaarheid is weliswaar klein en zelfs nog kleiner dan bij gepseudonimiseerde gegevens, maar is niet uit te sluiten. Gelet hierop moeten deze gegevens worden beschouwd als persoonsgegevens.

▪ Stichting Nuffic

In het wetsvoorstel wettelijke taken internationalisering onderwijs wordt aan de Stichting Nuffic een aantal wettelijke taken toegekend.¹⁸ Eén van deze taken is het fungeren als kennis- en expertisecentrum op het gebied van internationalisering binnen het onderwijs. Om deze taak goed te kunnen uitoefenen is het van belang dat Nuffic door middel van het uitvoeren van analyses en onderzoeken zelfstandig haar kennis op peil kan houden, nieuwe kennis en expertise kan opdoen, en deze kennis kan verspreiden. Onder de noemer «internationalisering in beeld» verzorgt Nuffic bijvoorbeeld een breed scala aan trendanalyses waarbij de deelname aan internationalisering zowel qua instroom van internationale studenten als de uitgaande mobiliteit van Nederlandse studenten wordt gemonitord. Als kennis- en expertisecentrum op het gebied van internationalisering in het onderwijs is het belangrijk dat Nuffic in de toekomst zelfstandig analyses en onderzoeken kan blijven uitvoeren op dat gebied, zodat inzicht bestaat in de wijze waarop internationalisering een plaats heeft in de verschillende onderwijssectoren. Deze onderzoeken dragen bij aan de kwaliteit en toegankelijkheid van het onderwijs. Voor deze onderzoeken zijn bepaalde, niet direct tot personen herleidbare, gegevens uit het register onderwijsdeelnemers noodzakelijk.¹⁹

▪ Sectorraden

Het gaat hier om de PO-Raad, VO-raad, MBO Raad, Vereniging Hogescholen (VH) en Vereniging van Universiteiten (VSNU). Sectorraden hebben gegevens uit het register onderwijsdeelnemers nodig voor twee doelen: onderzoeksactiviteiten (het eerste lid van het voorgestelde artikel 23 WRO) en ondersteuning van de onderwijsinstellingen en samenwerkingsverbanden passend onderwijs bij hun verantwoording (het derde lid van het voorgestelde artikel 23 WRO). De noodzaak voor gegevensverstrekking aan de sectorraden ligt in het volgende.

Conform hun statutaire doelen behartigen de sectorraden de belangen van de onderwijsinstellingen ten aanzien van de kwaliteit en ontwikkeling van het onderwijs in hun sector. Kenmerkend voor de organisatie van het Nederlandse onderwijsstelsel is dat de onderwijsinstellingen autonoom zijn. De sectorraden vertegenwoordigen bij gelegenheid de besturen in hun sector – zo voeren zij namens de besturen de cao-onderhandelingen – en zijn ook voor de Minister belangrijke gesprekspartners. Zij sluiten bestuurs- en sectorakkoorden met de Minister.

In een reeks van bestuurs- en sectorakkoorden uit de afgelopen jaren staat dat de sectorraden de instellingen in hun sector ondersteunen bij het afleggen van publieke verantwoording in de vorm van bepaalde informatieproducten zoals benchmarks, dashboards, landelijke overzichten met informatie over individuele instellingen en over de sector als geheel.²⁰ Op deze manier maken onderwijsinstellingen transparant welke resultaten zij behalen en welke keuzes zij maken, zodat zij daarover met hun directe omgeving in gesprek kunnen. Aan de hand van de informatieproducten kunnen ouders, leerlingen en studenten kennis nemen van de kwaliteit en doelmatigheid van het onderwijs. Ouders en onderwijsdeelnemers kunnen zich bij de schoolkeuze mede baseren op deze informatie.²¹ Daarnaast bevatten deze informatieproducten sturingsinformatie voor de eigen schoolbesturen en kunnen medezeggenschapsorganen en raden van toezicht ze eveneens benutten. Dat deze informatieproducten in een brede behoefte voorzien blijkt ook uit het feit dat de Tweede Kamer regelmatig deze benchmarks en dashboards gebruikt.²² Het Ministerie van OCW heeft bijgedragen aan de totstandkoming van sommige van deze informatieproducten door daar subsidie voor te verlenen.

De informatieproducten bieden een combinatie van informatie afkomstig uit het (centrale) register onderwijsdeelnemers, en informatie die afkomstig is van de onderwijsinstellingen zelf. Bij dit laatste valt bijvoorbeeld te denken aan gegevens over het aantal bevoegde leerkrachten of over ouder- of studenttevredenheid. Door de samenvoeging en publicatie van centrale en decentrale gegevens ontstaat een breed beeld van de betrokken onderwijsinstellingen.

De Algemene Rekenkamer stelde in 2015: «Het voordeel van websites als scholenopdekaart.nl is dat het voor stakeholders zoals leerlingen/studenten, ouders/verzorgers, leraren, medezeggenschapsorganen, of Raden van toezicht eenvoudig is om scholen en schoolbesturen te beoordelen en te benchmarken op hun prestaties.»²³

Voorts benadrukte de Onderwijsraad in haar advies Inzicht in en verantwoording van onderwijsgelden uit 2018 het belang van benchmarking en benchlearning voor de kwaliteit van het onderwijs.²⁴ De Tweede Kamer had de Onderwijsraad om advies gevraagd over de manier waarop de overheid het onderwijs bekostigt en de mate waarin onderwijsinstellingen zich over de bestedingen van publieke middelen verantwoorden. Aanleiding waren de discussies over de hoogte en systematiek van de bekostiging alsook over de doelmatigheid van en verantwoording over de bestedingen aan onderwijs. De Onderwijsraad schreef in haar advies onder meer dat het systeem van lumpsumbekostiging in het onderwijs, en een zwakke koppeling tussen bestedingen en doelen op het niveau van de instelling, ervoor zorgen dat het inzicht in de doelmatigheid van bestedingen ontbreekt. Benchmarking en benchlearning, zo stelde de raad, kunnen helpen dat inzicht te verbeteren – zowel op het niveau van individuele instellingen als op sector- en stelselniveau. Het kabinet onderschreef het advies en ook de sectorraden nemen het ter harte bij het doorontwikkelen van de sectorale benchmarks.²⁵ Ook dit gebeurt deels met subsidie van de Minister van OCW. De sectorraden hebben bij de doorontwikkeling van de benchmarks een eigen verantwoordelijkheid.

De sectorraden ondersteunen naast onderwijsinstellingen ook samenwerkingsverbanden passend onderwijs (als het gaat om primair en voortgezet onderwijs) bij hun verantwoording. Hiervoor hebben de sectorraden «Samenwerkingsverbanden op de kaart» ontwikkeld.²⁶

Om de hiervoor genoemde informatieproducten te kunnen maken hebben sectorraden gegevens nodig uit het register onderwijsdeelnemers. Hiervoor hebben zij echter geen gegevens nodig die direct tot een persoon (onderwijsdeelnemer) herleidbaar zijn, maar kunnen zij gepseudonimiseerde gegevens gebruiken.²⁷

Gepseudonimiseerde gegevens moeten worden beschouwd als persoonsgegevens en vallen onder het regime van de AVG. Dankzij de toegenomen technologische mogelijkheden en beschikbaarheid van gegevens, blijken bepaalde gegevens die in het verleden nog niet als tot een individu herleidbaar werden beschouwd, mogelijk wel tot een individu herleidbaar. Overweging 26 van de AVG geeft aan dat gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, als gegevens over een identificeerbaar individu moeten worden beschouwd. Deze ontwikkeling heeft er in 2018 toe geleid dat de bepalingen over het gebruik van gepseudonimiseerde gegevens uit de onderwijsregisters door de Minister en de inspectie zijn gemoderniseerd. Bij de Aanpassingswet Algemene verordening gegevensbescherming is in de onderwijswetgeving geëxpliciteerd dat bij het gebruik van de onderwijsregisters door de Minister en de inspectie voor de bekostiging van scholen, de begrotings- en beleidsvoorbereiding en het toezicht, persoonsgegevens kunnen worden verwerkt.²⁸ Het gaat hier om de zogenaamde «eencijferbestanden». Eencijferbestanden bevatten gepseudonimiseerde gegevens.²⁹

Gegevens worden via eencijferbestanden sinds een aantal jaren verstrekt aan de sectorraden voor onderzoeks- en benchmarkdoeleinden. Een belangrijke meerwaarde van de gegevens uit de eencijferbestanden is dat alle partijen (DUO, inspectie, scholen, sectorraden) dezelfde cijfers gebruiken. Eén van de informatieproducten waarvoor de bestanden in het po en vo worden gebruikt is «Scholen op de kaart», dat onderwijsinstellingen gebruiken om zich te verantwoorden over hun resultaten en bedrijfsvoering.³⁰ In het mbo gebeurt datzelfde in «MBO Transparant».³¹ Voor het hbo bestaat een sectordashboard en voor het wo een sectoroverzicht.³² Voorbeelden van «onderzoeksactiviteiten» zijn beleidsevaluaties en monitors naar de (administratieve) gevolgen van (geplande) ontwikkelingen in het hoger onderwijs zoals onderzoek naar de effecten van de langstudeerboete, invoering van het leenstelsel, en de start van de associate degree opleidingen, en infographics waarin raden informeren over, dan wel verantwoording afleggen over, onderwerpen die de sector als zodanig betreffen.

De informatieproducten die door de sectorraden worden gepubliceerd bevatten geen gegevens meer die tot personen herleidbaar zijn.

De erkenning dat de gepseudonimiseerde gegevens die de sectorraden ontvangen persoonsgegevens (kunnen) bevatten en het gegeven dat de WRO een gesloten verstrekkingenregime kent, heeft geleid tot het besef dat een expliciete wettelijke basis nodig is om dergelijke gegevens aan de sectorraden te kunnen verstrekken. In zoverre wordt met de voorgestelde wijziging van artikel 23 WRO niet beoogd om de huidige gegevensverwerkingen uit te breiden, maar om de informatiestructuur van een deugdelijke grondslag te voorzien.

Verruiming naar «doelmatigheid», «primair en voortgezet onderwijs»

De doelomschrijving in het nieuwe artikel 23 WRO wordt verruimd naar «doelmatigheid» en «primair en voortgezet onderwijs».

Het huidige wetsartikel 23 WRO ziet op onderzoeksactiviteiten naar de «kwaliteit en toegankelijkheid» van het mbo, vavo en ho. Regelmatig wordt er ook onderzoek verricht naar de doelmatigheid van het onderwijs. Het gaat hierbij bijvoorbeeld om onderzoeken naar ontwikkelingen in de mate waarin onderwijsdeelnemers opleidingen met succes doorlopen en het tijdsbestek waarbinnen zij dat doen. Een voorbeeld van onderzoek naar doelmatigheid in het hoger onderwijs is hoe lang studenten er over doen om een bachelordiploma te halen. Voorbeelden van onderzoeken naar doelmatigheid in het voortgezet onderwijs: hoeveel leerlingen stromen zonder vertraging van brugklas naar het derde leerjaar? Hoeveel leerlingen in het derde leerjaar halen zonder vertraging hun diploma? Voor dit soort onderzoeken naar «doelmatigheid» zijn (gepseudonimiseerde) persoonsgegevens uit het register nodig. Daarom is het begrip «doelmatigheid» toegevoegd aan het wetsartikel.

In het huidige wetsartikel zijn de sectoren primair en voortgezet onderwijs niet genoemd. De reden hiervan is dat in het verleden het Centraal Bureau voor de Statistiek (CBS) gegevens ten behoeve van onderzoeken naar de kwaliteit en toegankelijkheid van het onderwijs voor deze sectoren verstrekte. Echter, deze verstrekking is al geruime tijd niet meer toereikend om de onderzoeken tijdig en volledig te kunnen uitvoeren. DUO is daarentegen in staat om voor deze onderzoeken benodigde en relevante gegevens over de onderwijsdeelnemers te verstrekken en heeft deze gegevens bovendien eerder beschikbaar dan het CBS. De doelomschrijving van artikel 23 WRO wordt daarom uitgebreid met het primair en voortgezet onderwijs.

b. Waarborgen

Gelet op de uitbreiding van de kring van organisaties waaraan basisgegevens verstrekt kunnen worden en de doeluitbreiding, heeft de regering ervoor gekozen om een aantal extra (procedurele) vereisten in te bouwen, gericht op het waarborgen van een zo zorgvuldig mogelijke omgang met persoonsgegevens uit het register onderwijsdeelnemers en transparantie over de gegevensverstrekkingen. «Extra» procedurele waarborgen, omdat de betrokken organisaties als verwerkingsverantwoordelijken volgens de AVG ook al moeten voldoen aan de normale procedurele waarborgen die de AVG stelt, zoals dataminimalisatie en informatiebeveiliging.

Aanwijzing organisaties bij wet en bij amvb

Met het oog op de voorzienbaarheid, rechtszekerheid en privacybescherming is hier voor gekozen om de organisaties die in aanmerking komen voor gegevensverstrekking uit het register (a) op het niveau van de formele wet dan wel (b) op het niveau van de amvb aan te wijzen. Bij dit laatste is, conform het advies van de Raad van State, een zo nauwkeurig en concreet mogelijke delegatiegrondslag in het wetsvoorstel opgenomen, zodat duidelijk is welke organisaties daaronder vallen.

Aanwijzing organisaties bij wet

Wat betreft het doel «verantwoording» (derde lid van artikel 23 WRO) worden de organisaties die in aanmerking komen voor gegevensverstrekking limitatief in de wet zelf opgenomen. Het gaat om de vijf verenigingen van onderwijsinstellingen die voor hun leden optreden als werkgeversvertegenwoordiger bij collectieve arbeidsovereenkomsten en als vertegenwoordiger in overleg met de centrale overheid (de sectorraden). Zij ondersteunen, conform hun statutaire doelstellingen, hun leden reeds geruime tijd bij de verantwoording.

Daarnaast wordt voor het doel «onderzoeksactiviteiten» (eerste lid van artikel 23 WRO) een aantal organisaties bij wet aangewezen: naast instellingen in de zin van artikel 1.2 WHW worden ook de stichting Studiekeuze123, de stichting Kences en de stichting Nuffic in artikel 23 WRO opgenomen (wat betreft Nuffic gebeurt dit met de samenloopbepalingen van artikel IX). Zoals hierboven vermeld zijn de werkzaamheden van deze organisaties te beschouwen als van gewichtig maatschappelijk belang. Zij doen onderzoek dat bijdraagt aan de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs en aldus aan het goed functioneren van het onderwijsstelsel. Hierboven is ook reeds ingegaan op de noodzaak om persoonsgegevens uit het register aan deze organisaties te verstrekken.

Aanwijzing organisaties bij amvb

Bij het doel «onderzoeksactiviteiten» is de kring van organisaties die in aanmerking komt voor gegevensverstrekking breder dan bij het doel «verantwoording». Naast de in deze memorie van toelichting genoemde organisaties (sectorraden, JOB, Studiekeuze123, Kences en Nuffic) is het niet uitgesloten dat er andere organisaties in het onderwijsveld zijn die belangrijk en nuttig onderzoek (willen) doen naar de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs en daarvoor bepaalde gegevens uit het register nodig hebben. Tegelijkertijd dient de kring van organisaties vanuit het oogpunt van rechtszekerheid, voorzienbaarheid en privacybescherming goed begrensd te worden, zodat duidelijk is welke organisaties in aanmerking kunnen komen voor gegevensverstrekking. Naar aanleiding van het advies van de Raad van State zijn de criteria om bij amvb te kunnen worden aangewezen als ontvanger van gegevens voor onderzoeksdoeleinden daarom nader ingekaderd. Geregeld wordt dat het moet gaan om organisaties die:

• rechtspersoon zijn met volledige rechtsbevoegdheid en geen winstoogmerk hebben

• op landelijk niveau optreden als vertegenwoordigende organisaties van onderwijsdeelnemers, ouders, onderwijspersoneel of besturen van onderwijsinstellingen, en

• voldoende aannemelijk maken dat zij persoonsgegevens uit het register nodig hebben voor onderzoeksactiviteiten naar de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs.

In de artikelsgewijze toelichting op artikel 23 worden deze criteria verder toegelicht.

Tot slot gelden voor aanwijzing op het niveau van de amvb (en dus niet op een lager niveau) procedurele waarborgen³³ en wordt hiermee ook aangesloten bij de systematiek van de WRO (de organisaties die uit het register onderwijsdeelnemers op grond van de WRO persoonsgegevens ontvangen zijn benoemd in het BRO).

Besluit Minister

Aan een aangewezen organisatie kunnen pas persoonsgegevens worden verstrekt als dat noodzakelijk is voor de doelen die onder het eerste of derde lid van artikel 23 WRO vallen (onderzoeksactiviteiten of ondersteunen van onderwijsinstellingen bij hun verantwoording). Hiervoor is in het wetsvoorstel een waarborg ingebouwd: de gegevens kunnen pas worden verstrekt als de Minister van OCW daarover een besluit heeft genomen. Daarvoor moet de betreffende organisatie een verzoek indienen waarin wordt aangegeven voor welke doelen persoonsgegevens benodigd zijn, en om welke gegevens het gaat. Verder moet de organisatie aantonen dat de persoonsgegevens noodzakelijk zijn voor de beoogde doelen. De Minister neemt vervolgens een besluit. In het besluit wordt naast de doeleinden en de te verstrekken gegevens tevens de bewaartermijn voor de gegevens opgenomen. Op deze manier wordt gewaarborgd dat de gegevens niet langer dan noodzakelijk worden bewaard bij de betreffende organisatie.

Aan het besluit worden daarnaast beperkingen en voorschriften verbonden met het oog op een zorgvuldige en doelmatige gegevensverwerking. Te denken valt aan voorschriften over de wijze van verstrekking of het verlenen van medewerking aan privacy-audits. Het besluit wordt gepubliceerd in het Staatscourant waarmee de verstrekking kenbaar wordt voor een ieder. De Minister kan een verstrekkingsbesluit in ieder geval intrekken indien de aangewezen organisatie de gegevens voor een ander dan het beoogde doel gebruikt of de voorschriften en beperkingen die zijn verbonden aan het verstrekkingsbesluit niet naleeft.

Deze voorgestelde procedure in het nieuwe artikel 23 WRO betekent dat steeds getoetst zal worden of verstrekking van persoonsgegevens in dat specifieke geval nodig is. Bij de toetsing zal ook gekeken worden naar noodzakelijke gegevens en dataminimalisatie.

De hier beschreven procedure is niet alleen bevorderlijk voor een zorgvuldige omgang met persoonsgegevens, maar dient ook de transparantie.³⁴ Een hoofddoelstelling van de totstandbrenging van de WRO was om transparanter te maken wat er gebeurt met de gegevens over onderwijsdeelnemers die door de Minister worden verzameld.

Niet direct tot personen herleidbare gegevens

Een andere belangrijke waarborg is dat met het oog op dataminimalisatie het wetsvoorstel expliciet regelt dat geen direct tot personen herleidbare gegevens zullen worden verstrekt (voorgestelde artikel 23, vierde lid, WRO). Gegevens over naam, adres en geboortedatum worden niet verstrekt. Zoals hierboven uiteengezet zijn voor de meeste informatieproducten slechts gepseudonimiseerde gegevens nodig. Dit zijn gegevens waarin door DUO het persoonsgebonden nummer is vervangen door een ander nummer of code en zijn identificerende gegevens (naam, adres, en geboortedatum) verwijderd. De sleutel van de pseudonimisering is alleen in handen van DUO. Zoals uit het hierna volgende (onder c. Overwogen alternatieven) zal blijken, zijn gepseudonimiseerde gegevens nodig voor het kunnen «volgen» van leerlingen en studenten door de jaren heen. Zonder een pseudoniem is het «volgen» niet mogelijk en kunnen de hiervoor genoemde informatieproducten van de verschillende organisaties niet tot stand komen.

Daar waar het «volgen» van leerlingen of studenten echter niet nodig is, wordt voor een andere, nog minder privacygevoelige techniek gekozen dan pseudonimisering.³⁵ Dan kan worden volstaan met het aggregeren van gegevens op een bepaald niveau waarbij bepaalde achtergrondkenmerken worden gebruikt (zoals postcode,³⁶ leeftijd, geslacht, soort onderwijsinstelling). Het feit dat de gegevens zijn geaggregeerd maakt ze evenwel in dit geval niet tot geanonimiseerde gegevens. Met deze techniek is het namelijk niet geheel uitgesloten dat gegevens herleidbaar kunnen zijn tot een persoon: door de combinatie van de geaggregeerde gegevens met de achtergrondkenmerken kan herleidbaarheid tot een persoon ontstaan. De kans op herleidbaarheid is weliswaar klein (nog kleiner dan bij gepseudonimiseerde gegevens), maar herleidbaarheid is niet geheel uitgesloten. Gelet hierop moeten de gegevens worden beschouwd als persoonsgegevens en wordt daarom voor de verstrekking van die gegevens voorzien in een wettelijke grondslag.

c. Overwogen alternatieven

In de voorbereiding van dit wetsvoorstel zijn alternatieven onderzocht. In de eerste plaats is bekeken in hoeverre volstaan kan worden met verstrekking van geanonimiseerde (niet tot een individu herleidbare) gegevens uit het register onderwijsdeelnemers. Gebleken is echter dat geanonimiseerde gegevens niet toereikend zijn voor het maken van de informatieproducten. Hiervoor zijn gegevens nodig die indirect tot personen herleidbaar zijn. In de meeste gevallen zijn gepseudonimiseerde gegevens nodig. Dit kan worden geïllustreerd aan de hand van enkele voorbeelden.

Op het terrein van voortgezet onderwijs maakt de VO-raad «ManagementVensters». Dit product helpt scholen en schoolbesturen om hun onderwijskwaliteit te duiden door eigen historische trends, vergelijkingsgroepen en de normen en berekeningen van de inspectie te tonen. Juist voor historische trends en vergelijkingsgroepen is het nodig om onderwijsdeelnemers een aantal jaren te kunnen «volgen» (dat wil zeggen hun voortgang in het onderwijs over een periode van een aantal jaren te kunnen berekenen). Een ander voorbeeld is het geven van inzicht in bijvoorbeeld studiesucces of doorstroom van onderwijsdeelnemers naar andere sectoren. Wat dit laatste betreft kan meer specifiek worden verwezen naar vergelijkende trendanalyses naar de toegankelijkheid van het hbo voor gediplomeerde mbo’ers. Ook hiervoor is het nodig is om onderwijsdeelnemers gedurende een aantal jaren te kunnen «volgen» in de gegevenssets. Hiervoor is een identificerend kenmerk (pseudoniem) nodig en kan niet volstaan worden met geanonimiseerde gegevens. Het kunnen «volgen» van onderwijsdeelnemers door de jaren heen is ook noodzakelijk voor de taken van Studiekeuze123: voor het vaststellen van het percentage van een cohort eerstejaars studenten dat doorstroomt naar het tweede jaar of een diploma haalt binnen vier jaar, moet op individueel niveau zichtbaar zijn in het bestand waar de studenten zich per jaar in het onderwijs bevinden. Gedetailleerde, direct tot de persoon herleidbare gegevens zijn niet nodig, maar wel moet duidelijk zijn dat het door de jaren heen om dezelfde onderwijsdeelnemer gaat (derhalve gepseudonimiseerd). Dat geldt ook voor studiekeuze-indicatoren zoals het aandeel mbo-studenten dat vanuit een mbo-domein kiest voor een bepaalde sector in het hbo.

Zou DUO van jaar tot jaar slechts geanonimiseerde bestanden verstrekken aan de aangewezen organisaties, dan zou dus niet meer duidelijk zijn welke gegevens uit verschillende jaren op dezelfde onderwijsdeelnemers betrekking hebben. Er zou zodanig informatieverlies optreden, dat de wettelijke doelen zoals beschreven in artikel 23 WRO (onderzoeksactiviteiten naar de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs en ondersteuning van onderwijsinstellingen en samenwerkingsverbanden bij de verantwoording) niet meer bereikt zouden kunnen worden. Hoewel de informatieproducten zelf geen gegevens meer bevatten die direct of indirect tot personen herleidbaar zijn (zij tonen gegevens in geanonimiseerde vorm) zijn er in aanleg – om tot deze informatieproducten te kunnen komen – dus wel gepseudonimiseerde gegevens nodig.³⁷

Op dit moment bewerken de aangewezen organisaties zelf de gepseudonimiseerde gegevens tot de geanonimiseerde gegevens die in de informatieproducten getoond worden. Er is daarom eveneens gekeken naar een tweede alternatief, waarbij deze bewerkingen niet meer door de aangewezen organisaties zelf maar door DUO zouden worden gedaan. DUO zou dan op basis van specificaties van de aangewezen organisatie van wat zij willen tonen in de informatieproducten, de gepseudonimiseerde gegevens bewerken tot geanonimiseerde informatie (halfproducten) die gebruikt kan worden in de informatieproducten. Zo zouden bijvoorbeeld de geanonimiseerde gegevens waarmee onderwijsinstellingen zich publiek verantwoorden via websites zoals scholen op de kaart.nl, door DUO berekend en aan de sectororganisaties geleverd kunnen worden, waarna de betrokken sectororganisatie ze samenvoegt met gegevens afkomstig van de instelling zelf (bijvoorbeeld over oudertevredenheid) en publiceert. Dit zou vanuit privacy-oogpunt bepaalde voordelen hebben, aangezien er in dat geval geen persoonsgegevens meer zouden hoeven te worden verstrekt aan de betrokken private organisaties, en de persoonsgegevens bij de overheid (DUO) zouden blijven.

Dit alternatief betekent dat DUO extra activiteiten zou dienen te verrichten. Het gaat onder meer om het bewerken van gepseudonimiseerde gegevens tot geanonimiseerde gegevens «op maat» (conform bepaalde specificaties van de sectororganisaties), en dat zowel op sectorniveau als op het niveau van de individuele onderwijsinstellingen, en levering daarvan. Daarnaast gaat het om het beantwoorden van vragen van onderwijsinstellingen en sectororganisaties naar aanleiding van de geleverde gegevens.

Deze extra activiteiten zouden bovendien een structureel karakter dragen, aangezien de informatieproducten waarvoor zij bedoeld zouden zijn eveneens structureel van aard zijn.

Er is niet gekozen voor dit alternatief. De informatieproducten spelen, zoals hiervoor aan de orde is gekomen, een rol in de publieke verantwoording door de onderwijsinstellingen. Met de informatieproducten maken onderwijsinstellingen voor een breed publiek een aantal zaken transparant, bijvoorbeeld welke resultaten zij bereiken. De verantwoordelijkheid voor het afleggen van verantwoording ligt bij (het bevoegd gezag van) de onderwijsinstellingen; de onderwijswetgeving gaat hier ook van uit.³⁸ De sectororganisaties zijn verenigingen van onderwijsinstellingen en ondersteunen hen bij hun taken, waaronder die op het gebied van de publieke verantwoording. Wanneer DUO voor de informatieproducten gegevens (halfproducten) zou produceren, zou het daarmee een bepaalde bijdrage leveren aan de publieke verantwoording door de onderwijsinstellingen. Dat past niet goed bij de rolverdeling tussen overheid, onderwijsinstellingen en sectororganisaties.

Het gaat bovendien om zeer arbeidsintensieve activiteiten. De vragen die onderwijsinstellingen thans aan de sectororganisaties stellen over de cijfers in de informatieproducten zijn talrijk en specifiek. Een goede beantwoording van deze vragen vereist veel kennis van (de behoefte van) onderwijsinstellingen, kennis die bij DUO minder aanwezig is dan bij de sectororganisaties. Ook vanuit een oogpunt van efficiënte inzet van middelen en kennis is dit daarom geen geschikt alternatief. In dit verband wordt ook opgemerkt dat terughoudendheid is geboden als het gaat om het toewijzen van nieuwe taken aan DUO, zoals is aangegeven in de brief van 8 oktober 2019 aan de Tweede Kamer.³⁹

Tegenover voordelen uit privacy oogpunt zijn derhalve nadelen verbonden aan het beschreven alternatief, met name op het gebied van de rolverdeling tussen overheid, onderwijsinstellingen en sectororganisaties, en tevens op het gebied van de uitvoerbaarheid (efficiënte inzet van kennis en middelen). Gelet daarop, en gelet op de wettelijke waarborgen ter beperking van privacy-risico’s die ik hiervoor heb beschreven, ben ik van mening dat in redelijkheid van dit alternatief kan worden afgezien.

In de derde plaats is het alternatief overwogen om een nieuwe (overheids)organisatie op te richten die, in plaats van DUO, de bewerkingen van de gegevens zou doen en de geanonimiseerde gegevens «op maat» zou verstrekken aan de aangewezen organisaties. Daarmee zouden de persoonsgegevens bij de overheid blijven. Echter, ook in dit alternatief zou de overheid een bijdrage leveren aan de publieke verantwoording door onderwijsinstellingen door levering van gegevens voor informatieproducten. Dat zou evenmin passen bij een goede rolverdeling tussen overheid, onderwijsinstellingen en sectororganisaties. Daarnaast mag bij een nieuw op te richten organisatie in vergelijking met DUO minder expertise op het gebied van het register onderwijsdeelnemers en het onderwijsveld aanwezig worden geacht. Daarmee wordt ook dit geen geschikt alternatief geacht.

Tot slot is gekeken naar een vierde alternatief, waarbij de leerling- en studentgegevens door de onderwijsinstellingen (rechtstreeks) aan de desbetreffende private organisaties zouden worden verstrekt. Dit vraagt de totstandbrenging van vele dataverbindingen voor het uitwisselen van de (persoons)gegevens tussen de onderwijsinstellingen en de private organisaties. Het gaat hierbij om duizenden onderwijsinstellingen. Hiermee zijn bepaalde informatiebeveiligingsrisico’s gemoeid. Dit maakt dat aangenomen mag worden dat dit alternatief – in vergelijking met de in dit wetsvoorstel voorgestelde verstrekking door DUO – niet minder nadelig is voor de betrokkenen (de onderwijsdeelnemers op wie de gegevens betrekking hebben). Daarmee is ook dit geen volwaardig alternatief.

3.3.3. Gegevensverstrekking aan samenwerkingsverbanden passend onderwijs

Op grond van artikel 18a van de Wet op het primair onderwijs (WPO) en artikel 17a van de Wet op het voortgezet onderwijs (WVO) is elke school aangesloten bij een regionaal dan wel landelijk samenwerkingsverband. Samenwerkingsverbanden passend onderwijs zijn sinds 1 augustus 2014 verantwoordelijk voor een dekkend aanbod voor leerlingen met een ondersteuningsbehoefte in de regio.⁴⁰ De samenwerkingsverbanden hebben als taak:

• het vaststellen van een ondersteuningsplan;

• het verdelen en toewijzen van ondersteuningsmiddelen en ondersteuningsvoorzieningen aan de scholen;

• het beoordelen van de toelaatbaarheid van een leerling tot een speciale school voor basisonderwijs, een school voor (voortgezet) speciaal onderwijs of een school voor praktijkonderwijs, dan wel of een leerling aangewezen is op leerwegondersteunend onderwijs, en

• het adviseren van scholen over de ondersteuningsbehoefte van een leerling.⁴¹

De huidige WRO en het BRO moeten in een aantal opzichten worden gewijzigd om de gegevensverstrekking aan de samenwerkingsverbanden goed te regelen. In de eerste plaats ontbreekt in de WRO en het BRO een omschrijving van het doel waarvoor de samenwerkingsverbanden gegevens mogen ontvangen (doelbinding). In de tweede plaats bevat de huidige WRO geen expliciete grondslag om bijzondere persoonsgegevens (gegevens over gezondheid) aan samenwerkingsverbanden te verstrekken. In de derde plaats volstaat de in artikel 30 BRO genoemde gegevensset niet om de taken van de samenwerkingsverband goed te ondersteunen.

Met het wetsvoorstel (en een onderliggende wijziging van het BRO) wordt beoogd om de informatiepositie van de samenwerkingsverbanden te versterken zodat zij in staat worden gesteld hun wettelijke taken beter te kunnen uitvoeren. Deze wijziging is aangekondigd in een brief van de Minister voor Basis- en Voortgezet Onderwijs en Media aan de Tweede Kamer.⁴²

Hierna wordt nader ingegaan op de hiervoor genoemde drie wijzigingen.

Doelbinding

Het huidige artikel 24 WRO en artikel 30 BRO bieden een grondslag voor het verstrekken van enkele basisgegevens van leerlingen aan samenwerkingsverbanden. In artikel 30 BRO zijn evenwel geen specifieke doelen van de samenwerkingsverbanden benoemd waarvoor deze gegevensverstrekking plaatsvindt. Met dit wetsvoorstel wordt het doel alsnog toegevoegd aan de WRO, te weten: de wettelijke taak van het samenwerkingsverband om ondersteuningsmiddelen en -voorzieningen te verdelen en toe te wijzen aan de scholen in het samenwerkingsverband. Ook het BRO zal hieraan worden aangepast.

Bijzondere persoonsgegevens – gegevens over gezondheid

In de WPO en WVO is geregeld dat samenwerkingsverbanden bevoegd zijn om gegevens over gezondheid te verwerken voor zover dit noodzakelijk is voor de wettelijke taken van het samenwerkingsverband.⁴³ Het huidige artikel 11 WRO bevat een limitatieve opsomming van organisaties aan wie gegevens over gezondheid worden verstrekt, en benoemt voor welke doelen dit geschiedt. Dit artikel voorziet (nog) niet in verstrekking van bijzondere persoonsgegevens aan de samenwerkingsverbanden.

Het kunnen beschikken over bepaalde gegevens over gezondheid uit het register onderwijsdeelnemers is voor de samenwerkingsverbanden wel noodzakelijk voor de uitvoering van de bovengenoemde taak met betrekking tot de verdeling en toewijzing van ondersteuningsmiddelen. ⁴⁴ Het gaat dan bijvoorbeeld om de duur van de toelaatbaarheidsverklaring en de bekostigingscategorie die geldt voor een leerling in het (voortgezet) speciaal onderwijs (deze categorie staat voor de mate van ondersteuning die de leerling nodig heeft en kent drie niveaus: hoog, midden of laag). Dit zijn gegevens waaruit kan worden afgeleid dat bepaalde leerlingen een ondersteuningsbehoefte hebben in het onderwijs en die op grond hiervan als gegevens over gezondheid kunnen worden aangemerkt. Zonder genoemde gegevens kunnen de samenwerkingsverbanden hun taak met betrekking tot het verdelen van middelen niet naar behoren uitvoeren. Met dit wetsvoorstel worden de samenwerkingsverbanden daarom toegevoegd aan artikel 11 WRO als organisaties die gerechtigd zijn om gegevens over gezondheid uit het register te ontvangen en wordt het doel aangeduid waarvoor deze gegevensverstrekking plaatsvindt.

Uitbreiding te verstrekken gegevens(set)

De gegevensset die samenwerkingsverbanden op grond van het BRO uit het register ontvangen bestaat uit het registratienummer van de onderwijsinstelling en het samenwerkingsverband, de datum van in- en uitschrijving van de leerling, de begin- en einddatum en het volgnummer van de toelaatbaarheidsverklaring, en de bekostigingscategorie. Gebleken is dat deze set gegevens niet geheel toereikend is voor de uitvoering van de wettelijke taak met betrekking tot de verdeling van ondersteuningsmiddelen. Dit kan aan de hand van enkele voorbeelden worden geïllustreerd.

De groep leerlingen waarover samenwerkingsverbanden gegevens mogen ontvangen is op dit moment kleiner dan de groep waarover zij gegevens nodig hebben. De in het BRO geregelde gegevens hebben betrekking op leerlingen met een toelaatbaarheidsverklaring tot het (v)so, praktijkonderwijs of speciaal basisonderwijs. De samenwerkingsverbanden ondersteunen gevarieerde soorten (onderwijs)instellingen: zowel reguliere als speciale scholen. Er is daarmee de behoefte om over gegevens te beschikken over leerlingen met een toelaatbaarheidsverklaring, maar ook over andere leerlingen met een extra ondersteuningsbehoefte (gedacht kan worden aan onder meer leerlingen in het regulier onderwijs voor wie een ontwikkelingsperspectief is vastgesteld). Dit met het oog op de verdeling van de ondersteuningsmiddelen over de scholen.

Door het samenwerkingsverband kan bijvoorbeeld worden bepaald dat bij de toekenning van middelen aan reguliere scholen voor voortgezet onderwijs mede wordt gekeken naar het aantal leerlingen dat instroomt vanuit het speciaal basisonderwijs (sbo), speciaal onderwijs (so) en voortgezet speciaal onderwijs (vso). Hierbij kan worden bepaald dat de vo-scholen voor elke leerling die uit deze sectoren is ingestroomd, een extra bedrag toegekend krijgen. Via het Dashboard passend onderwijs krijgen samenwerkingsverbanden momenteel geaggregeerde (geanonimiseerde) informatie. Hierbij zijn kleine aantallen leerlingen (bij 1 tot en met 4) afgeschermd zodat de gegevens niet tot personen herleidbaar zijn. De samenwerkingsverbanden beschikken niet over de exacte aantallen leerlingen die zijn ingestroomd vanuit het sbo, so of vso, maar slechts over het gegeven of het er minder dan vijf zijn. Als het om één leerling gaat en het samenwerkingsverband betaalt de betreffende school voor vier leerlingen, dan krijgt de school een te hoog bedrag. Met preciezere informatie over de aantallen leerlingen met een ondersteuningsbehoefte, zijn de samenwerkingsverbanden beter in staat te begroten en daarmee de middelen doelmatig te verdelen. Een betere verdeling van middelen leidt eveneens tot een betere verantwoording.⁴⁵

Het voornemen is daarom om in het BRO de aan de samenwerkingsverbanden te verstrekken set gegevens opnieuw vast te stellen. Bij deze wijziging van het BRO zal de noodzaak van aanvullende gegevens nader worden onderbouwd.

3.3.4. Verstrekking aan pensioenuitvoerders

Dit wetsvoorstel regelt dat pensioenuitvoerders basisgegevens met het persoonsgebonden nummer uit het register verstrekt krijgen voor het uitkeren van een (half)wezenpensioen aan wezen of aan de ouder of verzorger van halfwezen.

In veel pensioenregelingen zijn afspraken gemaakt over het uitkeren van een wezenpensioen aan (half)wezen bij overlijden van één of beide ouders. Het wezenpensioen heeft de functie van een inkomensvervanging bij overlijden van de pensioendeelnemer, zodat een (half)wees bij de voorzetting van zijn school of opleiding minder nadelige (financiële) gevolgen van het overlijden van zijn ouder(s) zal ondervinden.

Een kind heeft op grond van artikel 26 van de Algemene nabestaandenwet recht op een wezenuitkering als het door het overlijden van een verzekerde ouderloos is geworden, zolang het de leeftijd van 16 jaar nog niet heeft bereikt. Als een kind na zijn 16e jaar nog onderwijs volgt of studeert, heeft het gedurende deze tijd tot maximaal 21 jaar nog recht op een uitkering. Deze wezenuitkering wordt verstrekt door de SVB. Op basis van de pensioenregeling keren pensioenuitvoerders een (half)wezenpensioen uit aan een kind of aan zijn andere ouder of verzorger bij overlijden van één of beide ouders.

De SVB keert een wezenuitkering uit aan volle wezen. Pensioenuitvoerders daarentegen, keren op basis van hun pensioenregeling aan zowel halfwezen als volle wezen uit. De SVB keert jaarlijks aan ongeveer 500 kinderen uit. Daarnaast keren pensioenuitvoerders jaarlijks een (half)wezen pensioen aan ongeveer 7200 (half)wezen uit. De SVB ontvangt uit het register onderwijsdeelnemers reeds onderwijsgegevens die nodig zijn voor de toekenning van wezenuitkeringen als bedoeld in de Algemene nabestaandenwet. Deze gegevensverstrekking is geregeld in het BRO.⁴⁶ Dit wetsvoorstel ligt in het verlengde van deze regeling.

Pensioenuitvoerders ontvangen voor de uitvoering van hun taak om het (half)wezenpensioen uit te keren informatie van de gemeente uit de basisregistratie personen.⁴⁷ Daarnaast heeft een pensioenuitvoerder informatie nodig waaruit blijkt dat een (half)wees naar school gaat of een opleiding volgt. Deze informatie kan zonder tussenkomst van de onderwijsdeelnemer of zijn ouder of verzorger(s) rechtstreeks vanuit het register onderwijsdeelnemers worden verstrekt. Voor deze gegevensverstrekking is vanwege het gesloten verstrekkingenregime van de WRO echter wel een wettelijke basis nodig.

Er zijn verschillende redenen om de gegevensverstrekking aan de pensioenuitvoerders in de wet te regelen. Allereerst kan er vanuit worden gegaan dat de onderwijsdeelnemer wegens het verlies van zijn ouder(s) (tijdelijk) een verminderd doenvermogen heeft. Zonder deze gegevensverstrekking moet een onderwijsdeelnemer jaarlijks zelf een bewijs van inschrijving bij een onderwijsinstelling aan de pensioenuitvoerder overleggen. Dat kan door middel van een jaarlijkse schoolverklaring of een formulier dat door de onderwijsinstelling moet worden ondertekend. De onderwijsdeelnemer is daardoor voor het volledig maken van zijn aanvraag voor zijn (half)wezenpensioen afhankelijk van de voortvarende medewerking van de onderwijsinstelling. Als door de onderwijsdeelnemer niet of niet tijdig een bewijs van inschrijving of uitschrijving wordt overgelegd, heeft dat gevolgen voor de wezenpensioenuitkering. De impact hiervan kan groot zijn als een onderwijsdeelnemer niet tijdig doorgeeft dat hij geen onderwijs of studie meer volgt en het wezenpensioen daardoor (deels) moet worden teruggevorderd. Het invullen van een formulier van de pensioenuitvoerder door de onderwijsinstelling heeft tevens impact op de privacy van de onderwijsdeelnemer. Bij het volgen van deze procedure is de onderwijsinstelling immers op de hoogte dat de (half)wees in aanmerking wil komen voor een wezenpensioen. Met de rechtstreekse verstrekking uit het register onderwijsdeelnemers aan een pensioenuitvoerder worden de administratieve lasten voor de onderwijsdeelnemer en de onderwijsinstelling weggenomen. Bovendien is een verstrekking uit het register onderwijsdeelnemers betrouwbaar waardoor een bijdrage wordt geleverd aan het tegengaan van fraude (met schoolverklaringen).

Gegevens die tussen DUO en de pensioenuitvoerders zullen worden uitgewisseld, worden uitgewerkt in het BRO. Voor de uitkering van een (half)wezenpensioen is voor de pensioenuitvoerder van belang te weten of de onderwijsdeelnemer voltijd, deeltijd of duaal onderwijs volgt of een studie volgt. Bij het vaststellen van welke gegevens in het BRO worden vastgelegd, zal met het oog op de bescherming van de persoonlijke levenssfeer van de onderwijsdeelnemer, dataminimalisatie worden toegepast. Dit houdt in dat sprake zal zijn van de minimale datavariant, inhoudende dat de informatie slechts ziet op de melding of de onderwijsdeelnemer is ingeschreven bij een onderwijsinstelling en welke opleidingsvorm de opleiding heeft (voltijd, deeltijd of duaal). Er worden verder geen gegevens verstrekt over bijvoorbeeld bij welke onderwijsinstelling een opleiding wordt genoten, noch welke opleiding wordt gevolgd.

3.3.5. Verstrekking aan overheidsinstellingen in België

Het voorgestelde artikel 24b WRO biedt de grondslag om basisgegevens te verstrekken aan overheidsinstellingen in België die belast zijn met het toezicht op de naleving van de leerplichtwetgeving. Deze grondslag betreft de verstrekking van inschrijfgegevens die nodig zijn voor de handhaving van absoluut verzuim. Absoluut verzuim is het niet bij een school of instelling ingeschreven zijn van jongeren die vallen onder de Belgische leerplichtwetgeving.

a. Probleem en noodzaak gegevensverstrekking

In de grensregio’s met België zitten Belgische leerlingen op scholen in Nederland en vice versa. Dit levert op dit moment voor beide landen problemen op met het registreren en controleren van verzuim.

De Nederlandse leerplichtambtenaren zijn slechts bevoegd hun taak uit te oefenen ten aanzien van de in Nederland woonachtige leerlingen.⁴⁸ Zij zijn niet bevoegd ten aanzien van de in België woonachtige (Nederlandse) leerlingen die in Nederland naar school gaan. Voor de Belgische toezichthouder (Agentschap voor Onderwijsdiensten (AGODI), onderdeel van het Vlaamse Ministerie van Onderwijs) geldt ook dat deze slechts bevoegd is voor in België woonachtige leerlingen. Een leerling die in België woont, maar op een Nederlandse school staat ingeschreven (en deze ook bezoekt) voldoet weliswaar aan de Belgische leerplichtwet,⁴⁹ maar de Belgische toezichthouder heeft daar geen zicht op. Op dit moment krijgt het AGODI onvoldoende informatie over deze inschrijvingen en kan dus zijn wettelijke taken in het kader van de naleving van de Belgische leerplichtwet niet goed uitvoeren.

De huidige praktijk ten aanzien van het verstrekken van gegevens is niet sluitend en levert Nederlandse scholen, de toezichthouder en ouders veel administratieve lasten op. Momenteel moeten ouders van de in België woonachtige kinderen (jaarlijks) op eigen initiatief aantonen dat hun kind les volgt in het buitenland. Hiervoor moeten ouders de volgende stappen zetten. Ten eerste moeten ouders een inschrijfbewijs van de (in dit geval) Nederlandse school waar het kind staat ingeschreven aanvragen. Ten tweede moeten ouders een formulier invullen over leerplichtcontrole en die opsturen naar het onderdeel Leerplichtcontrole van het AGODI, waarbij tevens het inschrijfbewijs moet worden toegevoegd.⁵⁰ In de praktijk levert dit veel administratieve lasten op voor de betrokken Nederlandse scholen die jaarlijks inschrijfbewijzen aan ouders moeten verstrekken. Daarnaast blijkt dat ouders dit zelden op eigen initiatief doen, waardoor het AGODI de ouders moet aanschrijven dat zij niet aan de leerplicht (lijken) te voldoen. Hierdoor ontvangt het AGODI niet tijdig de gegevens die zij nodig heeft voor de uitvoering van haar wettelijke taak: het handhaven van de leerplicht en het terugdringen van absoluut verzuim. Om zijn taak goed te kunnen uitvoeren heeft het AGODI inschrijfgegevens van DUO nodig van de in België woonachtige leerlingen die bij een Nederlandse school staan ingeschreven. Met dit wetsvoorstel wordt beoogd om voor die gegevensverstrekking door DUO aan het AGODI een wettelijke grondslag te bieden.

Het voorgaande toont de noodzaak aan voor het Belgische AGODI om gegevens te verkrijgen voor zijn goede taakuitvoering. Hiermee is echter niet alleen een Belgisch belang gediend, maar ook een Nederlands belang en meer in het algemeen het belang van kinderen die – ongeacht in welke grensregio ze wonen – recht hebben op (toegang tot het) onderwijs.⁵¹ Het doel is om ervoor te zorgen dat België beter in staat wordt gesteld om de leerplicht te kunnen controleren en het verzuim op basis hiervan te kunnen terugdringen. Dit draagt bij aan de verwezenlijking van het recht op onderwijs, omdat ook over grenzen heen ervoor gezorgd moet worden dat leerlingen onderwijs krijgen.

Het Nederlandse belang bij het verstrekken van de gegevens aan België ligt in het volgende. Allereerst gaat het hier voor een deel om Nederlandse kinderen die net over de grens in België wonen.⁵² De Nederlandse staat heeft op grond van een aantal internationale verdragen de (positieve) verplichting om zijn onderdanen actief en effectief toegang tot het onderwijs te verlenen.⁵³ Dit betekent ook (het mogelijk maken van) effectief toezicht op de naleving van de leerplichtwetgeving zodat Nederlandse kinderen daadwerkelijk onderwijs krijgen waar ze recht op hebben.

Daarnaast ligt het Nederlandse belang in het verminderen van administratieve lasten voor Nederlandse scholen. De gevolgen van dit voorstel zijn dat voortaan DUO aan AGODI de inschrijfgegevens van in België woonachtige leerlingen die in Nederland staan ingeschreven zal verstrekken uit het register onderwijsdeelnemers. De scholen hoeven dan niet meer de inschrijfbewijzen aan de ouders te verstrekken.

Tot slot speelt hier de wederkerigheid: Nederland heeft een belang bij het verkrijgen van gegevens over leerlingen die in Nederland wonen, maar in België naar school gaan.⁵⁴ De leerplichtambtenaren in Nederland zijn immers bevoegd en moeten de Leerplichtwet 1969 handhaven ten aanzien van kinderen die in Nederland wonen. Zij zouden hun taken effectiever kunnen uitoefenen als zij voldoende en tijdige gegevens van de Belgische overheidsinstellingen krijgen over leerlingen die op een Belgische school staan ingeschreven. Met de Belgische autoriteiten is inmiddels verkend hoe overeenkomstige gegevensverstrekking aan Nederland kan worden geregeld.⁵⁵

b. Doel

Zoals hierboven ook vermeld, is het doel om over landsgrenzen heen ervoor te zorgen dat (Nederlandse) leerlingen die recht hebben op onderwijs en leerplichtig zijn volgens de Belgische en Nederlandse wetgeving onderwijs krijgen en dat absoluut verzuim wordt teruggedrongen. Door de benodigde gegevens uit het register onderwijsdeelnemers te verstrekken aan het AGODI krijgt deze een sluitend beeld van het absoluut verzuim van in België woonachtige leerlingen en is in staat tijdig actie te ondernemen op het terugdringen van het verzuim. In het kader van de wederkerigheid zullen ook de Nederlandse leerplichtambtenaren de noodzakelijke gegevens van België krijgen om het toezicht op de naleving van de LPW ten aanzien van de in Nederland wonende kinderen in de grensregio met België goed te kunnen uitvoeren.

Daarnaast wordt beoogd om de administratieve lasten voor Nederlandse scholen, het AGODI en ouders te verminderen. Als de benodigde gegevens uit het register onderwijsdeelnemers rechtstreeks aan het AGODI worden verstrekt, is het niet meer nodig dat ouders inschrijfbewijzen opvragen, dan wel formulieren (inclusief inschrijfbewijzen) invullen. Nederlandse scholen hoeven de inschrijfbewijzen niet meer aan de ouders te verstrekken, aangezien de gegevens al in het register onderwijsdeelnemers zijn opgenomen en van daaruit aan het AGODI verstrekt zullen worden.⁵⁶ Het AGODI hoeft ouders niet meer aan te schrijven om hen te wijzen op de naleving van de leerplicht en hoeft de genoemde formulieren en inschrijfbewijzen niet langer te verwerken en te controleren.

c. Waarborgen

Met het oog op een rechtmatige en zorgvuldige gegevensverstrekking voorziet het wetsvoorstel in een aantal waarborgen. In lijn met de systematiek van de WRO worden de aanwijzing van de Belgische overheidsinstelling (AGODI) en de te verstrekken gegevens op het niveau van de amvb (het BRO) geregeld (en dus niet op een lager niveau). Dit vanwege de waarborgen waarmee de totstandkoming van een amvb is omkleed.⁵⁷ Daarnaast zullen de te verstrekken gegevens worden beperkt tot de basisgegevens (identificerende gegevens en de inschrijfgegevens) die enkel noodzakelijk zijn voor de taakuitvoering van de betreffende overheidsinstelling. Tot slot is hier van belang dat het gaat om gegevensuitwisseling met een lidstaat van de EU waar de eisen en waarborgen van de AVG over de verwerking van persoonsgegevens van toepassing zijn. Bij de (verdere) verwerking van de verstrekte gegevens over leerlingen zijn de overheidsinstellingen in België gebonden aan de eisen van de AVG.

3.4. Overige verwerkingen

3.4.1 Verlenging bewaartermijn

Met het wetsvoorstel wordt artikel 30 WRO gewijzigd in verband met het volgende:

• Basisgegevens van onderwijsdeelnemers in het hoger onderwijs die voor vijftig jaar mogen worden gebruikt ten behoeve van de vaststelling van de bekostiging van onderwijsinstellingen voor hoger onderwijs, kunnen voortaan eveneens worden gebruikt voor het bepalen van de hoogte van het wettelijk collegegeld dat onderwijsdeelnemers verschuldigd zijn.

• Het persoonsgebonden nummer wordt voortaan voor vijftig jaar bewaard ten behoeve van de vaststelling van de bekostiging van onderwijsinstellingen voor hoger onderwijs, alsmede voor het bepalen van de hoogte van het wettelijk collegegeld dat onderwijsdeelnemer verschuldigd is.

Op grond van de WRO worden basisgegevens en het persoonsgebonden nummer tot vijf jaar na de laatste inschrijving van de onderwijsdeelnemer bewaard. Daarna worden de gegevens verwijderd. Voor een beperkt aantal gegevens geldt een langere bewaartermijn. Dit betreft enkele specifieke gegevens over onderwijsdeelnemers in het hoger onderwijs, die tot vijftig jaar na de laatste inschrijving worden bewaard. In artikel 30, tweede lid, WRO zijn deze gegevens benoemd. Deze langere bewaartermijn is opgenomen om de bekostiging van ho-instellingen correct te laten verlopen. Voor de bekostiging is namelijk relevant of de onderwijsdeelnemer in het verleden eerder een (bekostigde) ho-opleiding heeft gevolgd. Artikel 30, derde lid, WRO biedt de grondslag voor deze langere bewaartermijn voor het bekostigingsdoel. Aangezien het mogelijk is een heel leven lang te leren en studeren en deze mogelijkheid ook wordt benut, worden enkele basisgegevens bewaard gedurende het bekostigingsproces.

Gebleken is dat het gedurende vijftig jaar bewaren van deze basisgegevens niet alleen nodig is voor een correct verloop van het bekostigingsproces, maar ook noodzakelijk is om de hoogte van het collegegeld dat de student verschuldigd is op een juiste manier vast te kunnen stellen. In de huidige collegegeldsystematiek wordt een onderscheid gemaakt naar wettelijk collegegeld en instellingscollegegeld.⁵⁸ Om in aanmerking te komen voor wettelijk collegegeld geldt als voorwaarde dat de betrokkene sinds 1 september 1991 niet eerder een bachelor-, master- of associate degree-graad heeft behaald.⁵⁹ Het wettelijk collegegeld kan vervolgens worden onderverdeeld in volledig, gedeeltelijk en verlaagd wettelijk collegegeld. Sinds 1 september 2018 geven artikel 7.45a, vijfde lid, van de WHW en artikel 2.4c van het Uitvoeringsbesluit WHW 2008 aan wanneer een student in aanmerking komt voor de betaling van verlaagd collegegeld.⁶⁰ Eén van die voorwaarden is dat de student «blijkens het register onderwijsdeelnemers sinds 1 september 1991 niet eerder ingeschreven is geweest voor een opleiding in het hoger onderwijs aan een instelling».⁶¹

De verantwoordelijkheid voor het bepalen van de hoogte van het collegegeld ligt primair bij de onderwijsinstellingen. Voor het bepalen van de juiste hoogte van het collegegeld heeft DUO een service ontwikkeld voor de onderwijsinstellingen op basis van informatie die DUO heeft over inschrijvingen in het bekostigd hoger onderwijs vanaf september 1991. Deze service is de indicatie «soort collegegeld» en draagt bij aan een juiste uitvoering van de aanmeldings- en inschrijvingsprocedures bij de ho-instellingen. In het kader van de vraag voor welk collegegeld een student in aanmerking komt, wordt gekeken naar de eerder behaalde graden en eerdere inschrijvingen. Om deze controle te kunnen uitoefenen volstaat een beperkt aantal gegevens uit het register onderwijsdeelnemers, maar dient DUO hier wel over een periode van vijftig jaar over te kunnen beschikken.

Het gedurende vijftig jaar bewaren van basisgegevens is dus niet alleen nodig is voor een correct verloop van het bekostigingsproces, maar ook noodzakelijk om de hoogte van het collegegeld dat de student verschuldigd is op een juiste manier vast te kunnen stellen. Daarin voorziet de doelomschrijving in (artikel 30, derde lid van) de WRO nu echter niet. De doelomschrijving koppelt de langere bewaartermijn van vijftig jaar thans alleen aan het bekostigingsproces. Deze doelomschrijving wordt daarom met dit wetsvoorstel uitgebreid naar het bepalen van het verschuldigde collegegeld.

Tot slot geldt dat de in de WRO benoemde basisgegevens waarvoor de langere bewaartermijn van vijftig jaar geldt, niet alle gegevens omvat die noodzakelijk zijn voor de bekostiging en de bepaling van het collegegeld. Om met voldoende zekerheid te kunnen bepalen of het bij een nieuwe inschrijving van een student al dan niet gaat om een student die eerder een ho-opleiding heeft gevolgd, is het nodig voldoende nauwkeurig vast te stellen om welke persoon het gaat. De in artikel 30, tweede lid, WRO opgenomen gegevens zijn hiervoor niet geheel toereikend. In combinatie met het persoonsgebonden nummer is het echter wel mogelijk de onderwijsdeelnemer in voldoende mate te identificeren. Daarom bepaalt dit wetsvoorstel dat de langere bewaartermijn ook geldt voor het persoonsgebonden nummer van ho-onderwijsdeelnemers. Daarmee wordt aangesloten bij de bewaartermijn van vijftig jaar die voor een beperkte set basisgegevens al geldt.

3.4.2. Legalisatie waardedocumenten en bewijzen van inschrijving

Bij de totstandkoming van de WRO zijn de wettelijke taken waarvoor aan de Minister van OCW basis- en diplomagegevens mogen worden verstrekt, benoemd in de wet. In de Wet op het onderwijstoezicht (WOT), die voor de WRO de onderwijsregisters regelde, werd in meer algemene zin geregeld dat basis- en diplomagegevens uit BRON en het diplomaregister aan de Minister en de inspectie konden worden verstrekt «voor de uitoefening van hun wettelijke taken».⁶² Naar aanleiding van het advies van de Autoriteit Persoonsgegevens en de Raad van State bij de WRO is gekozen voor een specifiekere aanduiding en zijn de wettelijke taken in de wet benoemd.⁶³ Op deze manier is transparantie geboden ten aanzien van het gebruik van basis- en diplomagegevens.

Bij de totstandkoming van de WRO is echter per abuis nagelaten een ander (bestaand) gebruik van basis- en diplomagegevens door de Minister in de wet op te nemen. Dit betreft het gebruik van gegevens in het kader van de legalisatie van documenten. Deze taak wordt daarom met dit wetsvoorstel alsnog benoemd in de WRO. De voorgestelde wijziging voorziet derhalve in herstel van een omissie die is ontstaan bij de totstandkoming van de WRO en dient te worden bezien als een wetstechnische verbetering. Ter toelichting hierop wordt het volgende opgemerkt.

Om in het buitenland bepaalde officiële documenten, zoals diploma’s, te mogen gebruiken dienen deze te worden gelegaliseerd. Met het Verdrag tot afschaffing van het vereiste van legalisatie voor buitenlandse openbare akten, ook wel bekend als het Apostilleverdrag,⁶⁴ is de bevoegdheid tot legalisatie overgedragen aan de rechtbanken.⁶⁵ Voor landen die (nog) geen verdragspartij zijn, blijft het Consulaire dienstencentrum (CDC) van het Ministerie van Buitenlandse Zaken bevoegd tot legalisatie.⁶⁶

Legalisatie gebeurt met een stempel (of sticker) van de rechtbank of het CDC op het officiële document. Het is de «formaliteit omtrent de echtheid van de handtekening, de hoedanigheid waarin de ondertekenaar van het stuk heeft gehandeld en, in voorkomend geval, de identiteit van het zegel of de stempel op het stuk.»⁶⁷ Daarmee is het document geldig in het buitenland. De juistheid van de inhoud van een (waarde)document dient echter eerst door DUO te worden vastgesteld. Hiervoor dient DUO gebruik te kunnen maken van de diplomagegevens die in het register onderwijsdeelnemers zijn opgenomen. Als DUO de authenticiteit van het diploma heeft vastgesteld, wordt op het waardedocument een sticker geplaatst met daarbij een handtekening van de betreffende medewerker van DUO. Daarna kan betrokkene het legalisatieproces bij de rechtbank of het CDC afronden. De rechtbank en het CDC verifiëren via de landelijke handtekeningendatabase de authenticiteit van de handtekening van DUO.

Naast de rechtbanken en het CDC heeft het Ministerie van OCW (DUO) derhalve een rol in het legalisatieproces, namelijk om de juistheid van een (waarde)document te bevestigen,⁶⁸ voordat dit aan de rechtbank of het CDC wordt voorgelegd. Hiervoor dient DUO gebruik te kunnen maken van de diplomagegevens die zijn opgenomen in het register onderwijsdeelnemers.

Over de te legaliseren documenten kan het volgende worden opgemerkt. Voor het merendeel betreft het waardedocumenten (diploma’s). Een klein percentage betreft bewijzen van inschrijving van het hoger onderwijs (HO), die eveneens van een stempel dienen te worden voorzien.⁶⁹ De authenticiteit van bewijzen van inschrijving wordt onderzocht aan de hand van in het register onderwijsdeelnemers opgenomen basisgegevens. In de praktijk worden de bewijzen van inschrijving gebruikt (c.q. vereist) in het kader van de militaire dienstplicht, buitenlandse studiefinanciering, dan wel een buitenlandse vergoeding voor een in Nederland gevolgde opleiding.

3.5. Verhouding tot andere regelgeving

Dit wetsvoorstel regelt een aantal nieuwe gegevensverstrekkingen uit het register onderwijsdeelnemers, waarop hiervoor nader is ingegaan. Opmerking verdient dat op 1 september 2021 een amvb is vastgesteld die eveneens tot doel had een aantal nieuwe gegevensverstrekkingen uit het register te regelen.⁷⁰ Meer in het bijzonder gaat het hierbij om verstrekkingen aan bestuursorganen, zoals het College voor toetsen en examens (ten behoeve van de staatsexamens) en de Minister van Infrastructuur en Waterstaat (ten behoeve van de afgifte van vaarbevoegdheidsbewijzen). Deze amvb vindt zijn grondslag in artikel 24 van de WRO, dat het mogelijk maakt om bij amvb bestuursorganen aan te wijzen die voor verstrekking van gegevens uit het register in aanmerking komen. Voor deze verstrekkingen was het niet noodzakelijk de WRO zelf te wijzigen.

4. Bescherming persoonsgegevens

In deze paragraaf wordt eerst het juridisch kader geschetst voor de verwerking van persoonsgegevens. Dit wetsvoorstel is getoetst aan dit kader. Dit is voor een belangrijk deel reeds hiervoor in de verschillende onderdelen in paragraaf 3 van deze memorie van toelichting gebeurd. Voor zover dat nog niet is gebeurd (zoals meer specifiek ten aanzien van de verwerking van bijzondere persoonsgegevens) zal dat hierna in punt 4.1 aan de orde komen. Vervolgens zal in punt 4.2 worden ingegaan op de uitkomsten van de gegevensbeschermingseffectbeoordelingen (DPIA’s) die voor de verschillende onderdelen van dit wetsvoorstel zijn uitgevoerd.

4.1. Juridisch kader

Dit wetsvoorstel strekt tot uitbreiding van de verwerking van persoonsgegevens uit het register onderwijsdeelnemers. De verwerking van persoonsgegevens is een beperking van het grondrecht op bescherming van de persoonlijke levenssfeer. Dit recht is verankerd in internationaal, Europees en nationaal recht: het Internationaal Verdrag inzake Burgerrechten en Politieke rechten (artikel 17), het Europees Verdrag voor de Rechten van de Mens (artikel 8), het Handvest van de grondrechten van de Europese Unie (artikelen 7 en 8) en de Grondwet (artikel 10).

Het recht op bescherming van de persoonlijke levenssfeer is niet absoluut. De inperking van dit recht is toegestaan, mits voldaan is aan een aantal vereisten: de beperking is bij de wet voorzien, is noodzakelijk in een democratische samenleving en er is voldaan aan de eisen van proportionaliteit en subsidiariteit.

Bij proportionaliteit wordt gekeken of de inbreuk op de belangen van de betrokkene niet onevenredig is in verhouding tot het met de verwerking te dienen doel. Of anders gezegd: het doel van de verwerking van de persoonsgegevens dient in verhouding te staan met de inbreuk op de privacy. Bij het subsidiariteitsbeginsel wordt beoordeeld of er minder ingrijpende alternatieven voorhanden zijn om het beoogde doel te kunnen bereiken.

Naast de hierboven genoemde grondrechtelijke bepalingen bieden de AVG en de daarbij behorende Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) kaders voor de verwerking van persoonsgegevens. De belangrijkste beginselen voor de verwerking van persoonsgegevens zijn: doelbinding (persoonsgegevens mogen alleen worden verwerkt conform een vooraf welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel en mogen niet verder worden verwerkt voor onverenigbare doelen) en de beginselen van noodzakelijkheid, proportionaliteit en subsidiariteit.⁷¹ Het beginsel van noodzakelijkheid komt onder andere tot uiting in dataminimalisatie. Bij dataminimalisatie gaat het erom dat gegevens slechts worden verwerkt indien dit noodzakelijk is voor het beoogde doel. Hierbij wordt dus gekeken naar het doel van de verwerking, waarbij bepaald moet worden dat er niet te veel, maar ook niet te weinig gegevens worden verwerkt, waardoor er ten onrechte een onvolledig beeld van de betrokkene kan ontstaan.⁷²

In paragraaf 3 van deze memorie van toelichting is per onderdeel van dit wetsvoorstel uitvoerig ingegaan op doelbinding en de noodzaak van de gegevensverwerking. Daarbij is uiteengezet waarom verwerking van persoonsgegevens uit het register noodzakelijk is voor de goede taakuitvoering van de betreffende overheidsinstantie of organisatie. Daaruit blijkt dat dit wetsvoorstel voldoet aan de hiervoor genoemde eisen die voortvloeien uit internationaal, Europees en nationaal recht en dat de beperking van het recht op de bescherming van het persoonlijke levenssfeer is gerechtvaardigd.

Ten overvloede, dit wetsvoorstel wijzigt niets in en doet geen afbreuk aan de rechten van betrokkenen, zoals het recht op inzage in en correctie van gegevens die over hem zijn opgenomen in het register onderwijsdeelnemers.⁷³

Bijzondere persoonsgegevens – gegevens over gezondheid

In dit wetsvoorstel komt eveneens de verwerking van bijzondere persoonsgegevens aan bod, namelijk de verwerking van gegevens over gezondheid.⁷⁴ Het gaat om de verstrekking van deze gegevens aan samenwerkingsverbanden passend onderwijs ten behoeve van hun taakuitvoering⁷⁵ en aan instellingen voor hoger onderwijs en aangewezen organisaties ten behoeve van onderzoek en verantwoording.⁷⁶

Op grond van de AVG gelden zwaardere eisen voor de verwerking van bijzondere persoonsgegevens. Als hoofdregel geldt dat verwerking van deze gegevens verboden is, tenzij voldaan is aan een van de uitzonderingsgronden die in de AVG worden genoemd.⁷⁷ De voor dit wetsvoorstel relevante uitzonderingsgronden zijn artikel 9, tweede lid, onderdelen g (zwaarwegend algemeen belang) en j (wetenschappelijk onderzoek en statistische doeleinden) van de AVG. Hierna worden de in dit wetsvoorstel voorgestelde verwerkingen van gegevens over gezondheid getoetst aan deze eisen.

Samenwerkingsverbanden

Zoals in paragraaf 3.3.3. is uiteengezet, is het primaire doel van de samenwerkingsverbanden het realiseren van een samenhangend geheel van ondersteuningsvoorzieningen binnen en tussen de scholen. In dit kader zijn de samenwerkingsverbanden belast met het verdelen van zorgmiddelen, het verstrekken van toelaatbaarheidsverklaringen voor onder andere het (voortgezet) speciaal onderwijs en het adviseren over de ondersteuningsbehoefte van leerlingen. In paragraaf 3.3.3 is ook uiteengezet waarom samenwerkingsverbanden voor deze taken moeten kunnen beschikken over gegevens over gezondheid. De taakuitvoering door de samenwerkingsverbanden is voor de verwezenlijking van passend onderwijs voor de betrokken leerlingen van zeer groot belang. De verstrekking van gegevens over gezondheid is daarmee noodzakelijk met het oog op een zwaarwegend algemeen belang als bedoeld in artikel 9, tweede lid, onderdeel g, AVG. Benadrukt wordt hier dat samenwerkingsverbanden reeds op grond van de WPO en WVO gegevens over gezondheid mogen verwerken om redenen van zwaarwegend algemeen belang.⁷⁸ Dit wetsvoorstel regelt de verstrekking van noodzakelijke gegevens over gezondheid uit het register onderwijsdeelnemers aan de samenwerkingsverbanden voor hun taakuitoefening.

Instellingen voor hoger onderwijs en aangewezen organisaties

Daarnaast is in het wetsvoorstel een grondslag opgenomen om gegevens over gezondheid te verstrekken aan instellingen voor hoger onderwijs en aangewezen organisaties voor twee doelen: onderzoek en verantwoording. Hoewel slechts basisgegevens kunnen worden verstrekt aan deze instellingen en organisaties zijn deze gegevens in bepaalde gevallen aan te merken als gegevens over gezondheid. Dit is bijvoorbeeld het geval bij het gegeven of voor een leerling een ontwikkelingsperspectief is vastgesteld of het gegeven dat de leerling toelaatbaar is verklaard tot het (voortgezet) speciaal onderwijs. Het verstrekken van deze gegevens kan onder omstandigheden noodzakelijk zijn voor de twee hiervoor genoemde doelen. In dit geval is de uitzonderingsgrond van artikel 9, tweede lid, onderdeel j, AVG van toepassing. De verwerking van gezondheidsgegevens is noodzakelijk voor wetenschappelijk onderzoek (onderzoek door instellingen voor hoger onderwijs) en statistische doeleinden (onderzoek en verantwoording door aangewezen organisaties). De informatieproducten van de aangewezen organisaties zijn cijfermatig gevormd. Er is dan ook sprake van statistische doeleinden zoals bedoeld in artikel 9, tweede lid, onderdeel j, AVG.

Volgens artikel 9, tweede lid, onderdeel j, AVG moet zijn voldaan aan de eis van evenredigheid en moeten passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de belangen van de betrokkene. Voor bepaalde onderzoeken en benchmarks zijn gezondheidsgegevens nodig. Gedacht kan worden aan onderzoeken en benchmarks op het terrein van het primair en voortgezet onderwijs, waarin in beeld wordt gebracht welk percentage van de leerlingen deelneemt aan het (voort)gezet speciaal onderwijs. Hiervoor zijn gegevens over de inschrijving van leerlingen nodig. Het deelnamepercentage (voortgezet) speciaal onderwijs is van belang voor onder andere de ondersteuningsplannen van de samenwerkingsverbanden passend onderwijs. De basisgegevens die als gezondheidsgegevens te beschouwen zijn, hebben veelal een weinig specifiek karakter. Zo gaat het bij het ontwikkelingsperspectief alleen om het gegeven dát voor een leerling een ontwikkelingsperspectief is vastgesteld voor een bepaalde periode, en niet om de achterliggende redenen daarvoor. Op dezelfde wijze gaat het alleen om het gegeven dat een leerling is geplaatst in een orthopedagogisch-didactisch centrum. Aan de eis van evenredigheid wordt dan ook voldaan. Om te voorkomen dat meer gegevens worden verstrekt dan noodzakelijk, zijn in het voorgestelde artikel 23 WRO procedurele waarborgen ingebouwd: er moet door de betreffende instelling of organisatie een verzoek worden ingediend waarin doelbinding en noodzaak voldoende zijn onderbouwd. De Minister neemt daarover vervolgens een besluit. Er zijn dan ook passende waarborgen getroffen ter bescherming van de grondrechten en de belangen van de betrokkenen.

Verder is de grondslag in dit wetsvoorstel in lijn met de uitzonderingsbepaling in de UAVG voor de verwerking van bijzondere persoonsgegeven voor wetenschappelijk onderzoek of statistiek:⁷⁹ de onderzoeken door de instellingen voor hoger onderwijs en de aangewezen organisaties dienen een algemeen belang (kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs), het vragen van uitdrukkelijke toestemming aan leerlingen en/of ouders kost een onevenredige inspanning (gelet op het aantal leerlingen), en er is voorzien in waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad (de gegevens zullen alleen gepseudonimiseerd worden verstrekt, en er zijn procedurele waarborgen opgenomen zoals hiervoor genoemd). Voor de volledigheid wordt hier nog het volgende opgemerkt. De reden waarom niet volstaan kan worden met de algemene uitzondering in de UAVG is dat in de systematiek van de WRO de organisaties waaraan, en de doelen waarvoor, gegevens over gezondheid kunnen worden verstrekt uit het register, limitatief in (artikel 11 van) de WRO zelf worden geregeld.

Naast een uitzonderingsgrond voor het verwerken van gegevens over gezondheid als bedoeld in artikel 9, tweede lid, AVG, vereist de AVG dat de verwerking is gebaseerd op een rechtsgrond als bedoeld in artikel 6, eerste lid, AVG. Voor zover het gaat om de verwerking door instellingen voor hoger onderwijs is de rechtsgrond «taak van algemeen belang» (artikel 6, eerste lid, onderdeel e, AVG) van toepassing. Zij hebben een wettelijke taak tot het doen van onderzoek.⁸⁰ Wat betreft de verwerking van gezondheidsgegevens door de aangewezen organisaties is de rechtsgrond «gerechtvaardigde belangen» (artikel 6, eerste lid, onderdeel f, AVG) van toepassing. Het gaat hier om private organisaties die informatieproducten maken die een groot maatschappelijk belang dienen. In paragraaf 3.3.2 is dit toegelicht.

4.2. Uitkomsten gegevensbeschermingseffectbeoordeling (DPIA’s)

Voor de verschillende onderdelen van dit wetsvoorstel is een DPIA uitgevoerd.⁸¹ Met behulp van deze DPIA’s is de rechtmatigheid van de gegevensverwerkingen van dit wetsvoorstel bekeken (rechtsgrond, doelbinding, noodzaak, rechten van betrokkene) en zijn op gestructureerde wijze de implicaties van de verwerkingen in kaart gebracht. Daarbij is aandacht besteed aan de risico’s voor de betrokkene en zijn er maatregelen genoemd om die risico’s te voorkomen of te verminderen.

De resultaten van deze DPIA’s zijn in paragraaf 3 al aan bod gekomen als het gaat om de noodzaak, proportionaliteit, subsidiariteit (eventuele overwogen alternatieven) en doelbinding. Hierna zal per onderdeel van het wetsvoorstel worden ingegaan op de overige uitkomsten van de DPIA’s, namelijk de te verwerken gegevensset (dataminimalisatie), privacyrisico’s en de (beveiligings)maatregelen om die risico’s te voorkomen of te verminderen.

4.2.1. Aansluiting particuliere B3- en B4-scholen op het register

Uit de DPIA blijkt dat privacyrisico’s beperkt zijn. Er worden niet meer gegevens verwerkt dan strikt noodzakelijk voor het doel. Het gaat hier om: identificerende gegevens, inschrijvingsgegevens en verzuimgegevens. Verwerking van gegevens die zijn gerelateerd aan bekostiging of reguliere examens is niet aan de orde. Daarnaast zal bij de aansluiting van de B3- en B4-scholen op het register gebruik worden gemaakt van de bestaande systemen die DUO gebruikt voor gegevensuitwisseling. Deze systemen hebben bewezen betrouwbaar te zijn en zij werken met actuele en adequate informatiebeveiliging- en privacystandaarden. Het beveiligingsbeleid van DUO is conform het Besluit voorschrift informatiebeveiliging rijksdienst 2007 (VIR) en de Baseline Informatiebeveiliging Overheid (BIO).⁸² Dit alles draagt eraan bij dat de gegevensuitwisseling veilig is.

4.2.2. Verstrekking aan instellingen hoger onderwijs en aangewezen organisaties

De privacyrisico’s worden beperkt geacht. Voor dit onderdeel is in het wetsvoorstel een extra procedurele waarborg ingebouwd ten behoeve van een transparante en zorgvuldige gegevensverwerking (verzoek betreffende organisatie en besluit van de Minister). Er zal dataminimalisatie worden toegepast doordat de betrokken organisaties bij elk verzoek specifiek moeten onderbouwen waarom ze die specifieke gegevens nodig hebben voor dat specifieke doel. In sommige gevallen zal periodiek een nieuw verzoek moeten worden ingediend, en moet dit opnieuw worden onderbouwd en vervolgens getoetst door de Minister.

Ook hier geldt dat gebruik zal worden gemaakt van de bestaande systemen van DUO die met actuele en adequate informatiebeveiliging- en privacystandaarden werken. De gegevens worden aan de instellingen en aangewezen organisaties geleverd via de beveiligde omgeving van DUO. De gegevens worden vastgelegd in de omgevingen van de instellingen en de aangewezen organisaties. Daarbij wordt aantoonbaar voldaan aan de internationale normen van informatiebeveiliging. Daarnaast kunnen in het besluit van de Minister nadere (technische) voorschriften worden gegeven over de (wijze) van verwerking door de instellingen en aangewezen organisaties.

4.2.3. Verstrekking aan samenwerkingsverbanden passend onderwijs

De gegevensset die samenwerkingsverbanden ontvangen wordt uitgebreid. Deze uitbreiding is noodzakelijk voor de taakuitoefening van samenwerkingsverbanden. Samenwerkingsverbanden moeten zich voor de uitvoering van hun wettelijke taken een goed beeld kunnen vormen van de aard en omvang van de ondersteuningsbehoefte van leerlingen. Zowel op individueel niveau als op groepsniveau. Door de informatiepositie van samenwerkingsverbanden te versterken kunnen zij de ondersteuningsmiddelen goed verdelen, zodat deze middelen bij de juiste leerlingen terecht komen. Deze verwerking is in het belang van de betrokkenen, namelijk de leerlingen die ondersteuningsbehoefte hebben.

Door deze gegevensstroom te reguleren wordt het risico op misbruik of verlies van deze gegevens zo beperkt mogelijk gehouden. Zowel bij DUO als bij de samenwerkingsverbanden worden de gegevens binnen omgevingen met een hoog beveiligingsniveau verwerkt, waarvan de toegang beperkt is tot enkel geautoriseerde medewerkers. DUO hanteert actuele en adequate informatiebeveiliging- en privacystandaarden (VIR en BIO). De samenwerkingsverbanden voldoen tevens aan de internationale normen van informatiebeveiliging.

Bovendien moet niet uit het oog verloren worden dat de professionals werkzaam bij de samenwerkingsverbanden ruime ervaring hebben en ervoor opgeleid zijn om adequaat en zorgvuldig om te gaan met deze gevoelige gegevens.

Een alternatief voor de regulering van deze gegevensstroom zou kunnen zijn dat de samenwerkingsverbanden deze gegevens laten opvragen bij verschillende scholen. Dit zou echter meer risico betekenen voor het verlies en/of misbruik van deze gegevens.

4.2.4. Verstrekking aan pensioenuitvoerders

Uit de DPIA komt naar voren dat de privacyrisico’s klein worden geschat. De gegevensverwerking past bij het beoogde doel, namelijk het aantonen dat een (half)wees staat ingeschreven bij een onderwijsinstelling en de vorm van onderwijs (voltijd/deeltijd/duaal). Pensioenuitvoerders verstrekken op maandelijkse basis een bestand met BSN-nummers aan DUO. Op grond van de Pensioenwet en de Wet verplichte beroepspensioenregeling zijn pensioenuitvoerders bevoegd om het BSN te gebruiken bij de verwerking van persoonsgegevens ten behoeve van de uitvoering van de pensioenregeling. Pensioenuitvoerders beschikken reeds over het BSN. DUO vinkt vervolgens in het bestand van de pensioenuitvoerder aan of er sprake is van een inschrijving bij een onderwijsinstelling (J/N) en zo ja, wat de vorm is van het genoten onderwijs (voltijd/deeltijd/duaal). Doordat de gegevensverstrekking gebaseerd is op een «ja/nee- verstrekking» wordt dataminimalisatie toegepast. De vorm van het genoten onderwijs is van belang omdat in sommige pensioenregelingen als voorwaarde is opgenomen dat een wees voor een bepaald deel dient te studeren om in aanmerking te komen voor wezenpensioen.

De gegevensverstrekking vindt plaats achter een beveiligd portaal dat voor een beperkt aantal functionarissen van een pensioenuitvoerder en alleen met behulp van een door DUO verstrekte token toegankelijk is. De systemen van DUO hebben bewezen betrouwbaar te zijn en zij werken met actuele en adequate informatiebeveiliging- en privacystandaarden. Ook de pensioenuitvoerders passen een passend beveiligingsniveau toe.⁸³

4.2.5. Verstrekking aan overheidsinstellingen in België

Het voorstel voldoet aan vereisten van doelbinding en dataminimalisatie. Er worden niet meer gegevens verwerkt dan strikt noodzakelijk, namelijk alleen de basisgegevens (identificerende gegevens en inschrijfgegevens) van de leerling die voor het AGODI nodig zijn om te kunnen controleren welke leerlingen staan ingeschreven op een school. De gegevens worden beveiligd aan het AGODI verstrekt via het «Mijn DUO» portaal. De systemen van DUO hebben bewezen betrouwbaar te zijn en zij werken met actuele en adequate informatiebeveiliging- en privacystandaarden. Er zullen slechts één of twee geautoriseerde personen vanuit het AGODI toegang krijgen tot het portaal. Dit alles draagt eraan bij dat de gegevensuitwisseling veilig is en dat de privacyrisico’s worden verlaagd.

4.2.6. Verlenging bewaartermijn

Dit onderdeel van het wetsvoorstel voorziet in dataminimalisatie aangezien slechts een beperkte, in artikel 30, tweede lid, WRO beschreven set gegevens wordt gebruikt en gedurende vijftig jaar wordt bewaard voor het doel van het bepalen van de juiste hoogte van het collegegeld. Deze gegevens en het persoonsgebonden nummer worden in de beveiligde omgeving bij DUO bewaard. DUO hanteert actuele en adequate informatiebeveiliging- en privacystandaarden.

5. Regeldruk

Dit wetsvoorstel heeft regeldrukeffecten voor bedrijven en burgers. Deze bestaan uit kennisnamekosten, inhoudelijke nalevingskosten en administratieve lasten. In de navolgende paragrafen worden deze effecten per maatregel toegelicht.

5.1. Aansluiting particuliere B3- en B4-scholen op het register

De aansluiting van de particuliere B3- en B4-scholen brengt incidenteel administratieve lasten met zich mee. Op alle B3- en B4-scholen samen zijn in totaal ongeveer 10.000 leerlingen ingeschreven. De verplichte aansluiting op het register vraagt van de scholen om voor ieder van deze leerlingen het persoonsgebonden nummer, geslachtsnaam, voornamen, geboortedatum, geboorteland, geslacht, het soort onderwijs dat ze volgen en eventuele verzuimgegevens te melden. Deze informatie is bij de scholen in de praktijk reeds bekend. Ze hoeven dus geen gegevens op te vragen, maar moeten deze enkel invoeren. Ingeschat wordt dat dit per leerling ongeveer een kwartier kost. Omgerekend betekent dit een incidentele administratieve last van 2.500 uur in totaal (0,25 x 10.000). Uitgaande van een uurtarief van € 50 is er sprake van een éénmalige toename van de administratieve lasten van € 125.000.

Daar staat echter een structurele vermindering van de administratieve last tegenover. Allereerst kost een centrale verzuimmelding scholen minder tijd, omdat alle meldingen voortaan aan DUO worden gedaan, waarbij een uniforme werkwijze wordt gehanteerd. Op dit moment moeten de betreffende scholen meldingen nog doorgeven aan verschillende gemeenten (afhankelijk van de woonplaats van de leerling), die ieder een eigen systematiek hanteren.

In het schooljaar 2016/2017 werd 66.725 keer relatief verzuim gemeld.⁸⁴ In 2017 waren er ongeveer 2.512.000 leerlingen ingeschreven in het bekostigd funderend onderwijs.⁸⁵ Naar boven afgerond betekent dat dat er één maal verzuim werd gemeld per 38 leerlingen. Uitgaande van die verhouding, wordt ingeschat dat er jaarlijks zo’n 263 keer relatief verzuim gemeld wordt voor de 10.000 leerlingen die ingeschreven zijn op B3- en B4-scholen. Ingeschat wordt dat voor iedere melding een kwartier minder tijd nodig is. Dat leidt tot een structurele reductie van € 3.300.

Daarnaast zal het decentraal melden van in- en uitschrijvingen bij de gemeenten worden vervangen door een centrale, uniforme meldingsprocedure. Ingeschat wordt dat de tijdswinst per melding ongeveer 10 minuten bedraagt. Uitgaande van jaarlijks 2.700 in- en uitschrijvingen leidt dit tot een structurele reductie van € 22.500.

Tot slot zijn er op dit moment nog geen harde cijfers bekend over het aantal leerlingen dat is ingeschreven op deze scholen. Dat verandert zodra zij zijn aangesloten op het register, wat betekent dat de inspectie deze gegevens niet langer hoeft op te vragen. Ingeschat wordt dat het wegvallen van deze enquête per school ongeveer een half uur tijd scheelt. Afgerond zijn er in totaal zo’n 100 B3 en B4-scholen. Dat leidt tot een reductie van € 2.500.

5.2. Verstrekking aan instellingen hoger onderwijs en aangewezen organisaties

Over de gevolgen voor de administratieve lasten van de instellingen voor hoger onderwijs en de aangewezen organisaties wordt het volgende opgemerkt.

Het aantal aanvragen van instellingen voor hoger onderwijs als bedoeld in artikel 1.2 WHW wordt geschat op 20 per jaar. Uitgaande van 16 uur per aanvraag en een uurtarief van € 50 is dan sprake van administratieve lasten van € 16.000.

De vijf sectorraden zullen voor hun benchmarks (ter ondersteuning van de instellingen in hun sector bij hun verantwoording) jaarlijks grosso mode dezelfde gegevens nodig hebben. Een inschatting van het tijdsbeslag in het eerste jaar is per afzonderlijke sectorraad 16 uur. Een inschatting van de benodigde uren voor een aanvraag in dat eerste jaar voor vijf sectorraden komt dan uit op 80 uur. Uitgaande van een uurtarief van € 50 is sprake van administratieve lasten van € 4.000. In de jaren daarna zal het tijdsbeslag later liggen, omdat aanvragen van jaar op jaar niet heel veel van elkaar verschillen. Inschatting is dat de administratieve lasten dan ongeveer half zo groot zullen zijn, dus € 2.000 per jaar.

Daarnaast kunnen de sectorraden ook voor afzonderlijke onderzoeken gebruik maken van de grondslag als bedoeld in artikel 23 WRO. Een inschatting van het tijdsbeslag is: 16 uur per onderzoek. Bij vijf afzonderlijke onderzoeken jaarlijks per sectorraad, komt het tijdsbeslag in uren dan neer op 400 per jaar. Uitgaande van een uurtarief van € 50 komen de administratieve lasten jaarlijks uit op € 20.000 voor de sectorraden samen.

Tot slot: voor de aanvragen van Studiekeuze123 en Kences is de inschatting dat deze elk afzonderlijk, jaarlijks 16 uur kosten. Uitgaande van een uurtarief van € 50 komen de jaarlijkse administratieve lasten voor beide organisaties uit op € 800. De aanvraag van JOB zal naar inschatting ook 16 uur kosten, maar wordt slechts eenmaal per twee jaar gedaan. Jaarlijkse administratieve lasten komen dan uit op € 400.

5.3. Verstrekking aan samenwerkingsverbanden passend onderwijs

De uitbreiding van de grondslag voor verstrekking van basisgegevens uit het register onderwijsdeelnemers aan samenwerkingsverbanden passend onderwijs heeft geen gevolgen voor de administratieve lasten van scholen of samenwerkingsverbanden. De scholen blijven dezelfde gegevens leveren aan de Minister ten behoeve van opname daarvan in het register onderwijsdeelnemers. Deze wetswijziging maakt het mogelijk om in het BRO de set van gegevens die vanuit het register onderwijsdeelnemers worden verstrekt aan de samenwerkingsverbanden passend onderwijs uit te breiden, zodat de samenwerkingsverbanden beter in staat worden gesteld om hun wettelijke taken uit te voeren. Op eventuele effecten op regeldruk zal bij de wijziging van het BRO worden ingegaan.

5.4. Verstrekking aan pensioenuitvoerders

a. Gevolgen voor bedrijven

Een wettelijke grondslag voor de gegevensverstrekking tussen DUO en pensioenuitvoerders (of pensioenuitvoeringsorganisaties) leidt tot een substantiële vermindering van de regeldrukkosten voor onderwijsinstellingen en pensioenuitvoerders.

Pensioenuitvoerders

In de huidige situatie verzoekt een pensioenuitvoerder jaarlijks de (half)wees om een onderwijsverklaring aan te leveren. Als een reactie van een (half)wees uitblijft stuurt de pensioenuitvoerder een herinnering. Na het ontvangen van een onderwijsverklaring of de melding dat de (half)wees geen onderwijs meer volgt verwerkt de pensioenuitvoerder de mutatie in de administratie. De inschatting is dat jaarlijks ongeveer 7.200 (half)wezen een wezenpensioen uitgekeerd krijgen, waarvoor een controle dient te worden uitgevoerd. Naar inschatting duurt het totale proces bij een individuele aanvraag 45 minuten per (half)wees. Daarmee neemt dit proces naar inschatting in totaal 5.400 uur in beslag.⁸⁶

Met een gegevensuitwisseling komt het verzoek aan de deelnemer te vervallen en kan het verwerken van de mutaties voor alle (half)wezen binnen één pensioenuitvoerder tegelijkertijd worden verwerkt. Met de mogelijkheid van gegevensuitwisseling worden de administratieve lasten van pensioenuitvoerders verminderd. Het proces waarbij voor alle wezen in een pensioenfonds tegelijk gegevensuitwisseling plaatsvindt kost immers minder tijd dan wanneer per individu een uitvraag wordt gedaan bij de deelnemer. Door gegevensuitwisseling duurt dit voor alle (half)wezen tegelijk maximaal een dagdeel per pensioenuitvoerder per maand. Uiteraard is dit ook afhankelijk van de mate van automatisering. De aanname is dat 10 pensioenuitvoeringsorganisaties hiervoor kiezen. Dit nieuwe proces zal naar inschatting in totaal nog slechts een tijdsbeslag hebben van circa 400 uur, in plaats van 5.400 uur.⁸⁷ Dat betekent een totale afname van circa 5.000 uur per jaar, wat overeenkomt met een vermindering van de regeldruk van circa € 195.000.⁸⁸

Onderwijsinstellingen

In de huidige situatie ontvangt een onderwijsinstelling het verzoek van de (half)wees om een onderwijsverklaring op te stellen, te ondertekenen en uit te geven. Deze kosten vervallen met de gegevensuitwisseling tussen DUO en pensioenuitvoerders, waardoor de regeldrukkosten van onderwijsinstellingen in totaal naar schatting met € 120.000 dalen.⁸⁹

b. Gevolgen voor burgers

In de huidige situatie ontvangt een (half)wees het verzoek vanuit de pensioenuitvoerder om een onderwijsverklaring aan te leveren. Een (half)wees dient deze onderwijsverklaring vervolgens op te vragen bij de onderwijsinstelling en op te sturen naar de pensioenuitvoerder. Daarnaast dient een (half)wees melding te maken bij de pensioenuitvoerder als hij stopt met het volgen van onderwijs. Deze activiteiten vervallen met de gegevensverstrekking tussen DUO en pensioenuitvoerders, waardoor de administratieve lasten bij de burgers in totaal met circa € 36.000 dalen.⁹⁰

5.5. Verstrekking aan overheidsinstellingen in België

Er zijn in totaal ongeveer 1000 leerlingen die in België wonen en in Nederland naar school gaan en die ingeschreven staan in de registers van DUO. Om te kunnen controleren of een Belgische leerling staat ingeschreven bij een Nederlandse school, worden een aantal gewone persoonsgegevens per leerplichtige gedeeld met AGODI, zoals de voornaam, familienaam, adres van de leerplichtige, of de leerplichtige op de peildatum op een school was ingeschreven en de school waar de leerling onderwijs volgt. Deze informatie is bij DUO bekend en staat opgenomen in het register onderwijsdeelnemers. Met deze toekomstige gegevensuitwisseling komt het verzoek van AGODI aan de ouders om een inschrijvingsbewijs op te sturen, te vervallen en hoeven scholen deze bewijzen niet meer aan de ouders te verstrekken. Ouders hoeven deze inschrijvingsbewijzen vervolgens niet aan AGODI te verstrekken. Met deze mogelijkheid van gegevensuitwisseling worden de administratieve lasten van zowel ouders als scholen verminderd.

a. Onderwijsinstellingen

In de huidige situatie ontvangt een school het verzoek van de ouders om een inschrijvingsbewijs op te stellen, te ondertekenen en uit te geven. Deze activiteiten vervallen met de gegevensuitwisseling tussen DUO en het AGODI, waardoor de administratieve lasten van onderwijsinstellingen in totaal met € 16.700 zullen dalen per jaar.⁹¹

b. Burgers

In de huidige situatie ontvangt een ouder het verzoek vanuit AGODI om een inschrijvingsbewijs aan te leveren. Een ouders dient deze onderwijsverklaring vervolgens op te vragen bij de school en op te sturen naar AGODI. Deze activiteiten vervallen met de gegevensverstrekking tussen DUO en het AGODI, waardoor de administratieve lasten van burgers in totaal met € 5.000 zullen dalen.⁹²

5.6. Verlenging bewaartermijn

De verlenging van de bewaartermijn heeft geen regeldrukgevolgen voor onderwijsinstellingen en studenten. De inschrijvingsgegevens waar het om gaat worden reeds door onderwijsinstellingen aan OCW (DUO) geleverd. De wijziging bestaat eruit dat deze gegevens langer worden bewaard bij DUO. Voor studenten verandert er evenmin iets. Het proces rond aanmelding en betaling van collegegeld blijft voor hen hetzelfde.

5.7. Legalisatie waardedocumenten en bewijzen van inschrijving

Dit onderdeel van het wetsvoorstel heeft geen gevolgen voor de regeldruk van burgers. Het gaat immers om een wetstechnische wijziging die er toe strekt om een bestaand gebruik van het register onderwijsdeelnemers (te weten: het verifiëren van de authenticiteit van waardedocumenten en bewijzen van inschrijving) van een wettelijke basis te voorzien.

6. Uitvoering

De Dienst Uitvoering Onderwijs (DUO), de Inspectie van het Onderwijs (IvhO) en de Auditdienst Rijk hebben een ontwerp van dit besluit getoetst op uitvoerbaarheid en handhaafbaarheid.

DUO geeft aan dat het wetsvoorstel uitvoerbaar is. Over de haalbaarheid en maakbaarheid zal DUO een uitspraak doen bij de uitvoeringstoetsen op de lagere regelgeving. Naar aanleiding van de opmerking van DUO in de uitvoeringstoets onder het kopje «memorie van toelichting» over het pseudonimiseringsproces bij leveringen op grond van artikel 23, is in dat artikel expliciet geregeld dat geen direct tot personen herleidbare gegevens worden verstrekt. Verder zijn de wetstechnische opmerkingen uit de uitvoeringstoets in het wetsvoorstel verwerkt.

De IvhO en de Auditdienst Rijk hebben geen opmerkingen ten aanzien van de nalevingsaspecten en ten aanzien van financiële rechtmatigheid.

7. Financiële gevolgen

Het wetsvoorstel heeft geen gevolgen voor de rijksbegroting.

Wat betreft gevolgen voor de rechtspraak wordt het volgende opgemerkt. Het voorgestelde artikel 23 WRO voorziet in voor bezwaar en beroep vatbare besluiten. Gelet op het geringe aantal besluiten per jaar (zie paragraaf 5.2) worden geen noemenswaardige gevolgen voor de rechtspraak voorzien.

8. Caribisch Nederland

Bij de inwerkingtreding van de WRO op 1 juli 2020 is er voor gekozen om de inwerkingtreding voor Caribisch Nederland uit te stellen, omdat de scholen op de BES nog niet op basisregister onderwijs (BRON) waren aangesloten.⁹³ Bij toekomstige inwerkingtreding van de WRO voor Caribisch Nederland worden de bekostigde BES-scholen aangesloten op het register onderwijsdeelnemers. Dit wetsvoorstel regelt ook voor Caribisch Nederland de aansluiting van de (niet-bekostigde) B3- en B4-scholen op het register onderwijsdeelnemers. Voor de duidelijkheid wordt hier opgemerkt dat de WRO alleen wat betreft de basisgegevens van toepassing is op Caribisch Nederland. Wat betreft verzuimgegevens (relatief verzuim), vrijstellingsgegevens en diplomagegevens is de WRO niet van toepassing op Caribisch Nederland.⁹⁴

Er zijn vanaf medio 2020 twee pilots gestart om te verkennen welke mogelijkheden en belemmeringen er zijn om instellingen in Caribisch Nederland op het register onderwijsdeelnemers aan te sluiten. Deze pilots zijn in het voorjaar van 2021 afgerond. Met deze pilots is onderzocht in welke mate de gegevens bij de desbetreffende instellingen matchen met de gegevens die al vastgelegd zijn bij DUO. Tevens is verkend of de uitwisseling van gegevens goed tot stand kan komen conform de aanlevering van data door de al aangesloten onderwijsinstellingen in het primair en voortgezet onderwijs en de mbo-instellingen. De conclusie van beide pilots luidde dat de uitwisseling tussen de onderwijsinstellingen op het Caribisch Nederland en DUO kan plaatsvinden, maar dat er wel een aantal randvoorwaarden goed moeten worden geregeld, met name inzake instellings- en opleidingscodes (voorheen elementcodes) in de zogenaamde Registratie Instellingen en Opleidingen (RIO). Een andere voorwaarde is dat er adequate begeleiding is door de leverancier van de administratiepakketten en DUO. In deze pakketten zal een aantal aanpassingen doorgevoerd moeten worden. Streven is onderwijsinstellingen op Bonaire in 2022 aan te sluiten en in 2023 de rest van Caribisch Nederland.

Het gaat hier in eerste instantie om een technische aansluiting om in het register onderwijsdeelnemers de nodige gegevens te kunnen registreren. Vervolgens zal per doelgebied zoals bekostiging, toezicht, beleids- en begrotingsvoorbereiding worden bezien vanaf wanneer deze gegevens benut kunnen worden om separate gegevensbevraging van scholen in Caribisch Nederland zo snel mogelijk te kunnen beëindigen.

In de afweging of het register ook in werking moet treden voor Caribisch Nederland is met name gekeken naar de uitkomsten van de pilots. De pilots richtten zich met name op de mogelijkheid van technische aansluiting van de systemen. Geen prioriteit had aansluiting op het register in het kader van centraal melden en correcte registratie van verzuim om zo de verzuimaanpak en het toezicht te bevorderen. Dit komt mede omdat Caribisch Nederland wat betreft de verzuimregistratie, zowel absoluut als relatief verzuim, nog niet op een gelijk niveau is als Europees Nederland. Voor leerplicht is in de Tweede Onderwijsagenda CN 2017–2020 als ambitie geformuleerd: «in 2020 zijn de processen rondom het registreren en handhaven op orde en zijn het verzuim en de voortijdige schooluitval teruggedrongen». Aan deze ambitie wordt nu na afloop van de onderwijsagenda verder gewerkt. Voor Bonaire is onlangs een convenant gesloten tussen het openbaar lichaam, de gemeente Gouda en het Ministerie van OCW om de komende jaren gezamenlijk te werken aan kwaliteitsverbetering van de leerplichtfunctie op Bonaire. Daarin is een betere verzuimregistratie één van de doelen. Zodra deze ambitie volledig is behaald, kan ingezet worden op de vervolgstap, namelijk het verzuim opnemen in het register onderwijsdeelnemers.

9. Advies en openbare internetconsultatie

9.1. Openbare internetconsultatie

Het wetsvoorstel is van 8 februari tot en met 9 maart 2021 opengesteld voor internetconsultatie. Er is één reactie ontvangen. De respondent gaf aan het raadzaam te vinden in de wet een definitie op te nemen van «basisgegevens». Naar aanleiding hiervan wordt opgemerkt dat artikel 1 van de WRO al een definitie bevat van «basisgegevens»; basisgegevens worden daar gedefinieerd als «gegevens over onderwijsdeelnemers die noodzakelijk zijn voor de doelen, bedoeld in artikel 5, tweede lid.» Welke persoonsgegevens concreet tot de basisgegevens gerekend worden, is gespecificeerd in het BRO en de Regeling register onderwijsdeelnemers. Hiermee is het begrip «basisgegevens» voldoende afgebakend.

9.2. Advies Autoriteit Persoonsgegevens

Conform artikel 36, vierde lid, AVG is de Autoriteit Persoonsgegevens (AP) geraadpleegd over het wetsvoorstel. De AP heeft op 4 maart 2021 advies uitgebracht. Het advies van de AP heeft alleen betrekking op de gegevensverstrekking uit het register onderwijsdeelnemers aan aangewezen organisaties. Over de andere onderdelen van het wetsvoorstel heeft de AP geen opmerkingen gemaakt.

De AP merkt op dat door het concept-wetsvoorstel grote hoeveelheden persoonsgegevens worden verstrekt aan diverse aangewezen privaatrechtelijke organisaties. De overheid verliest daarmee de controle over de aan haar toevertrouwde persoonsgegevens en er ontstaan grotere risico’s met betrekking tot onder meer beveiliging en onverenigbaar gebruik, aldus de AP. Het is van belang dat persoonsgegevens die door de overheid zijn verzameld voor een specifieke overheidstaak ook zo veel mogelijk in overheidshanden blijven.

Voorts brengt de AP naar voren dat in de memorie van toelichting is aangegeven dat DUO de betreffende analyses niet kan uitvoeren omdat het takenpakket van DUO al zwaar is, waardoor DUO de komende jaren niet in de hele informatiebehoefte van de aangewezen organisaties kan voorzien in de vorm van aggregaten (geanonimiseerde gegevens). Dit acht de AP geen reden om de gegevens dan maar in ruwere vorm aan private organisaties te verstrekken.

De AP adviseert om de noodzaak van de gegevensverstrekking aan de aangewezen organisaties nader te onderbouwen in de toelichting, dan wel van de gegevensverstrekking af te zien. De AP maakt daarnaast een zestal overige opmerkingen voor het geval de noodzaak nader wordt onderbouwd.

Naar aanleiding van het advies van de AP is de noodzaak van de verstrekking aan aangewezen organisaties nader toegelicht in paragraaf 3.3.2. In samengevatte vorm wordt daarop hierna ingegaan.

Noodzaak verstrekking gegevens uit het register onderwijsdeelnemers aan aangewezen organisaties

Bij de beoordeling van de noodzaak van gegevensverwerkingen moet zowel gekeken worden naar de proportionaliteit als naar de subsidiariteit.

Proportionaliteit

Hierbij gaat het om de vraag, of de inbreuk op de persoonlijke levenssfeer en de bescherming van persoonsgegevens die voortvloeit uit de desbetreffende verwerkingen van persoonsgegevens, in een evenredige verhouding staat tot de verwerkingsdoeleinden.⁹⁵

De verwerkingen (gegevensleveringen aan de sectororganisaties, JOB, Studiekeuze 123 en Kences) hebben tot doel de ontwikkeling van maatschappelijk belangrijke informatieproducten mogelijk te maken. De sectororganisaties ondersteunen de instellingen in hun sector bij het afleggen van publieke verantwoording in de vorm van informatieproducten zoals benchmarks, dashboards, landelijke overzichten met informatie over individuele instellingen en over de sector als geheel.⁹⁶ Langs deze weg maken onderwijsinstellingen transparant welke resultaten zij behalen en welke keuzes zij maken, zodat zij daarover met hun directe omgeving in gesprek kunnen. Aan de hand van de informatieproducten kunnen ouders, leerlingen en studenten kennis nemen van de kwaliteit en doelmatigheid van het onderwijs. Ouders en onderwijsdeelnemers kunnen zich bij de schoolkeuze mede baseren op deze informatie. Daarnaast bevatten deze informatieproducten ook sturingsinformatie voor de schoolbesturen zelf en kunnen ze benut worden door medezeggenschapsorganen en raden van toezicht. Dat deze informatieproducten in een brede behoefte voorzien blijkt ook uit het feit dat de Tweede Kamer regelmatig deze benchmarks en dashboards gebruikt. De gegevens die JOB ontvangt zijn nodig voor de JOB-monitor, een landelijke, tweejaarlijkse monitor waarin onder meer de studenttevredenheid per instelling aan bod komt. Deze monitor vormt niet alleen voor aankomende studenten een keuze-instrument, maar biedt instellingen inzicht in de tevredenheid van hun studenten ten opzichte van andere instellingen. Ook de Studiekeuzedatabase van Studiekeuze123 biedt aankomende studenten een waardevol keuze-instrument. De gegevensverstrekking aan Kences is noodzakelijk voor onderzoeken op het gebied van studentenhuisvesting.

Met betrekking tot de inbreuk die de betreffende gegevensverwerkingen opleveren voor de persoonlijke levenssfeer en de bescherming van persoonsgegevens, merk ik het volgende op. De AP stelt terecht dat het gaat om grote hoeveelheden persoonsgegevens. Eveneens onderschrijf ik dat grote terughoudendheid op zijn plaats is als het gaat om het verstrekken van persoonsgegevens aan private organisaties, in verband met mogelijke risico’s op het gebied van beveiliging en onverenigbaar gebruik. Bij de verstrekking aan private organisaties op grond van het voorgestelde artikel 23 WRO, dienen de inbreuk op de persoonlijke levenssfeer en de risico’s evenwel in het volgende perspectief te worden bezien:

• Het gaat om verstrekking aan een beperkte kring van organisaties. De betreffende organisaties worden in de wet zelf benoemd⁹⁷ of moeten bij amvb worden aangewezen⁹⁸. Voor de aanwijzing bij amvb zijn concrete en geobjectiveerde criteria in het wetsvoorstel opgenomen. Bij de totstandkoming van de amvb wordt het parlement betrokken doordat een voorhangprocedure is voorgeschreven.

• De private organisaties die in de wet of bij amvb worden aangewezen zijn alle rechtspersonen zonder winstoogmerk (vereniging of stichting.⁹⁹

• Het wetsvoorstel voorziet in een zorgvuldige procedure voordat tot verstrekking van gegevens wordt overgegaan. De organisatie dient in een verzoek aan te geven voor welk specifiek doel gegevens worden gevraagd, welke gegevens het betreft, en waarom deze gegevens noodzakelijk zijn voor het beoogde doel.¹⁰⁰ De Minister toetst dit en legt de uitkomst van deze toetsing vast in een verstrekkingsbesluit, dat wordt gepubliceerd.¹⁰¹ Hiermee wordt onder meer invulling gegeven aan dataminimalisatie.

• Gegevens worden gepseudonomiseerd¹⁰² en worden uitgewisseld via de bestaande systemen van DUO, die bewezen hebben betrouwbaar te zijn en werken met actuele en adequate informatiebeveiligings- en privacystandaarden. De sleutel voor deze pseudonimisering is alleen in handen van DUO.

• Verder regelt het wetsvoorstel dat aan verstrekkingsbesluiten voorschriften en beperkingen worden verbonden in het belang van een zorgvuldige en doelmatige gegevensverwerking.¹⁰³ Hierbij valt te denken aan voorschriften over de wijze van verstrekking of een verplichting tot medewerking aan privacy-audits.

• Het wetsvoorstel geeft de Minister de bevoegdheid om verstrekkingsbesluiten in te trekken, indien de betreffende organisatie de gegevens voor andere doelen gebruikt of de voorschriften en beperkingen die aan het verstrekkingsbesluit zijn verbonden, niet naleeft.¹⁰⁴

De inbreuk op de persoonlijke levenssfeer staat daarmee naar mijn oordeel in een evenredige verhouding tot de verwerkingsdoelen en de daarbij betrokken belangen van de ontvangende organisaties, onderwijsinstellingen, ouders, onderwijsdeelnemers en anderen in het onderwijsveld.

Subsidiariteit

Hierbij gaat het om de vraag, of de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, kunnen worden verwezenlijkt.¹⁰⁵ Er is gekeken naar denkbare alternatieven voor de verstrekking van gepseudonimiseerde gegevens door DUO aan aangewezen organisaties.¹⁰⁶

In de eerste plaats is, zoals aangegeven in de memorie van toelichting zoals die is voorgelegd aan de AP, gekeken naar het alternatief dat DUO in de informatiebehoefte van de aangewezen organisaties zou voorzien door – conform specificaties aangereikt door deze organisaties – bewerkingen op de gepseudonimiseerde gegevens te doen en de organisaties geanonimiseerde gegevens (halfproducten) te leveren waarmee zij de informatieproducten kunnen samenstellen. Zo zouden bijvoorbeeld de geanonimiseerde gegevens waarmee onderwijsinstellingen zich publiek verantwoorden via websites zoals scholen op de kaart.nl, door DUO berekend en aan de sectororganisaties geleverd kunnen worden, waarna de betrokken sectororganisatie ze samenvoegt met gegevens afkomstig van de instelling zelf (bijvoorbeeld over oudertevredenheid) en publiceert. Dit zou vanuit privacy-oogpunt bepaalde voordelen hebben, aangezien er in dat geval geen persoonsgegevens meer zouden hoeven te worden verstrekt aan de betrokken (private) organisaties, en de persoonsgegevens bij de overheid (DUO) zouden blijven.

Dit alternatief betekent dat DUO extra activiteiten zou dienen te verrichten. Het gaat onder meer om het bewerken van gepseudonimiseerde gegevens tot geanonimiseerde gegevens «op maat» (conform bepaalde specificaties van de sectororganisaties), en dat zowel op sectorniveau als op het niveau van de individuele onderwijsinstellingen, en levering daarvan. Daarnaast gaat het om het beantwoorden van vragen van onderwijsinstellingen en sectororganisaties naar aanleiding van de geleverde gegevens.

Deze extra activiteiten zouden bovendien een structureel karakter dragen, aangezien de informatieproducten waarvoor zij bedoeld zouden zijn eveneens structureel van aard zijn.

Er is niet gekozen voor dit alternatief. De informatieproducten spelen, zoals hiervoor aan de orde is gekomen, een rol in de publieke verantwoording door de onderwijsinstellingen. Met de informatieproducten maken onderwijsinstellingen voor een breed publiek een aantal zaken transparant, bijvoorbeeld welke resultaten zij bereiken. De verantwoordelijkheid voor het afleggen van verantwoording ligt bij (het bevoegd gezag van) de onderwijsinstellingen; de onderwijswetgeving gaat hier ook van uit.¹⁰⁷ De sectororganisaties zijn verenigingen van onderwijsinstellingen en ondersteunen hen bij hun taken, waaronder die op het gebied van de publieke verantwoording. Wanneer DUO voor de informatieproducten gegevens (halfproducten) zou produceren, zou het daarmee een bepaalde bijdrage leveren aan de publieke verantwoording door de onderwijsinstellingen. Dat past niet goed bij de rolverdeling tussen overheid, onderwijsinstellingen en sectororganisaties.

Het gaat bovendien om zeer arbeidsintensieve activiteiten. De vragen die onderwijsinstellingen thans aan de sectororganisaties stellen over de cijfers in de informatieproducten zijn talrijk en specifiek. Een goede beantwoording van deze vragen vereist veel kennis van (de behoefte van) onderwijsinstellingen, kennis die bij DUO minder aanwezig is dan bij de sectororganisaties. Ook vanuit een oogpunt van efficiënte inzet van middelen en kennis is dit daarom geen geschikt alternatief. In dit verband wordt ook opgemerkt dat terughoudendheid is geboden als het gaat om het toewijzen van nieuwe taken aan DUO, zoals is aangegeven in de brief van 8 oktober 2019 aan de Tweede Kamer.¹⁰⁸

Tegenover voordelen uit privacy-optiek zijn derhalve nadelen verbonden aan het beschreven alternatief, met name op het gebied van de rolverdeling tussen overheid, onderwijsinstellingen en sectororganisaties, en tevens op het gebied van de uitvoerbaarheid (efficiënte inzet van kennis en middelen). Gelet daarop, en gelet op de wettelijke waarborgen ter beperking van privacyrisico’s die ik hiervoor heb beschreven, ben ik van mening dat in redelijkheid van dit alternatief kan worden afgezien.

In de tweede plaats is het alternatief overwogen om een nieuwe (overheids)organisatie op te richten die, in plaats van DUO, de bewerkingen van de gegevens zou doen en de geanonimiseerde gegevens «op maat» zou verstrekken aan de aangewezen organisaties. Daarmee zouden de persoonsgegevens bij de overheid blijven. Echter, ook in dit alternatief zou de overheid een bijdrage leveren aan de publieke verantwoording door onderwijsinstellingen door levering van gegevens voor informatieproducten. Dat zou evenmin passen bij een goede rolverdeling tussen overheid, onderwijsinstellingen en sectororganisaties. Daarnaast mag bij een nieuw op te richten organisatie in vergelijking met DUO minder expertise op het gebied van het register onderwijsdeelnemers en het onderwijsveld aanwezig worden geacht. Daarmee wordt ook dit geen geschikt alternatief geacht.

Tot slot is gekeken naar een alternatief waarbij de leerling- en studentgegevens door de onderwijsinstellingen (rechtstreeks) aan de desbetreffende private organisaties zouden worden verstrekt. Dit vraagt de totstandbrenging van vele dataverbindingen voor het uitwisselen van de (persoons)gegevens tussen de onderwijsinstellingen en de private organisaties. Het gaat hierbij om duizenden onderwijsinstellingen. Hiermee zijn bepaalde informatiebeveiligingsrisico’s gemoeid. Dit maakt dat aangenomen mag worden dat dit alternatief – in vergelijking met verstrekking door DUO – niet minder nadelig is voor de betrokkenen (de onderwijsdeelnemers op wie de gegevens betrekking hebben). Daarmee is ook dit geen volwaardig alternatief.

Overige opmerkingen AP

Er is tegemoet gekomen aan de overige, subsidiaire opmerkingen uit het advies van de AP. Conform punt 1.1 van het advies is in het voorgestelde artikel 23, vijfde lid, geëxpliciteerd dat de aan aangewezen organisaties te verstrekken gegevens worden gepseudonimiseerd en zijn de passages in de memorie van toelichting over het soort gegevens dat wordt verstrekt aangepast. Het doeleinde «doelmatigheid» is nader toegelicht, in paragraaf 3.3.2 onder het kopje «Verruiming naar «doelmatigheid», «primair en voortgezet onderwijs»» (punt 1.2 advies). In paragraaf 4.1 is nader ingegaan op de proportionaliteit en de uitzonderingsgrond voor de verstrekking van gegevens over gezondheid (punt 1.3 en 1.5 advies). De sectororganisaties zijn, conform punt 1.4 van het advies van de AP, benoemd als ontvangers van gegevens voor het doel «ondersteuning onderwijsinstellingen en samenwerkingsverbanden bij hun verantwoording» (artikel 23, derde lid). Tot slot is de rechtsgrond als bedoeld in artikel 6, eerste lid, AVG voor de verwerking van de gegevens door de aangewezen organisaties vermeld in paragraaf 4.1 (punt 1.6 advies). Het gaat om de rechtsgrond «gerechtvaardigde belangen» als bedoeld in artikel 6, eerste lid, onderdeel f, AVG.

9.3. Advies Adviescollege Toetsing Regeldruk (ATR)

Het ATR acht nut en noodzaak van het wetsvoorstel voldoende onderbouwd in de toelichting. Verder constateert het ATR dat minder belastende alternatieven zijn overwogen en beargumenteerd vooralsnog niet zijn gekozen. Het ATR heeft wel een aantal adviespunten over de werkbaarheid van twee onderdelen van het wetsvoorstel (verstrekking aan aangewezen organisaties en verstrekking aan pensioenuitvoerders) en over de regeldrukgevolgen voor instellingen voor hoger onderwijs en aangewezen organisaties. De regering neemt deze adviespunten over.

In paragraaf 3.3.2 (met name onder «waarborgen») is reeds ingegaan op de wijzigingen die het wetsvoorstel met zich brengt voor de aangewezen organisaties ten opzichte van de huidige situatie. In de artikelsgewijze toelichting op artikel 23 WRO is voorts ingegaan op het advies van het ATR om het werkproces zo in te richten dat zo veel mogelijk vervolgaanvragen van deze organisaties kunnen worden voorkomen.

Daarnaast is ingevolge het advies van het ATR nagegaan of en hoe alle pensioenuitvoeringsorganisaties die wezenpensioen uitkeren gebruik kunnen maken van de gegevensverstrekking door DUO. Gebleken is dat alle pensioenuitvoerders c.q. pensioenuitvoeringsorganisaties in staat zijn om gebruik te maken van de gegevensuitwisseling met DUO. Voor de gegevensuitwisseling is geen nieuw ICT-systeem nodig. De uitvoerders zijn immers bekend met gegevensuitwisseling en hebben daarvoor reeds een basisinfrastructuur. Er geldt geen verplichte afname van gegevens bij DUO, dus het is aan de uitvoerders zelf om te bepalen of zij er ook daadwerkelijk gebruik van willen maken. De verwachting is dat het merendeel van de pensioenuitvoerders c.q. pensioenuitvoeringsorganisaties gebruik zal maken van de gegevensuitwisseling met DUO.

Een ander adviespunt van het ATR is om de pensioenuitvoeringsorganisaties actief te informeren en te stimuleren om gebruik te maken van de gegevensuitwisseling met DUO. In reactie hierop wordt opgemerkt dat de Pensioenfederatie deze mogelijkheid bij haar leden onder de aandacht zal brengen. Bij deze informatievoorziening wordt ook uitgelegd op welke wijze men dit kan realiseren. Vrijwel alle Nederlandse pensioenfondsen zijn lid van de Pensioenfederatie. Via de pensioenfondsen ontvangen de pensioenuitvoeringsorganisaties deze informatie ook.

Tot slot is conform het advies van het ATR paragraaf 5.2 aangevuld met regeldrukgevolgen voor het indienen van verzoeken door instellingen en aangewezen organisaties voor gegevensverstrekking uit het register.

10. Inwerkingtreding

De beoogde inwerkingtredingsdatum is 1 januari 2023. Gelijktijdig met de inwerkingtreding van dit wetsvoorstel zal ook de wijziging van het BRO die invulling geeft aan dit wetsvoorstel in werking treden. Artikel X van dit wetsvoorstel voorziet in de mogelijkheid van gefaseerde inwerkingtreding, waarbij tevens kan worden gedifferentieerd tussen het Europese en het Caribische deel van Nederland.

II. ARTIKELSGEWIJZE TOELICHTING

Artikel I, onderdeel A (artikel 1 WRO)

In dit onderdeel worden aan de begripsbepalingen van «bestuur» en «hoofd» in artikel 1 WRO de particuliere B3- en B4-scholen toegevoegd. Hierdoor vallen het bevoegd gezag en het hoofd van deze scholen voortaan onder de verplichting in artikel 12 WRO om gegevens aan de Minister te leveren. De Minister neemt deze gegevens vervolgens op in het register onderwijsdeelnemers. Het gaat om de levering van basisgegevens en verzuimgegevens. Op die manier worden deze scholen net als alle andere scholen in Nederland die onder de LPW 9 vallen aangesloten op het register.

Daarnaast wordt in dit onderdeel een definitie gegeven van «samenwerkingsverband».

Artikel I, onderdeel B (artikel 11 WRO)

Eerste lid, onderdeel g

Artikel 11, eerste lid, WRO bepaalt aan wie persoonsgegevens over gezondheid, die deel uitmaken van de basisgegevens, verstrekt mogen worden. Het voorgestelde onderdeel g heeft betrekking op de verstrekking aan samenwerkingsverbanden passend onderwijs. Hierop is ingegaan in paragraaf 3.3.3 van het algemene deel van deze memorie van toelichting.

Bij de totstandkoming van de WRO is er op gewezen dat de wet voorziet in passende waarborgen voor de verstrekking van bijzondere gegevens, door onder meer het gesloten verstrekkingenregime en de maatregelen omtrent de beveiligingsniveaus en autorisatie. Dit onderdeel regelt de grondslag voor het verstrekken van bijzondere gegevens (gegevens over gezondheid) aan de samenwerkingsverbanden en definieert expliciet de doelbinding. Hierbij wordt aangesloten op artikel 18a WPO en artikel 17a WVO, waarin de wettelijke taak van de samenwerkingsverbanden met betrekking tot het verdelen en toewijzen van ondersteuningsmiddelen en ondersteuningsvoorzieningen aan de scholen is neergelegd (artikel 18a, zesde lid, onderdeel b, WPO en artikel 17a, zesde lid, onderdeel b, WVO).

Eerste lid, onderdeel h

Het voorgestelde artikel 11, onderdeel h, hangt samen met de voorgestelde wijzigingen in artikel 23 van de WRO en ziet op de verstrekking van gegevens over gezondheid aan instellingen en aangewezen organisaties. Hierop wordt nader ingegaan in de artikelsgewijze toelichting op artikel I, onderdeel E.

Artikel I, onderdeel C (artikel 15 WRO)

Het huidige artikel 15 WRO bevat abusievelijk geen vierde lid. Onderdeel C brengt twee wetstechnische wijzigingen met zich mee. Ten eerste, de vernummering van de huidige leden 5 en 6 tot respectievelijk lid 4 en 5. Ten tweede, in het nieuwe vierde lid (het oude vijfde lid) wordt een nieuw onderdeel toegevoegd, onderdeel h, dat de grondslag biedt om basisgegevens te gebruiken ten behoeve van de legalisatie van documenten (zie paragraaf 3.4.2).

Artikel I, onderdeel D (artikel 18 WRO)

Artikel 18, derde lid, WRO is reeds eerder gewijzigd met de Verzamelwet OCW 2020 (Wet van 12 februari 2020 tot wijziging van de verschillende wetten op met name het terrein van onderwijs, cultuur en media in verband met voornamelijk wetstechnische en redactionele verbeteringen (Stb. 2020, 76)). In artikel XXVIII van de Verzamelwet OCW 2020 is geregeld dat diplomagegevens tevens kunnen worden gebruikt voor het beheer van het lerarenregister. In dit wetsvoorstel wordt uitgegaan van artikel 18, derde lid, WRO zoals dat komt te luiden na inwerkingtreding van deze bepaling van de Verzamelwet OCW 2020.

Artikel I, onderdeel E (artikel 23 WRO)

In het algemeen deel van de toelichting is uitvoerig ingegaan op het nieuwe artikel 23 WRO. Hier wordt opgemerkt dat dit artikel ziet op gegevensverstrekkingen ten behoeve van onderzoeken die plaatsvinden op initiatief van de betrokken organisatie. De organisatie treedt hierbij op als verwerkingsverantwoordelijke in de zin van de AVG. Het artikel heeft geen betrekking op gegevensverstrekkingen voor onderzoeken die plaatsvinden in opdracht van het Ministerie van OCW. Die gegevensverstrekkingen vallen onder een andere grondslag. Artikel 15, eerste lid, WRO bepaalt dat basisgegevens worden verstrekt aan de Minister van OCW voor zover dat noodzakelijk is voor de beleidsvoorbereiding. In het kader van de beleidsvoorbereiding laat het ministerie regelmatig onderzoeken uitvoeren door onderzoeksinstellingen en -bureaus en stelt daarvoor gegevens uit het register beschikbaar. In dat geval is de Minister van OCW de verwerkingsverantwoordelijke en treden bedoelde onderzoeksinstellingen en -bureaus op als verwerker.

Het eerste en het derde lid bepalen dat «basisgegevens» verstrekt kunnen worden. Basisgegevens kunnen identificerende gegevens in de zin van artikel 9 WRO omvatten (behalve direct identificerende gegevens (naam, adres, geboortedatum)), gegevens over in- en uitschrijving van de onderwijsdeelnemer bij de betreffende onderwijsinstelling, opleidings- en resultaatsgegevens en overige basisgegevens in de zin van artikel 8 BRO.¹⁰⁹ De basisgegevens kunnen ook één categorie van bijzondere persoonsgegevens in de zin van de AVG betreffen, namelijk gegevens over gezondheid. Op de verwerking van gegevens over gezondheid is reeds in paragraaf 4.1 ingegaan.

Het eerste lid gaat over het doel onderzoeksactiviteiten naar de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs en wijst een aantal organisaties aan (onderdelen a t/m c van het eerste lid). Ook Nuffic behoort hiertoe (zie samenloopbepaling van artikel IX). Naast deze organisaties kunnen andere organisaties bij amvb worden aangewezen voor het doel onderzoeksactiviteiten.

Het tweede lid geeft criteria voor een aanwijzing van een organisatie bij amvb.

Met het criterium «volledige rechtsbevoegdheid» is beoogd om informele verenigingen, die buiten de notaris om kunnen worden opgericht, niet in aanmerking te laten komen. Dit hangt samen met het organisatievermogen en de professionaliteit waarover ontvangende organisaties moeten beschikken (zoals bijvoorbeeld in het kader van informatiebeveiliging). Met het criterium «geen winstoogmerk» wordt voorkomen dat bijvoorbeeld commerciële onderzoeksbureaus in aanmerking komen voor verstrekking.¹¹⁰

Daarnaast moet het gaat om organisaties die op landelijk niveau belanghebbenden in het onderwijs vertegenwoordigen (besturen van onderwijsinstellingen, onderwijspersoneel, (ouders van) onderwijsdeelnemers). Hiermee wordt gewaarborgd dat belanghebbenden in het onderwijs baat hebben bij het onderzoek. Bovendien moeten deze organisaties voldoende aannemelijk maken dat persoonsgegevens uit het register noodzakelijk zijn voor onderzoeksactiviteiten naar de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs. Organisaties die in aanmerking willen komen voor gegevensverstrekking uit het register moeten concrete voornemens hebben om onderzoek te verrichten dat ten dienste staat aan het goed functioneren van het onderwijsstelsel (kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs). Ze moeten ook voldoende aannemelijk maken dat ze daarvoor persoonsgegevens uit het register nodig hebben en niet kunnen volstaan met bijvoorbeeld geanonimiseerde gegevens. Deze noodzakelijkheidstoets moet worden onderscheiden van de concrete noodzakelijkheidstoets die plaatsvindt bij de beoordeling van een specifieke aanvraag van een (reeds bij amvb aangewezen) organisatie voor gegevensverstrekking (zie het zevende lid). Als een organisatie eenmaal bij amvb is aangewezen en voor een concreet onderzoek gegevens uit het register wil ontvangen, moet zij eerst een aanvraag indienen bij de Minister. Bij de beoordeling van die aanvraag wordt gekeken of de gevraagde gegevens noodzakelijk zijn voor het beoogde onderzoeksdoel. Dit is een specifiekere noodzakelijkheidstoets die betrekking heeft op een concreet onderzoek.

De in paragraaf 3.3.2 genoemde sectororganisaties en JOB vallen onder de hiervoor genoemde criteria. Deze organisaties zijn rechtspersonen met volledige rechtsbevoegdheid zonder winstoogmerk. Zij behartigen de belangen van besturen van onderwijsinstellingen of van studenten. Door hun onderzoeken en informatieproducten, die in paragraaf 3.3.2 aan de orde zijn gekomen, dragen ze bij aan de bevordering van de kwaliteit, toegankelijkheid of doelmatigheid van het onderwijs en is de noodzaak van gegevensverstrekking uit het register voor zulke onderzoeken aannemelijk gemaakt.

Het derde lid bepaalt dat voor het doel «ondersteunen onderwijsinstellingen en samenwerkingsverbanden bij hun verantwoording», verstrekking van basisgegevens kan plaatsvinden aan de genoemde sectororganisaties. De aanwijzing van deze organisaties in de wet zelf is conform het advies van de Autoriteit Persoonsgegevens (punt 1.4 van het advies). Het gaat hier om verenigingen van onderwijsinstellingen die voor hun leden optreden als werkgeversvertegenwoordiger bij collectieve arbeidsovereenkomsten en als vertegenwoordiger in overleg met de centrale overheid.

Het vierde lid maakt duidelijk dat de aan instellingen voor hoger onderwijs en aangewezen organisaties te verstrekken gegevens geen direct tot personen herleidbare gegevens (naam, adres en geboortedatum) bevatten. De redactie van deze bepaling is gelijk aan artikel 15, tweede lid, en artikel 19, tweede lid, WRO, inzake de verstrekking van gegevens aan de Minister en de inspectie voor onder andere begrotings- en beleidsvoorbereiding en toezicht. Het gaat hier met name om gepseudonimiseerde bestanden. Het voornemen bestaat om de vervanging van het persoonsgebonden nummer door een pseudoniem te regelen in het BRO, zoals dat voor de verstrekkingen aan de Minister en de inspectie reeds is gedaan (zie artikelen 23, derde lid, en 26, derde lid, BRO). Grondslag hiervoor is het voorgestelde twaalfde lid van artikel 23 WRO.

Het vijfde lid bepaalt dat een verstrekking steeds een expliciet besluit van de Minister vereist.

Het zesde tot en met tiende lid geven nadere voorschriften over het besluit van de Minister. Alvorens gegevens uit het register verstrekt kunnen worden dient de Minister op verzoek van de instelling of de aangewezen organisatie daartoe een besluit te nemen. Het verzoek moet een aantal elementen bevatten (zesde en zevende lid):

• Het doel of de doelen van de gegevensverstrekking. Deze doelen moeten vallen binnen het in het eerste en derde lid genoemde doel.

• De persoonsgegevens waarop het verzoek betrekking heeft.

• Onderbouwing waarom persoonsgegevens noodzakelijk zijn voor het beoogde doel of beoogde doelen.

Het verzoek kan bijvoorbeeld in de vorm van een aanvraagformulier worden gedaan. Het verzoek wordt vervolgens door de Minister getoetst, waarbij onder meer bepalend is of en in hoeverre de verstrekking van de gegevens noodzakelijk is voor de beoogde doelen (zevende lid). Hierbij wordt steeds de afweging gemaakt tussen het belang van bescherming van de persoonlijke levenssfeer van de personen, van wie de verzoeker gegevens verstrekt wenst te krijgen, en het belang van de verzoeker, om de gegevens te ontvangen voor de in het verzoek beschreven doeleinden. Gekeken wordt of de in het verzoek vermelde gegevens noodzakelijk zijn voor de in het verzoek vermelde doelen.

Na toetsing van het verzoek neemt de Minister een besluit ten behoeve van de verzoeker. In het besluit wordt in ieder geval bepaald voor welke doeleinden gegevens worden verstrekt, welke gegevens worden verstrekt, en welke bewaartermijn geldt voor de te verstrekken gegevens (achtste lid). Het is overigens mogelijk dat herhaalde gegevensverstrekkingen van dezelfde set gegevens voor dezelfde doelen op basis van één besluit geschieden. Het besluit kan voor een bepaalde periode (bijvoorbeeld twee jaar) worden afgegeven. Binnen die periode kunnen dan bijvoorbeeld jaarlijks of twee keer per jaar de set gegevens die in het besluit zijn genoemd worden verstrekt voor de doelen die in het besluit zijn genoemd. Op die manier wordt voorkomen dat een instelling voor dezelfde set gegevens en voor dezelfde doelen steeds een nieuw verzoek moet indienen. Indien echter binnen de periode waarin het besluit geldt de betreffende organisatie een wijziging van de set gegevens of het doel wil aanbrengen, dan moet wel een nieuw verzoek worden ingediend.

Volgens het negende lid van artikel 23 worden aan het besluit van de Minister voorschriften en beperkingen verbonden in het belang van een zorgvuldige en doelmatige gegevensverstrekking. Het kan bijvoorbeeld gaan om technische voorschriften (zoals de wijze van gegevensverstrekking, bijvoorbeeld dat deze via het beveiligde zakelijk portaal van DUO plaatsvindt, of de tijdstippen van de verstrekking), maar ook de periode waarop de gegevensverstrekking betrekking heeft, maatregelen om gegevensbeveiliging te waarborgen of medewerking aan privacy-audits.

Het tiende lid regelt de bevoegdheid voor de Minister om het besluit in te trekken. De intrekking kan in ieder geval op de twee genoemde gronden. De eerste is als de gegevens waarop het besluit betrekking heeft voor andere doeleinden worden verwerkt dan die in het besluit zijn genoemd. De tweede grond is als niet wordt voldaan aan de voorschriften en beperkingen die aan het besluit zijn verbonden. De aanduiding van intrekkingsgronden is niet uitputtend; onder omstandigheden is intrekking op andere gronden mogelijk.

Het intrekkingsbesluit heeft tot gevolg dat de betreffende instelling of aangewezen organisatie de gegevens die op basis van het verstrekkingsbesluit zijn ontvangen onverwijld moet vernietigen. Het besluit van de Minister tot verstrekking van gegevens, bedoeld in het vijfde lid, is namelijk een voorwaarde voor een rechtmatige verstrekking van de gegevens door de Minister aan instellingen voor hoger onderwijs of aangewezen organisaties. Het vijfde lid bepaalt immers dat de verstrekking van basisgegevens plaatsvindt voor zover dit is bepaald bij besluit van de Minister. Daarmee is het verstrekkingsbesluit van de Minister eveneens een voorwaarde voor een rechtmatige verwerking van de desbetreffende persoonsgegevens door de instelling van hoger onderwijs of aangewezen organisatie die ze ontvangt. Onder verwerking van persoonsgegevens dient een breed scala van handelingen te worden begrepen, waaronder het vastleggen en opslaan van persoonsgegevens (artikel 4, onderdeel 2, AVG). Met de intrekking van het verstrekkingsbesluit komt, gelet op het voorgaande, de juridische basis te ontvallen aan het vastleggen en opslaan van de desbetreffende persoonsgegevens door de instelling voor hoger onderwijs of aangewezen organisatie. Wanneer een besluit tot verstrekking wordt ingetrokken, rust op de desbetreffende instelling of organisatie dan ook de verplichting om gegevens die op basis van het besluit ontvangen zijn, onverwijld te vernietigen.

Het besluit tot verstrekking wordt toegezonden aan de aanvrager en wordt daarnaast gepubliceerd in de Staatscourant (elfde lid). Dit geldt ook voor een besluit tot intrekking van een verstrekkingsbesluit. Deze besluiten zijn besluiten in de zin van de Algemene wet bestuursrecht en vatbaar voor bezwaar en beroep.

In het twaalfde lid is een delegatiegrondslag voor regelgevende bevoegdheid opgenomen. Er is hier gekozen voor subdelegatie («bij of krachtens amvb»), zodat bepaalde administratieve aspecten bij ministeriële regeling nader kunnen worden geregeld. Hierbij valt te denken aan de vaststelling van een aanvraagformulier.

Artikel I, onderdeel F (artikel 24 WRO)

In dit onderdeel wordt artikel 24 WRO gewijzigd. Subonderdeel 1 van onderdeel F wijzigt het opschrift van artikel 24 WRO naar «verstrekking aan bestuursorganen». Dit opschrift sluit beter aan bij de inhoud van dit artikel. In subonderdeel 2 van onderdeel F wordt het imperatieve karakter van artikel 24, eerste lid WRO (gegevens worden verstrekt) gewijzigd naar een facultatief karakter (gegevens kunnen worden verstrekt). De reden hiervoor is dat een bestuursorgaan pas in aanmerking komt voor het verkrijgen van gegevens uit het register als het bij amvb is aangewezen.¹¹¹ Er is dus eerst een afweging op amvb-niveau nodig. Om dit tot uitdrukking te brengen wordt dit artikel naar een «kan bepaling» geformuleerd.

Artikel I, onderdeel G (nieuwe artikelen 24a en 24b WRO)

Artikel 24a (gegevensverstrekking aan pensioenuitvoerders)

De gegevensverstrekkingen aan bestuursorganen kunnen op grond van artikel 24 WRO in het BRO worden geregeld. Aangezien pensioenuitvoerders geen bestuursorganen zijn, behoeft de verstrekking van basisgegevens met het persoonsgebonden nummer aan pensioenuitvoerders een zelfstandige grondslag in de WRO. De gegevens worden verstrekt voor zover deze gegevens noodzakelijk zijn voor het uitkeren van een wezenpensioen aan de onderwijsdeelnemer dan wel aan de ouder of verzorger(s) van de onderwijsdeelnemer.

Artikel 24b (gegevensverstrekking aan Belgische overheidsinstellingen)

In het algemeen deel van deze toelichting is uitgebreid ingegaan op de verstrekking van gegevens aan de Belgische overheidsinstantie ten behoeve van het effectief terugdringen van verzuim. Het tweede lid van het nieuwe artikel 24b bepaalt dat bij amvb onder andere wordt bepaald welke Belgische overheidsinstelling in aanmerking komt voor verstrekking. Dat is in dit geval het AGODI. Dit zal in het BRO worden opgenomen. Daarnaast zal in het BRO worden geregeld welke gegevens precies zullen worden verstrekt. Alleen die gegevens die noodzakelijk zijn voor de controle door het AGODI op absoluut verzuim zullen worden verstrekt:

• voornamen;

• geslachtsnaam;

• adres en postcode waar de leerplichtige woont;

• het gegeven of de leerplichtige op de peildatum op een school was ingeschreven;

• school waar de leerplichtige in Nederland onderwijs volgt.

Artikel I, onderdeel H (artikel 25 WRO)

In artikel 25 is bepaald dat er een voorhangprocedure van toepassing is op een amvb die de verstrekking van gegevens uit het register onderwijsdeelnemers regelt. De nieuwe artikelen 24a en 24b komen ook onder deze voorhangprocedure te vallen.

Artikel I, onderdeel I (artikel 30 WRO)

Tweede lid

Deze wetswijziging brengt met zich mee dat zowel enkele basisgegevens als het persoonsgebonden nummer van onderwijsdeelnemers in het hoger onderwijs worden bewaard voor de duur van vijftig jaar na beëindiging van de laatste inschrijving. Deze langere bewaartermijn vormt een uitzondering op de algehele bewaartermijn van gegevens voor de duur van vijf jaar. De koppeling van het persoonsgebonden nummer aan de basisgegevens maakt het mogelijk om de onderwijsdeelnemers te identificeren.

Tweede lid, onderdeel e

Artikel 30, tweede lid, WRO specificeert de basisgegevens die gedurende vijftig jaar na beëindiging van de laatste inschrijving worden bewaard. Eén van deze gegevens betreft de «naam van de opleiding». Deze gegevens worden onder meer gebruikt voor de identificatie van de eerdere inschrijvingen en meer in het bijzonder ten behoeve van de vaststelling van de bekostiging en de hoogte van het collegegeld. In de praktijk blijkt de benaming «de naam van de opleiding» niet functioneel te zijn om de opleiding te kunnen identificeren. Er is nu gekozen voor een andere benaming: «de opleiding of opleidingen dan wel, voor zover het de Open Universiteit of een rechtspersoon van hoger onderwijs betreft, de onderwijseenheid of onderwijseenheden». Met deze benaming is de terminologie in de WRO in overeenstemming gebracht met de terminologie zoals deze in het BRO wordt gehanteerd (zie artikel 6, zesde lid, onderdeel b, BRO).

Tweede lid, onderdeel f

Het huidige tweede lid, onderdeel f, ziet op «de datum van het diploma». Hieruit zou kunnen worden afgeleid dat alleen van studenten die een diploma hebben behaald, de in het tweede lid omschreven gegevens gedurende vijftig jaar worden bewaard. Echter, ook van studenten die eerder een ho-opleiding hebben gevolgd maar deze niet hebben afgesloten met een diploma, is het nodig de aangeduide gegevens gedurende vijftig jaar te bewaren (om te voorkomen dat deze studenten ten onrechte in aanmerking komen voor bekostiging en het verlaagd collegegeld). Om te verduidelijken dat de in het tweede lid genoemde gegevens betrekking hebben op studenten met en zonder diploma, is aan onderdeel f de zinsnede «voor zover van toepassing» toegevoegd. Verder is de term «diploma» vervangen door de in de WRO gebruikelijker term «waardedocument».

Derde lid

Het derde lid wordt zodanig aangepast dat het langer bewaren van gegevens niet alleen wordt verbonden met het doel «vaststellen van de bekostiging», maar ook met het doel «bepaling van het verschuldigde collegegeld», en dat deze langere bewaartermijn ook geldt voor het persoonsgebonden nummer.

Artikel II (wijziging Leerplichtwet 1969)

Zoals eerder vermeld zijn de particuliere B3- en B4-scholen de laatste categorie scholen die worden aangesloten op het register onderwijsdeelnemers. Deze aansluiting betekent dat kennisgeving van in- en uitschrijving van een leerling en melding van relatief verzuim niet meer decentraal (melding door de hoofden aan burgemeester en wethouders), maar centraal gebeurt (de hoofden leveren de gegevens aan de Minister van OCW).¹¹² De bepalingen in de LPW over decentraal melden van zowel in- en uitschrijving van een leerling en over relatief verzuim, die op dit moment alleen gelden ten aanzien van de particuliere B3- en B4-scholen, moeten komen te vervallen. Het gaat om bepalingen in artikel 18 (artikel II, onderdeel A, van het wetsvoorstel) en tevens het gehele artikel 21 LPW (artikel II, onderdeel C, van wetsvoorstel).

In onderdeel A wordt artikel 18 LPW gewijzigd. Allereerst moet de eerste volzin van het eerste lid van artikel 18 LPW komen te vervallen. Deze zin gaat over het decentraal melden van in- en uitschrijvingen door het hoofd van de particuliere B3- en B4- school aan de gemeente. Aangezien het wetsvoorstel centrale melding van verzuimgegevens aan de Minister van OCW (feitelijk DUO) voor deze scholen regelt, moet deze zin komen te vervallen. Ook het vijfde lid van artikel 18 is niet meer van toepassing. Deze bepaling zondert de bekostigde scholen en particuliere B2 scholen (die reeds aangesloten zijn op het register) uit voor het decentraal melden van in- en uitschrijvingen. Deze uitzondering is niet meer van toepassing, omdat het decentraal melden komt te vervallen en voortaan voor alle scholen (bekostigd en niet-bekostigd) centraal melden is geregeld.

In de onderdelen B en C wordt een technische wijziging geregeld die niet rechtstreeks verband houdt met de aansluiting van de particuliere B3- en B4-scholen op het register. Geregeld wordt dat de artikelen 18a en 21b LPW komen te vervallen. Het gaat hier om overgangsbepalingen die destijds bij de invoering van het centraal melden van verzuim zijn opgenomen.¹¹³ Er werd toen een uitzondering gemaakt voor scholen in het primair onderwijs en (voortgezet) speciaal onderwijs; voor hen gold nog geen centrale melding van verzuim tot een bij koninklijk besluit te bepalen tijdstip. In het koninklijk besluit van 1 december 2016 is geregeld dat het tijdstip, bedoeld in de artikelen 18a en 21b van de Leerplichtwet 1969 wordt gesteld op 1 januari 2017.¹¹⁴ Vanaf die datum geldt ook voor het primair en (voortgezet) speciaal onderwijs het centraal melden van verzuim: de gegevensstroom over verzuim loopt rechtstreeks van school/instelling naar de Minister in plaats van naar de gemeente. Dit betekent dat de artikelen 18a en 21b hun werking hebben verloren en moeten komen te vervallen.

Tot slot wordt in onderdeel D van het wetsvoorstel in artikel 21a LPW de beperking tot B1 en B2-scholen geschrapt, zodat het centraal melden van relatief verzuim voortaan alle scholen, inclusief B3- en B4-scholen omvat. De onderdelen E, F en G betreffen technische wijzigingen in verband met het vervallen van artikel 21 LPW.

Artikelen III, IV en V (wijziging artikelen 174 WPO, 134 WPO BES en 178 WVO BES)

Met deze wijzigingen worden enkele omissies uit de WRO hersteld. Met die wet zijn een drietal verwijzingen in de sectorwetten over het hoofd gezien waardoor in de WPO, WPO BES en WVO BES nu wordt verwezen naar bepalingen die zijn (of komen te) vervallen. De artikelen 174 WPO, 134 WPO BES en 178 WVO BES worden aangepast overeenkomstig de wijzigingen die de artikelen 38, onderdeel D, en 39, onderdeel G, van de WRO hebben aangebracht in respectievelijk artikel 160 WEC en artikel 103a2 WVO.

Artikel VI (wijziging LPW BES)

De Leerplichtwet BES wordt op overeenkomstige wijze gewijzigd als de Leerplichtwet 1969. Artikel 31 LPW BES is de parallel van artikel 18 LPW 1969 over de kennisgeving van in- en uitschrijvingen. In Caribisch Nederland vindt die kennisgeving plaats aan het bestuurscollege van het betreffende openbaar lichaam. In Caribisch Nederland is geen sprake van centrale melding van verzuim (via het register onderwijsdeelnemers), zoals in het Europees deel van Nederland het geval is. De LPW BES kent dan ook geen parallel van artikel 21 LPW 1969. Kennisgeving van relatief verzuim vindt plaats aan het bestuurscollege op grond van artikel 33 LPW BES. Daarin verandert niets en deze bepaling hoeft dan ook niet aangepast te worden.

Aangezien het register onderwijsdeelnemers nog niet in werking is getreden voor Caribisch Nederland wordt er vooralsnog in voorzien om deze wijziging nog niet in werking te laten treden. Inwerkingtreding van artikel VI zal niet eerder gebeuren dan dat de in- en uitschrijving van leerlingen, vavo-studenten en mbo-studenten via het register onderwijsdeelnemers plaatsvindt.

Artikel VII (samenloop met de Wet vereenvoudiging bekostiging PO)

De Wet van 25 februari 2021 tot wijziging van onder meer de Wet op het primair onderwijs, de Wet op de expertisecentra, de Wet primair onderwijs BES, de Wet op het voortgezet onderwijs en enkele andere wetten vanwege de vereenvoudiging van de bekostiging van de scholen voor primair onderwijs en samenwerkingsverbanden (Stb. 2021, 171) brengt een vernummering aan in de Wet op het primair onderwijs (WPO) en de Wet primair onderwijs BES (WPO BES). In dit artikel wordt rekening gehouden met die vernummering, zodat de in de artikelen III en IV van dit wetsvoorstel voorgestelde wijzigingen correct worden doorgevoerd in de WPO, respectievelijk WPO BES, ongeacht of die andere wet eerder of later dan het onderhavige wetsvoorstel in werking zal treden.

Artikel VIII (samenloop met de Invoerings- en aanpassingswet WVO 2020)

Artikel VIII van dit wetsvoorstel zorgt ervoor dat de wijzigingen die het onderhavige wetsvoorstel doet in de WVO en de WVO BES op een correcte wijze verwerkt worden in de Wet voortgezet onderwijs 2020.

Artikel IX (samenloop met wetsvoorstel wettelijke taken internationalisering onderwijs)

Dit artikel zorgt ervoor dat indien zowel dit wetsvoorstel als het wetsvoorstel wettelijke taken internationalisering onderwijs (Kamerstukken 35 900) in werking zijn getreden, Stichting Nuffic in artikel 23, eerste lid, WRO wordt toegevoegd aan de organisaties die in aanmerking komen voor gegevensverstrekking voor onderzoeksdoeleinden. Op de verstrekking van gegevens aan Nuffic is ingegaan in paragraaf 3.3.2.

Deze memorie van toelichting wordt ondertekend mede namens de Minister voor Basis- en Voorgezet Onderwijs en Media.

De Minister van Onderwijs, Cultuur en Wetenschap, I.K. van Engelshoven

---

1 In de Verzamelbrief moties en toezeggingen primair en voortgezet onderwijs van 22 januari 2021 is een aankondiging gedaan van dit wetsvoorstel (Kamerstukken II 2020/21, 31 293, nr. 573).

2 De verstrekking van gegevens aan PO-scholen ten behoeve van de evaluatie van het schooladvies, de verstrekking van de geboortedatum aan scholen ten behoeve van vermelding op het diploma, de afschaffing van het papieren bewijs van uitschrijving en de gegevensverstrekking aan gemeenten in het kader van hun wettelijke taak omtrent de regionale samenwerking voortijdig schoolverlaten en jongeren in een kwetsbare positie.

3 Artikel 4 WRO.

4 Zie memorie van toelichting WRO, Kamerstukken II 2017/18, 34 878, nr. 3, p. 9–11.

5 Kamerstukken II 2017/18, 34 878, nr. 3, p. 10–11.

6 Het gaat hier om ca. 70 B3-scholen in het primair onderwijs en ca. 33 B3-scholen in het voortgezet onderwijs. Zie https://www.onderwijsinspectie.nl/onderwijssectoren/particulier-onderwijs/soorten-particulier-onderwijs/b3-scholen. Wat betreft leerlingaantallen op B3 scholen: in 2018 ging het om in totaal circa 900 leerlingen in het primair onderwijs en in totaal circa 600 leerlingen in het voortgezet onderwijs.

7 Volgens een recent onderzoek naar het toezicht op B4-scholen in opdracht van het Ministerie van OCW zijn er in 2021 18 B4-scholen. Totaal aantal leerlingen op B4-scholen is in 2021 9149 (Toezicht B4-scholen, Oberon onderzoek/advies, januari 2021).

8 Zoals bijvoorbeeld de Japanese School of Amsterdam en de British School of Amsterdam.

9 B2-scholen zijn op grond van de Wet van 24 november 2011 tot wijziging van de Leerplichtwet 1969, de Wet educatie en beroepsonderwijs, de Wet op het onderwijstoezicht en de Wet op het voortgezet onderwijs in verband met onder meer het toevoegen van niet-bekostigd onderwijs aan de systematiek van het persoonsgebonden nummer en het basisregister onderwijs (Stb. 2011, 621) sinds 2012 aangesloten op het register (destijds BRON genoemd).

10 Zie artikel 12 en de begripsbepaling van «bestuur» in artikel 1 WRO.

11 Een bijkomend nadeel hiervan is dat indien niet goed beveiligd, er bij verstrekking van persoonsgegevens per mail sprake is van risico op datalek. Vanuit privacy-oogpunt is dit niet wenselijk.

12 Zie artikel 21 LPW.

13 Opgemerkt wordt dat de rol van de Nederlandse inspectie bij deze scholen beperkt is. B4-scholen staan onder toezicht van een buitenlandse autoriteit of een internationale accreditatieorganisatie. Wanneer Nederlandse leerlingen naar een B4-scholen gaan, heeft deze school de verplichting Nederlands taalonderwijs te verzorgen. In dat geval houdt de Nederlandse inspectie toezicht op de kwaliteit van deze lessen.

14 Kamerstukken II 2000/01, 25 828, nr. 8, p. 45, 47 en 67, Kamerstukken II 2017/18, 34 878, nr. 3, p. 14, Kamerstukken II 2018/19, 35 112, nr. 3, p. 32 en 33 en Kamerstukken II 2019/20, 35 112, nr. 9, p. 63. Zie ook uitspraken van de rechtbank Oost-Brabant van 18 december 2015 (ECLI:NL:RBOBR:2015:7364), de Afdeling bestuursrechtspraak van de Raad van State van 1 februari 2017 (ECLI:NL:RVS:2017:224) en de rechtbank Midden-Nederland van 11 september 2018 (ECLI:NL:RBMNE:2018:4404). Deze uitspraken verwijzen naar (inmiddels vervallen) bepalingen in de Wet op het onderwijstoezicht. Deze bepalingen – en dus ook het gesloten verstrekkingenregime – zijn overgenomen in de WRO.

15 Zie artikel 24 WRO en de toelichting daarop (Kamerstukken II 2017/18, 34 878, nr. 3, p. 37).

16 De stichting Studiekeuze 123 heeft overigens wel wettelijke taken, terwijl voor stichting Nuffic wetgeving in procedure is om wettelijke taken toe te kennen (zie Kamerstukken 35900).

17 Zie https://duo.nl/open_onderwijsdata/

18 Wijziging van de Wet subsidiëring landelijke onderwijsondersteunende activiteiten 2013 in verband met de toebedeling van wettelijke taken op het gebied van internationalisering binnen het onderwijs (Wet wettelijke taken internationalisering onderwijs) (Kamerstukken II 2020/21, 35 900, nrs. 1–3).

19 Hiervoor zijn geen gepseudonimiseerde gegevens nodig, maar gegevens die op een bepaald niveau geaggregeerd zijn in combinatie met bepaalde achtergrondkenmerken. Omdat het niet uitgesloten is dat deze gegevens herleidbaar kunnen zijn tot een individu, worden de gegevens beschouwd als persoonsgegevens.

20 PO: Bestuursakkoord voor de sector primair onderwijs 2014, Actualisatie bestuursakkoord 2018, Dashboard bestuursakkoord PO 2019.

VO: Sectorakkoord 2014–2017 «Klaar voor de toekomst! Samen werken aan onderwijskwaliteit.» Actualisatie sectorakkoord VO, Dashboard Sectorakkoord VO 2019

MBO: Bestuursakkoord MBO 2018–2022: Trots, vertrouwen en lef

HO: Sectorakkoord hoger beroepsonderwijs 2018, Sectorakkoord wetenschappelijk onderwijs 2018

21 Op deze manier zijn de informatieproducten bevorderlijk voor de verwezenlijking van het ouderlijk keuzerecht, het recht van ouders om voor hun kinderen het onderwijs te kiezen dat het meest overeenkomt met hun godsdienstige, levensbeschouwelijke of opvoedkundige overtuiging (artikel 13 IVESC, artikel 2 van het Eerste Protocol van het EVRM en artikel 14 van het Handvest van de grondrechten van de Europese Unie).

22 Op 12 januari 2021 heeft de MBO Raad bijvoorbeeld een technische briefing gegeven aan de vaste kamercommissie OCW van de Tweede Kamer over de nieuwste benchmark MBO.

23 Kamerstukken 2014/15, 34 200 VIII, nr. 8, p. 2.

24 Onderwijsraad, Inzicht in en verantwoording van onderwijsgelden, Den Haag 2018.

25 Voor de kabinetsreactie op het advies zie Kamerstukken II 2018/19, 35 000 VIII, nr. 11.

26 Zie https://www.samenwerkingsverbandenopdekaart.nl.

27 Voor de producten van de sectorraden zijn gepseudonimiseerde gegevens nodig, op één informatieproduct na, nl. voor Samenwerkingsverbanden op de kaart. Hiervoor zijn geen gepseudonimiseerde gegevens nodig, maar gegevens die op een bepaald niveau geaggregeerd zijn (gegevens over aantallen leerlingen). Door de combinatie van de geaggregeerde gegevens in combinatie met bepaalde benodigde achtergrondkenmerken kunnen de gegevens mogelijk herleidbaar zijn tot een individu. De herleidbaarheid is zelfs kleiner dan bij gepseudonimiseerde gegevens, maar is niet uitgesloten. Gelet hierop moeten de gegevens worden beschouwd als persoonsgegevens.

28 Zie de artikelen 178c, derde lid, WPO, 164c, derde lid, WEC, 103d, derde lid, WVO, 2.3.6c, derde lid, en 2.5.5c, derde lid, WEB, 7.52b, derde lid, WHW, 24k, derde lid, en 24a, zesde lid, WOT, zoals gewijzigd door de Aanpassingswet Algemene verordening gegevensbescherming. Deze bepalingen zijn met ingang van 1 juli 2020 vervangen door artikel 15, tweede lid, WRO.

29 Hierin zijn door DUO persoonsgebonden nummers vervangen door andere nummers of codes en zijn identificerende gegevens zoals naam- en adresgegevens verwijderd (zie artikel 15, tweede lid, WRO en artikelen 23, derde lid, en 26, derde lid, BRO).

30 https://scholenopdekaart.nl

31 https://www.mbotransparant.nl

32 https://www.vereniginghogescholen.nl/kennisbank/feiten-en-cijfers/artikelen/sectordashboard; https://www.vsnu.nl/sectoroverzicht.html.

33 De betrokkenheid van de ministerraad, advies van de Afdeling advisering van de Raad van State en de voorhangprocedure voor de Staten-Generaal.

34 Ook de Wet basisregistratie personen kent een systematiek waarbij verstrekking van gegevens plaatsvindt op basis van een besluit van de Minister, na beoordeling van een daartoe verstrekkend verzoek, en waarbij dit besluit wordt gepubliceerd in de Staatscourant. Zie artikel 3.2 en 3.3, derde lid, van de Wet basisregistratie personen.

35 Zoals bijvoorbeeld voor onderzoeken door Kences en Nuffic of voor Samenwerkingsverbanden op de kaart.

36 Bij postcode gaat het steeds om de postcode 4 (alleen de getallen). Dit is minder gedetailleerd dan de gehele postcode (postcode 6 met de letters erbij) en is dus op die manier nog minder herleidbaar tot personen.

37 Voor enkele informatieproducten zijn andere indirect tot personen herleidbare gegevens dan gepseudonimiseerde gegevens nodig. Voor onderzoeken door Kences en Nuffic zijn geen gepseudonimiseerde gegevens nodig, maar gegevens die op een bepaald niveau geaggregeerd zijn in combinatie met bepaalde achtergrondkenmerken.

38 Zie onder meer de bepalingen in de onderwijssectorwetten over de jaarverantwoording, de schoolgids en het schoolplan.

39 Kamerstukken II 2019/20, 25 268, nr. 176.

40 Er zijn op dit moment 76 samenwerkingsverbanden in het primair onderwijs en 75 samenwerkingsverbanden in het voortgezet onderwijs.

41 Zie artikel 18a, zesde lid, WPO en artikel 17a, zesde lid, WVO.

42 Kamerstukken II 2017/18, 31 497, nr. 262.

43 Artikel 18a, dertiende lid, jo. zesde lid, WPO en artikel 17a, veertiende lid, jo. zesde lid, WVO.

44 Artikel 18a, dertiende lid, jo. zesde lid, onderdeel b, WPO en artikel 17a, veertiende lid, jo. zesde lid, onderdeel b, WVO.

45 In het kader van doelmatige sturing en integrale verantwoording zijn de samenwerkingsverbanden onder meer verplicht tot: het opstellen van een ondersteuningsplan (artikel 18a, zesde lid, WPO); het opstellen van een jaarverslag, met onder meer informatie over besteding van de middelen voor extra ondersteuning (artikel 171, eerste lid, WPO, artikel 103 WVO); het beschikken over geordende gegevens die voor de Minister van OCW van belang zijn voor de berekening van de hoogte van de bekostiging, alsmede over een verklaring over de juistheid van de bekostigingsgegevens (artikel 172 WPO, artikel 103a WVO), en het beschikken over geordende gegevens ten behoeve van door de Minister van OCW te voeren beleid met betrekking tot het onderwijs (artikel 173 WPO, artikel 103a1 WVO). De Inspectie van het Onderwijs ziet toe op onder meer het al dan niet voldoen door samenwerkingsverbanden aan de wettelijke voorschriften met betrekking tot het ondersteuningsplan (artikel 15c, eerste lid, WOT).

46 Artikel 35, eerste lid, BRO.

47 Artikel 39 en bijlage 4 Besluit basisregistratie personen.

48 Artikel 16, derde lid, Leerplichtwet 1969.

49 Dit is vergelijkbaar met de vrijstelling die de in Nederland woonachtige leerling kan verkrijgen als hij is ingeschreven op een buitenlandse school (artikel 5, onderdeel c, Leerplichtwet 1969).

50 https://onderwijs.vlaanderen.be/nl/leerplicht-voor-vlaamse-kinderen-in-het-buitenland

51 Zie artikel 2 Eerste Protocol bij het EVRM, artikel 28 Internationaal Verdrag inzake de Rechten van het Kind, en artikel 13 van het Internationaal Verdrag inzake economische, sociale en culturele rechten.

52 In 2019 ging het om in totaal 978 kinderen die in België woonden en in Nederland naar school gingen. Daarvan hadden 475 kinderen de Nederlandse nationaliteit (bron: DUO).

53 Zie o.a. artikel 2 Eerste Protocol EVRM waarin het recht op onderwijs is neergelegd en EHRM 23 juli 1968, nr. 1474/62 (Belgische Taal).

54 Leerplichtige kinderen die naar een Belgische school gaan zijn op grond van artikel 5, onder c, LPW vrijgesteld, omdat zij als leerling aan een onderwijsinstelling in het buitenland staan ingeschreven. In het schooljaar 2018–2019 ging het om 8830 leerlingen die een dergelijke vrijstelling hadden. Bij deze opgave van cijfers is geen uitsplitsing gemaakt om welke landen in het buitenland het gaat waar de leerlingen staan ingeschreven, maar een gedeelte van dit aantal betreft leerlingen die in België bij een onderwijsinstelling staan ingeschreven. Deze cijfers zijn afkomstig van de Nederlandse gemeenten die jaarlijks voor 1 oktober cijfers aanleveren over de omvang en behandeling van het schoolverzuim in hun gemeente (op grond van artikel 25 LPW).

55 Er is aan de Belgische kant geen wetswijziging nodig, maar het AGODI dient wel een protocol te maken. Dit protocol dient voor advies te worden voorgelegd aan de Vlaamse Toezichtscommissie voor de privacy. Bij een positief advies wordt het protocol aangenomen en ondertekend en kunnen vervolgens op basis van dat protocol gegevens aan Nederland worden verstrekt.

56 Op grond van artikel 12 WRO dient de Nederlandse school de inschrijfgegevens te verstrekken aan de Minister van OCW (DUO). De Minister neemt deze gegevens op in het register onderwijsdeelnemers (artikelen 13 en 14 WRO).

57 De betrokkenheid van de ministerraad, advies van de Afdeling advisering van de Raad van State en de voorhangprocedure voor de Staten-Generaal.

58 Artikel 4.43 WHW.

59 Artikel 7.45a WHW.

60 Als hoofdregel geldt dat het verlaagde tarief voor de duur van één studiejaar (12 maanden) wordt toegekend. Voor de uitzonderingen zie Besluit van 11 juli 2018 tot wijziging van het Uitvoeringsbesluit WHW 2008 houdende invoering van het verlaagd wettelijk collegegeld voor eerstejaars studenten in het hoger onderwijs en voor een tweede jaar voor studenten aan een lerarenopleiding, Stb. 2018, 226 .

61 Artikel 2.4c Uitvoeringsbesluit WHW 2008.

62 Zie artikel 24e en artikel 24q, zesde lid, WOT.

63 Zie artikel 15, vijfde lid, en artikel 18, derde lid, WRO. Zie ook Kamerstukken II 2017/18, 34 878, nr. 4.

64 Verdrag tot afschaffing van het vereiste van legalisatie voor buitenlandse openbare akten, ’s-Gravenhage 5 oktober 1961 (Trb. 1963, 28).

65 Artikel 1 sub a Verdrag tot afschaffing van het vereiste van legalisatie voor buitenlandse openbare akten, ’s-Gravenhage 5 oktober 1961, Trb. 1963, 28. Zie ook artikel 1 Uitvoeringswet Verdrag tot afschaffing vereiste legalisatie buitenlandse openbare akten, Stb. 1965, 105.

66 Alle EU-lidstaten zijn verdragsluitende partijen bij het Apostilleverdrag. Daarnaast is in 2016 Verordening 2016/1191 tot stand gekomen, waardoor bepaalde openbare documenten en gewaarmerkte afschriften vanaf februari 2019 niet meer hoeven te worden gelegaliseerd of geapostilleerd binnen de EU. Vooralsnog vallen de diploma’s niet onder de reikwijdte van deze verordening. In februari 2021 dient de Europese Commissie een beoordelingsverslag in te dienen over de vraag of het passend is het toepassingsgebied van deze verordening uit te breiden naar diploma's, certificaten en andere titels (zie artikel 26, tweede lid, Verordening 2016/1191, PB 26 juli 2016, L200/1).

67 Zie artikelen 2 en 5 Apostilleverdrag.

68 Zie de O. en W.-regeling legalisatie handtekeningen (Uitleg. 1991, 25), die berust op artikel 1, tweede lid, van de Wet van 26 juni 1991, houdende regels inzake de heffing van rechten voor de legalisatie van handtekeningen (Stb. 351). Voor meer informatie over de legalisatie van diploma’s zie https://www.rechtspraak.nl/Onderwerpen/apostille-legalisatie en https://duo.nl/particulier/nederlands-diploma-in-buitenland/index.jsp.

69 Het betreft naar schatting 15% van het totaal aantal documenten (ongeveer 13.500 op jaarbasis), waarvoor DUO wordt gevraagd om de juistheid te bevestigen.

70 Besluit van 1 september 2021 tot wijziging van het Besluit register onderwijsdeelnemers in verband met de uitbreiding van de gegevensverstrekking uit het register onderwijsdeelnemers ten behoeve van de uitvoering van wettelijke taken door bestuursorganen (Stb. 2021, 423).

71 Artikel 5 AVG.

72 Zie J. Nouwt, Commentaar op artikel 5 AVG, Module Privacy & AVG, oktober 2018 en Handleiding Algemene Verordening Gegevensbescherming (Ministerie van JenV), p. 22.

73 Artikelen 15 en 16 AVG en artikelen 28, tweede lid, en 32 WRO.

74 Conform de AVG zijn gegevens over gezondheid: persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven (artikel 4, onderdeel 15 AVG).

75 Het voorgestelde artikel 11, eerste lid, onderdeel g WRO.

76 Het voorgestelde artikel 11, eerste lid, onderdeel h WRO.

77 Artikel 9 AVG.

78 Zie artikel 18a, dertiende lid, WPO jo. zesde lid, WPO en artikel 17a, veertiende lid, jo. zesde lid, WVO.

79 Artikel 24 UAVG.

80 Artikel 1.3 WHW.

81 Met uitzondering van de legalisatie van waardedocumenten en bewijzen van inschrijving. Dat is namelijk een bestaande verwerking van registergegevens waarvoor de WOT reeds een grondslag bevatte, maar die bij de totstandkoming van de WRO abusievelijk niet is benoemd in de WRO. Daarom is afgezien van een DPIA.

82 DUO kent een Centrale Security Officer die verantwoordelijk is voor het beveiligingsbeleid. Het beleid is geconcretiseerd in een Informatiebeveiligingsplan. Het management van DUO is betrokken bij het bewaken van de voortgang en het uitvoeren van de controlcyclus. Daarnaast heeft DUO een bedrijfscontinuïteitsplan opgesteld en op basis daarvan een procedure voor bedrijfscontinuïteitsmanagement ingericht.

83 Ieder pensioenfonds dient op grond van de Pensioenwet dan wel de wet verplichte beroepspensioenregeling een beheerste en integere bedrijfsvoering te hanteren.

Onder beheerste bedrijfsvoering wordt verstaan het gehele traject van plannen, besturen, monitoren en bijsturen van doelstellingen en processen.

Pensioenfondsen dienen over een beleid te beschikken ten aanzien van de risicobeheersing. Het pensioenfonds zal daartoe risicoanalyses moeten uitvoeren en zijn beleid dienen uit te werken in organisatorische en administratieve procedures en maatregelen. Een van deze risico’s die in kaart wordt gebracht zijn privacy risico’s.

Het pensioenfonds zal ook moeten toezien op de naleving van deze procedures en maatregelen en voorzien in een systematische meting, bewaking, documentatie en rapportering van de gelopen risico’s.

84 https://www.nji.nl/nl/Databank/Cijfers-over-Jeugd-en-Opvoeding/Cijfers-per-onderwerp-Schoolverzuim

85 https://www.onderwijsincijfers.nl/kengetallen/po/leerlingen-po/aantallen-ontwikkeling-aantal-leerlingen, https://www.onderwijsincijfers.nl/kengetallen/vo/leerlingen-vo/aantallen-leerlingen-in-het-vo

86 7.200 (half) wezen x 45 minuten = 5.400 uur.

87 10 uitvoeringsorganisaties x 3,5 uur (aanname o.b.v. inschatting dat het max een dagdeel duurt) x 12 maanden = 420 uur (afgerond 400).

88 Er is sprake van een vermindering van de regeldruk van in totaal 5.000 uur per jaar. Het gaat om handelingen die worden uitgevoerd door administratief personeel. Op basis van het Handboek Meting Regeldrukkosten, wordt dan een uurtarief gehanteerd van € 39. 5.000 uur x € 39 = € 195.000.

89 Het gaat in totaal om 7.200 (half)wezen. De aanname is dat het verstrekken van onderwijsverklaring circa 20 minuten kost. Dat levert daarmee een totale tijdswinst op van 2.400 uur per jaar (7.200 x 20 minuten). Bij het berekenen van regeldrukkosten voor onderwijsinstellingen geldt een bedrag van € 50. Daarmee bedraagt de besparing € 120.000 per jaar (2.400 x € 50).

90 Het gaat in totaal om 7.200 (half)wezen. De aanname is dat de jaarlijkse aanvraag voor een onderwijsverklaring circa 20 minuten kost. Dat levert daarmee een totale tijdswinst op van 2.400 uur per jaar (7.200 x 20 minuten). Bij het berekenen van regeldrukkosten voor burgers wordt op basis van CBS-statistieken een bedrag van € 15 gekozen als standaard omrekenfactor (Handboek Meting Regeldrukkosten). Daarmee bedraagt de besparing € 36.000 per jaar (2.400 x € 15).

91 Het gaat in totaal om 1000 leerlingen die in België wonen en in Nederland naar school gaan (gebaseerd op het aantal leerlingen in 2019). De aanname is dat de jaarlijkse aanvraag voor een inschrijvingsbewijs circa 20 minuten kost voor scholen om aan burgers te leveren. Dat levert daarmee een totale tijdswinst op van 334 uur (1000 x 20 minuten). Het gaat om handelingen die worden uitgevoerd door administratief personeel. Voor onderwijsinstellingen wordt een uurtarief gehanteerd van € 50. Daarmee bedraagt de besparing iets meer dan € 16.700 per jaar (334 x € 50).

92 Het gaat in totaal om 1000 leerlingen die in België wonen en in Nederland naar school gaan (gebaseerd op het aantal leerlingen in 2019). De aanname is dat de jaarlijkse aanvraag voor een inschrijvingsbewijs circa 20 minuten kost voor burgers om bij scholen aan te vragen. Dat levert daarmee een totale tijdswinst op van 334 (1000 x 20 minuten). Bij het berekenen van regeldrukkosten voor burgers wordt op basis van CBS-statistieken een bedrag van € 15 gekozen als standaard omrekenfactor (Handboek Meting Regeldrukkosten). Daarmee bedraagt de besparing € 5.010 per jaar (PM x € 15).

93 Besluit van 5 juni 2020, houdende vaststelling van het tijdstip van inwerkingtreding van de Wet register onderwijsdeelnemers en het Besluit register onderwijsdeelnemers, Stb. 2020, 166. De WRO en het BRO zijn van toepassing op het Caribisch Nederland alleen voor zover het betreft basisgegevens en niet voor verzuimgegevens, vrijstellingsgegevens en diplomagegevens.

94 Zie de begripsbepaling van «bestuur» in artikel 1 WRO.

95 Model gegevensbeschermingseffectbeoordeling rijksdienst (PIA) (2017), p. 16 en 33.

96 https://scholenopdekaart.nl; https://www.mbotransparant.nl; https://www.vereniginghogescholen.nl/kennisbank/feiten-en-cijfers/artikelen/sectordashboard; https://www.vsnu.nl/sectoroverzicht.html.

97 Artikel 23, eerste lid, onderdelen a t/m c, en het derde lid. Zie ook artikel IX van het wetsvoorstel.

98 Artikel 23, eerste lid, onderdeel d, jo. tweede lid.

99 De sectororganisaties (PO-raad, VO-raad, MBO Raad, Vereniging Hogescholen en VSNU) en JOB zijn verenigingen, Kences, Nuffic en Studiekeuze 123 stichtingen.

100 Artikel 23, zesde lid.

101 Artikel 23, vierde, zesde, achtste en elfde lid.

102 In sommige gevallen zelfs op een bepaald niveau geaggregeerd, waardoor de kans op herleidbaarheid tot een individu nog kleiner is.

103 Artikel 23, negende lid.

104 Artikel 23, tiende lid.

105 Model gegevensbeschermingseffectbeoordeling rijksdienst (PIA) (2017), p. 16 en 33.

106 Volledigheidshalve wordt opgemerkt dat hier drie alternatieven worden besproken. In paragraaf 3.3.2, onderdeel c, is nog een ander alternatief besproken: verstrekking van geanonimiseerde gegevens, zonder dat DUO aan de hand van voorafgaande specificaties van aangewezen organisaties de gepseudonimiseerde gegevens heeft bewerkt tot «maatwerkinformatie». Dit alternatief komt in paragraaf 3.3.2, onderdeel c, als eerste aan bod. Kortheidshalve wordt dit alternatief hier niet opnieuw besproken.

107 Zie onder meer de bepalingen in de onderwijssectorwetten over de jaarverantwoording, de schoolgids en het schoolplan.

108 Kamerstukken II 2019/20, 25 268, nr. 176.

109 Artikel 10, eerste lid, WRO en artikelen 4 tot en met 8 BRO.

110 Commerciële onderzoeksbureaus kunnen onder omstandigheden wel als verwerker gegevens uit het register onderwijsdeelnemers ontvangen. Zij handelen dan als verwerker in opdracht van een verwerkingsverantwoordelijke die de wettelijk rechthebbende op de gegevens is (zoals de Minister van OCW bij in zijn opdracht uitgevoerd beleidsonderzoek, of JOB bij de JOB Monitor).

111 Artikel 24, tweede lid, WRO.

112 Centrale kennisgeving van in- en uitschrijving gebeurt op grond van artikel 12, eerste lid, WRO. Centrale melding van relatief verzuim gebeurt op grond van artikel 21a LPW en artikel 12, derde lid, WRO.

113 Stb. 2009, 334.

114 Stb. 2016, 487.