“Mogen we nog wel foto’s van leerlingen aan de wand in de docentenkamer hangen?”, vraagt André Poot van scholengemeenschap De Hoven uit Gorinchem zich af. Net als veel andere scholen is ook zijn school maar druk met de nieuwe privacywet.

Over precies een maand geldt in heel Europa die nieuwe wet, de Algemene Verordening Gegevensbescherming. Dat betekent dat iedere organisatie die met persoonlijke gegevens werkt, zich aan strengere regels moet houden.

Misschien denk je daarbij vooral aan de gevolgen voor de grote techbedrijven. Bijvoorbeeld door berichten in de media: “de regels voor bedrijven als Google en Facebook worden flink aangescherpt”, zo schreef een krant. En als je de laatste weken populaire apps als Facebook, Instagram of Twitter hebt gebruikt, vliegen de privacymeldingen je om de oren.

Maar niet alleen Facebook en Google ondervinden gevolgen van de Europese privacywet. Ook veel kleinere organisaties, zoals de koepel van negen scholen waar Poot werkt, moeten maatregelen nemen.

“Scholen moeten niet alleen bewust en zorgvuldig met gegevens omgaan, maar moeten ook een privacy-administratie aanleggen”, zegt Job Vos, privacy-adviseur van Kennisnet, dat basisscholen en middelbare scholen bijstaat over de nieuwe privacywet.

Verstrekkender

De nieuwe wet stelt strengere eisen aan de opslag van data. Bedrijven, dus ook scholen, moeten beter nadenken over wat voor informatie ze opslaan en wie daar toegang toe heeft. Als iemand toestemming geeft voor het opslaan van data, moet hij helder worden geïnformeerd – zaken verstoppen in privacyvoorwaarden die niemand leest, is er niet meer bij. En misschien nog verstrekkender: iemand kan zijn toestemming achteraf weer intrekken, waarop al die informatie moet worden verwijderd.

“Specifiek voor scholen betekent dat dat ze zich moeten afvragen welke onderwijzer waar toegang toe moet hebben”, zegt Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens. Zijn organisatie moet ervoor gaan zorgen dat die nieuwe regels worden nageleefd. “Scholen weten vaak veel over kinderen, maar ook over hun ouders, bijvoorbeeld over hun financiën.”

Wolfsen kan straks veel hogere boetes opleggen dan nu. Overtreders kunnen een boete krijgen van maximaal 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Bovendien kunnen boetes sneller worden opgelegd.

Wat verandert er voor mij?

De hoop is dat mensen met de nieuwe privacywet meer controle over hun data krijgen. Zo moet je beter worden voorgelicht als je toestemming geeft voor de verwerking van je persoonsgegevens. Ook kun je die toestemming achteraf weer intrekken, en kun je inzage eisen in de administratie van een bedrijf over jou.

“Voor een goed privacybeleid steek ik graag mijn nek uit”, zegt Bart Sonnenberg, directeur van een koepel met scholen in Baarn en Soest. “In het onderwijs zijn we, soms onbewust, bezig met heel veel gegevens van een ander. Het is belangrijk om de spelregels daaraan aan te passen.”

Maar dat gaat Sonnenbergs school al snel 10.000 euro kosten, een flink bedrag voor een school. “Vanuit de overheid komt nauwelijks compensatie. Het is toch weer iets dat erbij komt. Terwijl ik me vooral bezig wil houden met het organiseren van goed onderwijs.”

Worsteling

“Veel kleine scholen hebben op dit moment moeite het allemaal te regelen”, zegt André Poot. Dat herkent de PO-raad. “We snappen dat het moet, maar het is best een worsteling voor scholen”, zegt een woordvoerder. “Ze zijn er graag mee aan de slag, maar het zorgt toch voor meer werkdruk. Dat geldt voor de hele samenleving.”

Ook ict-jurist Arnoud Engelfriet, die veel bedrijven bijstaat met advies over de privacywet, herkent de worsteling. “Scholen hebben veel vragen”, zegt hij. En er is ook nog veel onduidelijk. “Overheidsinstellingen moeten een speciale functionaris hebben die toeziet op de privacy. Maar wat betekent dat voor scholen die wel door de overheid worden gefinancierd, maar een zelfstandig bestuur hebben?”

Oneerlijk?

Voor bedrijven als Google en Facebook is het makkelijker om te voldoen aan de privacywet: hoewel zij elk honderden juristen en technici inhuren om te voldoen aan de privacywet, hebben ze de miljoenen om dat te bekostigen op de plank liggen. Bovendien hebben zij veel meer ervaring met het voldoen aan privacywetgeving, en weten ze ook precies hoe de nieuwe wet in elkaar steekt, ook omdat ze er jaren tegen hebben gelobbyd.

“De wet geldt voor iedereen, dus ook voor scholen”, verdedigt AP-voorzitter Wolfsen de wet. “Lesgeven is natuurlijk de hoofdtaak van onderwijsinstellingen, maar daar hoort ook bij dat ze goed omgaan met de privacy van kinderen en hun ouders.”

Poot verwacht niet dat zijn eigen school op 25 mei helemaal klaar is, maar dat bezorgt hem geen slapeloze nachten. “Ik denk niet dat we op 26 mei een boete zullen krijgen. We kunnen laten zien dat we goed bezig zijn, en ik ga ervan uit dat de Autoriteit Persoonsgegevens daar op dit moment genoegen mee neemt.”

Formeel zijn die scholen dan wel in overtreding, waarschuwt Wolfsen. “Maar we blijven een redelijke toezichthouder. Als er wat gebeurt, kijken we wat er aan de hand is: wil een school het op orde hebben en zijn ze op de goede weg? Daar houden we rekening mee”, zegt Wolfsen.

Mag dit straks nog wel?

Scholen maken zich zorgen dat ze straks veel minder mogen. Zijn die zorgen terecht? Privacyjurist Arnoud Engelfriet geeft antwoord.

Mogen we straks nog foto’s van kinderen ophangen in de docentenkamer?

“Ik denk het wel. Er is een uitzondering voor artistiek werk, dus je zou kunnen zeggen dat het dan een kunstwerk is. Maar die foto’s mag je dan niet opeens een halfjaar later voor een flyer gebruiken. En je mag ze ook niet meer zomaar op internet zetten.”

Wat als we straks een briefje laten slingeren, is dat dan een datalek?

“Dat hangt ervan af. Laat je gewoon een post-it met een telefoonnummer rondslingeren? Dan niet. Maar als er op die post-it een dossiernummer staat, maakt hij onderdeel uit van een gegevensverwerking, dus dan mogelijk wel. Als je dezelfde inhoud digitaal verstuurt, valt het overigens sowieso onder de privacywet.”

Mogen we straks nog een app-groep aanmaken?

“Het is allemaal niet zo zwart-wit. Soms bestaat de neiging om te zeggen dat straks helemaal niets meer mag. Maar je moet nadenken over de beslissingen die je neemt. In dit geval zou je gewoon toestemming kunnen vragen voor die app-groep.”