Privacyreglement
juni 2023
juni 2023
Inleiding
Samenwerkingsverbanden passend onderwijs hebben persoonsgegevens van leerlingen nodig om hun taken goed te kunnen uitoefenen. De wet passend onderwijs (artikel 18a lid 13 Wpo, artikel 17a Wvo) heeft dit geregeld door onder meer te bepalen dat het samenwerkingsverband bevoegd is om zonder toestemming van de betrokken leerling of diens wettelijk vertegenwoordiger persoonsgegevens mag verwerken die nodig zijn voor het vervullen van de wettelijke taak van het samenwerkingsverband.
Deze gegevens zal het samenwerkingsverband ontvangen van de school die een leerling aanmeldt in het kader van een verzoek om extra ondersteuning (voor het toekennen van een ondersteuningsarrangement, voor advies inzake extra ondersteuning of voor het beoordelen van de toelaatbaarheid van een leerling tot het (voortgezet) speciaal onderwijs). Dit kan een ingeschreven dan wel een aangemelde leerling zijn.
Om deze taken te kunnen uitvoeren, zal het samenwerkingsverband persoonsgegevens verwerken. Hierbij geldt vanaf 25 mei 2018 de Algemene verordening gegevensbescherming (Avg); dit is de Europese privacy-regelgeving die vanaf 25 mei 2018 ook in Nederland van toepassing is en de Wet bescherming persoonsgegevens opvolgt.
Samenwerkingsverbanden verwerken voor een deel ‘gewone’ persoonsgegevens, dat wil zeggen gegevens die niet zijn aan te merken als bijzondere persoonsgegevens als bedoeld in de Avg. Te denken valt aan naam, adres en woonplaats en overige contactgegevens van de leerling. Daarnaast gaat het bij de gegevensverwerkingen in het kader van passend onderwijs om zogenaamde ‘bijzondere’ persoonsgegevens, bijvoorbeeld over gezondheid als bedoeld in de Avg.1
1 Het begrip gezondheid dient ruim te worden opgevat en omvat alle gegevens die de geestelijke of lichamelijke gezondheid van een persoon betreffen. Ook gegevens over handicap, gedrag, IQ en sociaal-emotionele problematiek vallen onder het begrip gezondheid.
Grondslag voor gegevensverwerking
Om persoonsgegevens te mogen verwerken stelt de Avg de eis dat de verwerking gebaseerd dient te zijn op eengrondslag als genoemd in artikel 6 Avg.
Die grondslag is voor samenwerkingsverbanden primair gelegen in de wettelijke verplichting om taken uit te voeren ten behoeve van de aangesloten schoolbesturen. Het gaat wettelijk om 3 taken in dit verband:
De wetgever geeft voor het vervullen van deze taken in de wet passend onderwijs een wettelijke grondslag aan samenwerkingsverbanden om hiertoe persoonsgegevens te bewerken. Voor bovenstaande drie taken mogen samenwerkingsverbanden en aangesloten scholen/schoolbesturen zonder toestemming van ouders persoonsgegevens uitwisselen. Ouders dienen wel op de hoogte te zijn van het feit dat dit gebeurt en moeten in staat worden gesteld om gegevens in te zien of te corrigeren. Aan derden, behalve de bevoegde gezagsorganen van de betrokken scholen, mogen deze gegevens niet worden verstrekt.
Algemeen belang als grondslag
Naast deze wettelijke grondslag formuleert de Avg ook de grondslag dat verwerking rechtmatig is ‘om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen’. Ook hiervan kan sprake zijn bij passend onderwijs.
Uitwisseling van persoonsgegevens tussen een samenwerkingsverband en een school of een derde partij (bijvoorbeeld een jeugdhulpinstelling) kan nodig zijn om voor de leerling een ononderbroken ontwikkelingsproces te realiseren, om thuiszitten tegen te gaan, etc.
De Avg formuleert ook de grondslag ‘nodig in het algemeen belang’ of ‘nodig voor een gerechtvaardigd belang’. Samenwerkingsverbanden zullen in het kader van het tegengaan van thuiszitters ook gegevens verwerken op basis van overleg met bijvoorbeeld gemeenten en leerplicht. Dit zal nodig zijn vanwege het algemeen belang dat hiermee is gediend en heeft ook een wettelijke basis omdat samenwerkingsverbanden wettelijk verplicht zijn om de Onderwijsinspectie te informeren over aantallen en duur van thuiszitters.
Samenwerkingsverbanden die persoonsgegevens bewerken voor andere taken dan de drie taken die hierboven zijn genoemd, dienen zich dus te kunnen beroepen op een van de volgende grondslagen van de Avg: ‘bescherming vitaal belang betrokkene’, ‘nodig in het algemeen belang’ of ‘nodig voor een gerechtvaardigd belang’. Bij het laatste belang moet het samenwerkingsverband kunnen aantonen dat het belang van het samenwerkingsverband zwaarder weegt dan het belang van betrokkene om bescherming van persoonsgegevens.
Verwerkingsverantwoordelijke en verwerker
Het samenwerkingsverband is conform de Avg een ‘verwerkingsverantwoordelijke’ en geen ‘verwerker’. Een verwerker is een instantie die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Een administratiekantoor die de personeelsgegevens van het samenwerkingsverband verwerkt, is zo’n verwerker. Hiermee dient het samenwerkingsverband een verwerkersovereenkomst te sluiten.
Een verwerkingsverantwoordelijke is het orgaan die zelf met een bepaald doel en bepaalde middelen persoonsgegevens bewerkt. Het samenwerkingsverband is een orgaan met een wettelijke opdracht waartoe het nodig is om persoonsgegevens te bewerken en daarmee een ‘verwerkingsverantwoordelijke’.
Principes en verantwoordingsplicht
De Avg formuleert een aantal belangrijke principes voor gegevensverwerking:
Het onderstaande reglement is gebaseerd op deze principes. De Avg vermeldt ten aanzien van deze principes dat de verwerkingsverantwoordelijke te allen tijde in staat is om aan te tonen dat het zich hieraan houdt (verantwoordingsplicht). Om die reden is het wenselijk en noodzakelijk dat elk samenwerkingsverband niet alleen een register verwerkingsactiviteiten heeft (waarin alle verwerkingen zijn vastgelegd, wettelijk verplicht) maar ook systematisch beleid heeft ontwikkeld (bijvoorbeeld in een privacyhandboek) waarin is vastgelegd wat de interne procedures zijn ten aanzien van gegevensbescherming, wie waar bij mag, en waaruit blijkt dat sprake is van bijvoorbeeld minimale gegevensverwerking (bijvoorbeeld uit de gemaakte afspraken met de toeleverende scholen welke gegevens wel of niet worden gevraagd en waarom die gegevens noodzakelijk zijn.
Functionaris Gegevensbescherming
De Avg introduceert de Functionaris Gegevensbescherming. Ook samenwerkingsverbanden dienen zo’n functionaris te hebben. Het is niet noodzakelijk dat die persoon in dienst is, het mag ook een functionaris zijn die wordt ‘ingehuurd’ en op basis van een dienstverleningsovereenkomst werkzaam is. Het is belangrijk dat de functionaris onafhankelijk zijn werkzaamheden kan verrichten en vrij is om adviezen te geven aan het samenwerkingsverband over de inrichting van de gegevensverwerking. Op de website van de Autoriteit Gegevensbescherming is meer te vinden over de taken van de FG. In het reglement is opgenomen dat het samenwerkingsverband een FG heeft aangewezen.
In onderstaand privacyreglement is een en ander samengebracht. Er worden diverse begrippen gehanteerd. Hierbij is bij ‘verwerkingsverantwoordelijke’ te denken aan het (bestuur van het) samenwerkingsverband, bij ‘verwerker’ aan externen die in opdracht van het samenwerkingsverbanden gegevens bewerken (bijvoorbeeld het administratiekantoor) en bij ‘deskundigen’ aan een orthopedagoog en een tweede deskundige als een kinder- of jeugdpsycholoog, een pedagoog, een maatschappelijk werker, een arts of een kinderpsychiater. Personeel dat werkzaam is voor het samenwerkingsverband op basis van dienstverband of detachering en persoonsgegevens verwerkt is geen ‘verwerker’ (is niet extern) maar valt onder de ‘verwerkingsverantwoordelijke’.
Bij wettelijk vertegenwoordiger denkt men bijvoorbeeld aan degene die het ouderlijk gezag of de voogdij uitoefent.
Ten slotte, overal waar ‘hem’ of ‘hij’ is vermeld, kan ook ‘haar’ of ‘zij’ worden gelezen.
PRIVACYREGLEMENT VERWERKING PERSOONSGEGEVENS SAMENWERKINGSVERBAND PASSEND ONDERWIJS PO RiBA
Artikel 1 Begripsbepalingen
In dit reglement wordt verstaan onder:
Artikel 2 Reikwijdte en doelstelling van het reglement
Artikel 3 Categorieën van de personen in de verwerking (betrokkene(n))
Persoonsgegevens worden verwerkt van de bij het samenwerkingsverband aangemelde leerling.
Artikel 4 Doelstellingen van verwerking persoonsgegevens en toestemming
Artikel 5 Verwerkingsverantwoordelijke
Het samenwerkingsverband is voor de verwerking is verantwoordelijk voor de verwerking overeenkomstig de bepalingen van de Wpo, de Wvo en de daarop gebaseerde algemene maatregelen van bestuur en dit reglement.De verwerkingsverantwoordelijke treft daartoe de nodige voorzieningen, waaronder in elk geval zodanige opslag van persoonsgegevens dat deze niet voor onbevoegden toegankelijk zijn.
Artikel 6 Opname van gegevens en informatieplicht
2 Indien de betrokkene minderjarig is en de leeftijd van zestien jaren nog niet heeft bereikt, of onder curatele is gesteld dan wel ten behoeve van de betrokkene een mentorschap is ingesteld, is in de plaats van de toestemming van de betrokkene die van zijn wettelijk vertegenwoordiger vereist. Een toestemming kan door de betrokkene of zijn wettelijk vertegenwoordiger te allen tijde worden ingetrokken.
Artikel 7 Soorten van gegevens
Met betrekking tot de in artikel 3 genoemde personen worden geen andere persoonsgegevens verwerkt dan:
Artikel 8 Toegang tot persoonsgegevens
3 Dit zijn de deskundigen die advies geven over de toelaatbaarheid van leerlingen tot het sbo of (v)so zoals een orthopedagoog en door een tweede deskundige als een kinder- of jeugdpsycholoog, een pedagoog, een maatschappelijk werker, een arts of een kinderpsychiater (zie de concept AMvB zoals deze voor consultatie gepubliceerd is op 28 februari 2013).
Artikel 9 Verstrekking van gegevens
Artikel 10 Beveiliging en geheimhouding
Artikel 11 Rechten betrokkene(n): inzage, correctie, verwijdering
Artikel 12 Bewaartermijnen
4 Dit zijn de deskundigen die advies geven over de toelaatbaarheid van leerlingen tot het sbo of (v)so zoals een orthopedagoog en door een tweede deskundige als een kinder- of jeugdpsycholoog, een pedagoog, een maatschappelijk werker, een arts of een kinderpsychiater.
Artikel 13 Functionaris Gegevensbescherming
Artikel 14 Register verwerkingsactiviteiten
Het samenwerkingsverband houdt een register van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens:
Artikel 15 Klachten
Artikel 16 Slotbepalingen
Bijlage
Deze bijlage is voor het laatst gewijzigd op 8 september 2023.
Overzicht van personen die toegang hebben tot de in de verwerking opgenomen persoonsgegevens van samenwerkingsverband PO RiBA te Ridderkerk:
Functie en motivering gebruik | Toegang tot welke persoonsgegevens |
Directeur-bestuurder | De personeelsdossiers van alle medewerkers.
De persoonsgegevens van de leerlingen die via Kindkans zijn aangemeld. |
Gedragswetenschapper | De persoonsgegevens van de leerlingen bij wie de gedragswetenschapper uit hoofde van haar functie betrokken is. Dit geldt uitsluitend voor de leerlingen die via Kindkans zijn aangemeld.
De naw-gegevens van collega’s. |
Ambulant ondersteuner | De persoonsgegevens van de leerlingen bij wie de ambulant ondersteuners uit hoofde van haar functie betrokken is. Dit geldt uitsluitend voor de leerlingen die via Kindkans zijn aangemeld.
De naw-gegevens van collega’s. |
Beleidsmedewerker | De persoonsgegevens van alle leerlingen die vermeld staan in Kindkans. |
Officemanager | De persoonsgegevens van alle leerlingen die vermeld staan in Kindkans. |