Als een tijdbom tikt de klok op de website van de Europese Unie: nog 118 dagen voordat de Algemene Vordering Gegevensbeveiliging (AVG) ingaat. Het is de grootste verandering in privacywetgeving van de afgelopen twintig jaar. NAP Nieuws maakt een ronde bij Amsterdamse basisscholen en ontdekt dat de invoering van de wet daar niet zonder slag of stoot gaat.
Op de Alan Turingschool in het centrum van Amsterdam zijn de eerste gevolgen van de AVG al merkbaar. Zo kunnen leerkrachten in het leerlingvolgsysteem ParnasSys niet langer bij informatie van kinderen uit andere klassen. Schoolleider Eva Naaijkens heeft er nog moeite mee. Het druist volgens haar in tegen het ‘samen verantwoordelijk zijn voor alle leerlingen van de school’.
‘Dan maar geen lachende kindjes op de website'
Ook de Lotusschool in Amsterdam-Zuidoost ervaart gevolgen van de wet. Bezoekers van hun website zullen geen nieuwe foto’s van spelende leerlingen tegenkomen. De AVG schrijft voor dat ouders bij elk ‘event’ opnieuw toestemming moeten geven voor het delen van foto’s. Bestuurder Shanky Gharbharan vond de werkdruk van zijn leerkrachten al te hoog, dus besloot dat ze beter helemaal geen foto’s meer kunnen maken. ‘Dan maar geen lachende kindjes op de website. De leerkrachten hebben het al druk genoeg.’
Deuren sluiten
De AVG werd ruim anderhalf jaar geleden voor alle Europese bedrijven en instellingen aangekondigd. Wie er vanaf 25 mei aanstaande niet aan voldoet, riskeert flinke boetes van maximaal twintig miljoen euro of vier procent van de omzet. Volgens Petra van Haren, voorzitter van de Algemene Vereniging van Schoolleiders (AVS), kan ‘een school zijn deuren wel sluiten na zo’n boete’. De verwachting is niet dat de EU direct zo streng zal zijn. ‘Het gaat erom dat je als school laat zien dat je goed op weg bent’, vermoedt privacyspecialist Job Vos van Kennisnet, een landelijke organisatie die scholen helpt met het toepassen van de wet. Hij verwacht geen torenhoge boetes voor scholen die de ‘deadline’ niet halen. ‘Het is belangrijk dat scholen privacy op orde krijgen. Boetes helpen daar niet bij.’
'Een protocol voor een datalek is net zo belangrijk'
Een rondvraag onder Amsterdamse schoolbesturen leert dat de meeste van hen het eens zijn met de noodzaak van de nieuwe wet. In de afgelopen jaren kwam veel aan het licht over de gebrekkige privacybescherming van verschillende onderwijsinstellingen, die steeds meer gegevens vergaren maar er niet altijd verantwoord mee omgaan. ‘Iedereen vindt een brandprotocol normaal’, legt privacyspecialist Vos uit, ‘maar een protocol voor een datalek is net zo belangrijk.’
Rondslingerende klassenlijsten
In de toekomst moeten schoolbesturen onder meer een functionaris persoonsgegevens (of ‘Data Protection Officer’) in dienst nemen, USB-poorten op schoolcomputers beveiligen en medewerkers voorlichten over hoe ze veilig en verantwoord met gegevens van leerlingen omgaan. Geen rondslingerende klassenlijsten meer op bureaus, dus.
Volgens Geert-Jan Nelson, bestuursvoorzitter van de ABSA-scholengroep, verloopt de transitie bij scholen stroever dan bij bedrijven. ‘We zijn hier niet op ingericht. Een bedrijf zoals Philips of UniLever heeft specialisten op dit gebied rondlopen, maar een gemiddelde basisschool natuurlijk niet.’ Van alle onderwijsinstanties denkt Van Haren dat basisscholen de meeste moeite zullen hebben met de AVG. ‘Universiteiten hebben vrij veel ondersteunend personeel, middelbare scholen minder en basisscholen hebben soms niet veel meer dan een conciërge. Voor hen heeft deze wet de meeste impact.’
Op eigen houtje
Frank Merten, voorzitter van het bestuur van de onderwijsstichting KBA West, staat achter de nieuwe eisen die door de wet worden gesteld, maar beklaagt zich over het feit dat er geen geld vrijkomt om deze te realiseren. De bestuurder betoogt dat het geld dat nu naar een speciale functionaris gaat – die scholen overigens collectief kunnen inhuren – ook rechtstreeks in het onderwijs gestoken had kunnen worden.
Shanky Gharbharan van de Lotusschool past de wet grotendeels zelf toe (hij ‘schakelde vorig jaar al een bureautje in voor hulp’) en vermoedt dat de kosten voor grotere scholengroepen in werkelijkheid meevallen. Ze zouden genoeg reserves hebben om aan de wetgeving te kunnen voldoen. Maar niet alle scholen blijken over zulke reserves te beschikken. Zo hebben sommige jonge basisscholen niets extra’s te besteden, laat bestuursvoorzitter Bart Hurkxkens van de Geert Groote School in Amsterdam weten. Ook hij is van mening dat het Ministerie voor Onderwijs een vergoeding beschikbaar had moeten stellen. Het Ministerie zegt al bij te dragen in de vorm van subsidies voor Kennisnet.
'Het is als een marathon: als je geen conditie hebt, ga je de eindstreep niet halen.'
Marathon
Volgens een woordvoerder van minister Slob van Onderwijs zou het toepassen van de AVG daarnaast haalbaar moeten zijn voor alle scholen, ‘zeker als ze op tijd zijn begonnen’. Privacyspecialist Vos benadrukt dat scholen die nu nog niet of nauwelijks bezig zijn met de AVG eigenlijk te laat zijn. ‘Het toepassen van de regels van de AVG is te vergelijken met het voorbereiding voor een marathon in mei: als je tegen die tijd geen conditie hebt, ga je de eindstreep niet halen.’
Voor de ruim honderd openbare Amsterdamse basisscholen die samenwerken om ‘AVG-proof’ te worden, is 25 mei ‘niet helemaal haalbaar, maar wel een streefdatum’, vertelt voorzitter van schoolbestuur Openbaar Onderwijs aan de Amstel Herbert Bruijne. Ook bestuurder Merten weet niet zeker of zijn zeven scholen over vijf maanden ‘honderd procent AVG-proof’ zullen zijn. Hij hoopt vooral dat de soep niet zo heet wordt gegeten als zij wordt opgediend. ‘Een wereld waarop we geen enkele foto van een kind op Facebook kunnen zetten, moeten we volgens mij ook niet willen.’
Klik op de link voor het nieuwsartikel.