Werken met de gegevens van minderjarigen brengt een grote verantwoordelijkheid mee. Scholen moeten voldoen aan de AVG en zorgvuldig omgaan met leerlingdata. Google Workspace for Education biedt hiervoor de nodige waarborgen, maar je moet ze wel goed inrichten. In dit artikel lees je hoe je leerlingprivacy serieus borgt.
De basis: de verwerkersovereenkomst
Onder de AVG is de school de verwerkingsverantwoordelijke en Google de verwerker. Dat verschil is cruciaal: de school bepaalt wat er met de data gebeurt, Google voert dat uit binnen de afgesproken kaders. Die afspraken leg je vast in een verwerkersovereenkomst (bij Google de Cloud Data Processing Addendum, voorheen Data Processing Amendment), die je als school moet accepteren.
Zonder een goed geregelde verwerkersovereenkomst verwerk je leerlingdata zonder juridische basis. Controleer daarom dat deze overeenkomst voor jouw school in orde is voordat je leerlingen toevoegt.
Eerst de overeenkomst, dan de data
Begin nooit met het verwerken van leerlingdata zonder een geldige verwerkersovereenkomst. Dit is geen formaliteit maar een wettelijke verplichting onder de AVG. Stem dit af met de functionaris gegevensbescherming van je school.
Kerndiensten versus aanvullende diensten
Een belangrijk onderscheid binnen Workspace is dat tussen kerndiensten en aanvullende diensten. De kerndiensten vallen onder de privacy- en AVG-garanties en bevatten onder meer Gmail, Classroom, Drive, Docs, Meet, Agenda, Chat en Vault. Inmiddels horen ook Gemini voor Education en NotebookLM tot de kerndiensten. Leerlingdata in deze diensten wordt niet voor advertenties gebruikt.
Aanvullende diensten zijn andere Google-producten die buiten deze kerngaranties vallen, zoals YouTube, Google Maps en diverse consumentendiensten. Als beheerder bepaal je per organisatie-eenheid welke aanvullende diensten leerlingen mogen gebruiken. Voor minderjarigen schakel je deze vaak uit of beperk je ze sterk.
Je belangrijkste privacyknop
Het onderscheid kern versus aanvullend is je sterkste knop voor privacy. Houd leerlingen standaard binnen de kerndiensten en sta aanvullende diensten alleen toe na een bewuste afweging van de privacyrisico's.
Geen advertenties op leerlingdata
Een veelgestelde vraag van ouders is of de gegevens van hun kind worden verkocht of voor reclame gebruikt. Voor de kerndiensten is het antwoord duidelijk: nee. Google gebruikt leerlingdata in de kerndiensten van Education niet voor advertentiedoeleinden, toont er geen advertenties in en maakt er geen advertentieprofielen mee. Voor leerlingen in het primair en voortgezet onderwijs worden ook geen gepersonaliseerde advertenties getoond.
Communiceer dit naar ouders
Veel zorgen over privacy verdwijnen zodra ouders weten dat schoolwerk en gegevens in de kerndiensten niet voor reclame worden gebruikt. Zet dit kort en helder in je privacyverklaring en in je communicatie aan ouders. Transparantie schept vertrouwen.
Grip met organisatie-eenheden en dataregio's
Je houdt grip op privacy via je beheerinstellingen in de Admin console. Met organisatie-eenheden stel je voor leerlingen, zeker jongere, strengere regels in dan voor personeel. Je bepaalt welke diensten beschikbaar zijn, of extern delen mag en hoe sterk de beveiliging is.
In de edities Education Standard en Education Plus kun je ook dataregio's instellen, zodat gegevens binnen Europa worden bewaard. Dataregio's dekken zowel opslag (data-at-rest, inclusief back-ups) als de verwerking voor de meeste kerndiensten, waaronder Gmail, Agenda, Drive, Docs en Classroom. Voor scholen die hechten aan opslag binnen de EU is dat een waardevolle waarborg.
Leerlingprivacy stap voor stap inrichten
- Controleer dat de verwerkersovereenkomst voor je domein geaccepteerd en geregeld is.
- Scheid leerlingen in eigen organisatie-eenheden, eventueel per leeftijd of leerjaar.
- Schakel aanvullende diensten voor minderjarigen uit of beperk ze.
- Stel extern delen en beveiliging passend in per organisatie-eenheid.
- Configureer in Education Standard of Plus dataregio's voor opslag binnen de EU.
- Documenteer je keuzes voor je verwerkingsregister.
Toestemming en transparantie
De AVG vraagt om een rechtsgrond voor verwerking en om transparantie naar betrokkenen. Informeer ouders en leerlingen over welke gegevens je verwerkt en waarom. Leg in een privacyverklaring vast hoe de school met leerlingdata omgaat en welke rechten betrokkenen hebben.
Het helpt om vooraf duidelijk te hebben wie welke rol speelt:
| Rol | Verantwoordelijkheid |
|---|---|
| School | Verwerkingsverantwoordelijke: bepaalt doel en middelen en sluit de verwerkersovereenkomst. |
| Functionaris gegevensbescherming | Toetst de naleving en adviseert over privacyrisico's. |
| Beheerder | Vertaalt het beleid naar concrete instellingen in de Admin console. |
| Ouders en leerlingen | Betrokkenen met recht op inzage en informatie. |
Datalekken en bewaartermijnen
Bij privacy horen ook de minder leuke scenario's. Zorg dat je een procedure hebt voor datalekken, zodat je bij een incident snel en correct handelt en tijdig kunt melden bij de Autoriteit Persoonsgegevens. Hanteer daarnaast bewuste bewaartermijnen: leerlingdata bewaar je niet langer dan nodig, en accounts van vertrokken leerlingen ruim je netjes op.
Privacy als doorlopend proces
Privacy is geen vinkje dat je een keer afvinkt, maar een proces dat meeloopt met je organisatie. Nieuwe diensten verschijnen, instellingen veranderen en je leerlingbestand vernieuwt elk jaar. Plan daarom periodiek een controle van je instellingen: staan de aanvullende diensten nog goed, klopt de toegang, zijn er nieuwe risico's? Een jaarlijkse privacycheck voorkomt dat je ongemerkt afdrijft van wat je ooit netjes had ingericht.
Betrek leerlingen ook zelf bij privacy. Leren omgaan met de eigen digitale gegevens is een vaardigheid die ze hun leven lang nodig hebben. Leg uit waarom de school bepaalde keuzes maakt en leer ze nadenken over wat ze delen en met wie. Zo wordt privacy niet iets dat alleen de beheerder regelt, maar een bewustzijn dat de hele schoolgemeenschap draagt. Die combinatie van goede techniek en bewuste mensen is de sterkste bescherming die je kunt bieden.
Worden gegevens van leerlingen voor reclame gebruikt?
Nee. In de kerndiensten van Education wordt leerlingdata niet voor advertenties gebruikt, worden geen advertenties getoond en worden er geen advertentieprofielen mee gemaakt.
Heb ik een verwerkersovereenkomst nodig?
Ja. Onder de AVG is een verwerkersovereenkomst met Google verplicht voordat je leerlingdata verwerkt. De school is verwerkingsverantwoordelijke, Google is verwerker.
Kan ik leerlingdata binnen Europa laten opslaan?
In de edities Education Standard en Education Plus kun je dataregio's instellen, zodat gegevens binnen de EU worden bewaard en verwerkt voor de meeste kerndiensten.
Hoe beperk ik diensten voor jonge leerlingen?
Via organisatie-eenheden schakel je aanvullende diensten uit en stel je strengere regels in voor minderjarigen, los van de instellingen voor personeel.
Wat is het verschil tussen kerndiensten en aanvullende diensten?
Kerndiensten vallen onder de AVG-garanties en de verwerkersovereenkomst. Aanvullende diensten, zoals YouTube en Maps, vallen daarbuiten en gebruik je alleen na een bewuste afweging.
Wat moet ik doen bij een datalek?
Volg je interne datalekprocedure, beoordeel de impact en meld het indien nodig binnen 72 uur bij de Autoriteit Persoonsgegevens. Betrek hierbij je functionaris gegevensbescherming.
Met deze maatregelen neem je leerlingprivacy serieus en voldoe je aan de AVG. In een volgend artikel verkennen we hoe je Gemini AI verantwoord inzet in het onderwijs.