Privacy in het onderwijs aan de hand van enkele uitspraken

Enkele recente uitspraken geven reden om met u wat rechten van ouders en kinderen te bespreken op het gebied van privacy. Hierbij ligt de focus op de onderwijssector, omdat de uitspraken op de bedoelde onderwerpen richting geven aan schoolbesturen hoe om te gaan met een paar veel voorkomende privacy-onderwerpen.

Is de AVG van toepassing?

Een vraag die altijd gesteld moet worden op het moment dat er een privacy-kwestie speelt, is of de Algemene verordening gegevensbescherming (AVG) van toepassing is, en daarmee ook de Uitvoeringswet AVG (UAVG).

Uitspraken van 13 mei 2020 en 7 april 2021

Delen van beeldmateriaal van kinderen op sociale media

In de uitspraken van de voorzieningenrechters van 13 mei 2020 en 7 april 2021 komt de vraag naar de toepasselijkheid van de AVG concreet aan de orde. Het gaat in die zaken in de kern om een grootouder en een ex-partner die foto’s c.q. beeldmateriaal delen van minderjarige kinderen via sociale media. De kinderen komen herkenbaar in beeld, zodat er sprake is van persoonsgegevens die worden gedeeld. De AVG is echter niet van toepassing, als er sprake is van verwerking van persoonsgegevens door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit (artikel 2, lid 2, sub c AVG). M.a.w. als er sprake is van slechts persoonlijke of huishoudelijke activiteiten die geen enkel verband houden met een beroeps- of handelsactiviteit, valt dit niet onder de AVG. De voorzieningenrechter meent in de genoemde uitspraken dat in die gevallen de AVG wel van toepassing is. De rechter komt tot dat oordeel, mede omdat er geen of onvoldoende helderheid wordt gegeven door de betrokken personen over hoe hun sociale media is afgeschermd. Het gaat in deze twee gevallen om publieke c.q. openbare Facebookpagina’s. De rechter neemt ook aan dat het niet is uit te sluiten dat het geplaatste beeldmateriaal (verder) verspreid kan worden en in handen van derden terecht kan komen. In één van de uitspraken wordt voornoemde overwogen, nadrukkelijk omdat er sprake is van een Facebook-account. Ook overweegt de rechter in één van de gevallen dat onduidelijk is of het beeldmateriaal via een zoekmachine als Google te vinden is. Dit zijn de kernoverwegingen die leiden tot de conclusie dat het niet gaat om een zuiver persoonlijke of huishoudelijke activiteit. M.a.w. de AVG is van toepassing en er is sprake van onrechtmatige verwerking. De betrokken personen mogen wel over de foto’s c.q. het beeldmateriaal blijven beschikken, maar delen op sociale media mag niet.

Verwerken van persoonsgegevens van een kind tot 16 jaar

Omdat de AVG van toepassing is en het in de genoemde uitspraken gaat om kinderen onder de 16 jaar, overweegt de rechter dat de wettelijke vertegenwoordigers toestemming moeten geven voor het verwerken c.q. het delen van het beeldmateriaal. De rechten van de betrokkene van wie de persoonsgegevens worden verwerkt, zijn persoonlijk, tenzij het gaat om kinderen tot 16 jaar. Het mag duidelijk zijn dat de wettelijke vertegenwoordigers geen toestemming hebben gegeven in de genoemde zaken, ofwel die toestemming hebben ingetrokken. Het verwerken van persoonsgegevens is o.a. rechtmatig, als sprake is van toestemming van de betrokkene (artikel 6, lid 1, sub a AVG). Die toestemming is aan voorwaarden verbonden (artikel 7 AVG) en kan worden ingetrokken. Als de toestemming wordt ingetrokken, vervalt kort gezegd de grondslag voor de rechtmatige verwerking.

De genoemde uitspraken zijn in lijn met het standpunt van de Autoriteit Persoonsgegevens (AP) over het publiceren van foto’s en filmpjes van leerlingen door een school. In de Q&A op de website schrijft de AP als antwoord op de vraag of dat mag:

“Ja, maar er gelden wel regels. U heeft onder de Algemene verordening gegevensbescherming (AVG) toestemming nodig voor het publiceren van foto’s en filmpjes van leerlingen. Daarnaast moet u het beeldmateriaal goed beveiligen.

Toestemming
Wilt u een foto maken en publiceren van een leerling van 16 jaar of ouder? Of een filmpje opnemen waarbij een leerling herkenbaar in beeld komt? Bijvoorbeeld op uw website of in een papieren schoolkrant? Dan moet de leerling daarvoor zelf toestemming geven.

Is de leerling jonger dan 16 jaar? Dan heeft u toestemming nodig van zijn of haar ouders.

U moet kunnen aantonen dat u geldige toestemming heeft van leerlingen of hun ouders voor de publicatie van het beeldmateriaal. Dit is onderdeel van u verantwoordingsplicht.

En het moet voor leerlingen en/of ouders net zo makkelijk zijn om de toestemming in te trekken als om de toestemming te geven.”

Het voorgaande is echter alleen aan de orde als er sprake is van de grondslag ‘toestemming’ voor het verwerken van persoonsgegevens. Er zijn ook andere rechtmatige grondslagen om persoonsgegevens van leerlingen te mogen, of zelfs te moeten verwerken.

Uitspraak van 2 november 2021

Leerlingen observeren

Een situatie waarin een school persoonsgegevens heeft verwerkt om te voldoen aan een wettelijke verplichting is aan de orde in de uitspraak van 2 november 2021 van de civiele rechtbank Oost-Brabant. In die zaak heeft een basisschool gebruik gemaakt van twee observatiemethodes ten aanzien van een leerling en zijn er zogenaamde KIJK- en ZIEN-rapportages opgesteld. De informatie is door de school ook gedeeld met de nieuwe basisschool van de betrokken leerling. De ouders stellen onder meer dat er sprake is van onrechtmatige dan wel buitenproportionele verwerkingen van persoonsgegevens, mede omdat zij geen (expliciete) toestemming hebben gegeven. Ook eisen zij verwijdering van de persoonsgegevens.

De school hoeft de persoonsgegevens niet te verwijderen

De rechter oordeelt dat in dit geval er een voldoende rechtsgrondslag bestaat voor de school voor het verwerken van de persoonsgegevens in het leerlingvolgsysteem op grond van de Wet op het primair onderwijs en tevens op grond van het Besluit uitwisseling leer- en begeleidingsgegevens. Toestemming van de ouders was dus niet vereist. Daarnaast oordeelt de rechtbank dat de school de rapportage conform de wettelijke bewaartermijn mag bewaren en hiertoe ook wettelijk verplicht is.

De rechtbank gaat verder nog in op wat onderdeel mag zijn van een onderwijskundige rapportage. De rechtbank oordeelt onder meer dat, anders dan de school stelt, de e-mailcorrespondentie tussen de ouders en de school geen onderdeel mag uitmaken van de onderwijskundige rapportage. Maar deze correspondentie, inclusief de gespreksnotities en de aantekeningen, mag volgens de rechtbank wel onderdeel zijn van het bijbehorende observatie/registratieprogramma en deze gegevens mag de school ook voorlopig nog wel behouden, omdat voldoende helder is voor de rechtbank dat de school deze persoonsgegevens nog nodig heeft voor de instelling, uitoefening of onderbouwing van een rechtsvordering (artikel 17, lid 3, sub e AVG). De rechtbank komt mede op grond van de proceshouding van de ouders en hun uitlatingen ter zitting tot dit oordeel.

Uitzondering:
Gegevens nodig voor de instelling/uitoefening/onderbouwing van een rechtsvordering

Ik wijs er overigens op dat bij een beroep op de uitzondering van artikel 17, lid 3, sub e AVG volgens de bestuursrechter (nog) niet de vraag relevant is of er al dan niet sprake is van onrechtmatige verwerking. Gezien de systematiek van het artikel, kan de rechter in voorkomend geval dus eerst de vraag beantwoorden of deze uitzondering aan de orde is, voordat de rechtmatigheid van de verwerking evt. wordt getoetst. Het is verstandig om hier ook rekening mee te houden, als u zich als school moet verweren tegen een verzoek om verwijdering van gegevens en een beroep wilt doen op de genoemde uitzondering. Aan te raden is om de focus primair in zo’n geval slechts te leggen op de toepasselijkheid van de uitzondering van artikel 17, lid 3, sub e AVG (en dus niet op de vraag naar de rechtmatigheid).

Heeft u vragen over de inhoud van dit artikel, of heeft u andere privacy-vragen? Vraag het de Praktijkgroep Onderwijs of het Expertteam Privacy en Open Overheid van Capra Advocaten.