Elke school die met digitale leermiddelen werkt, krijgt te maken met privacyafspraken. Om te voorkomen dat iedere school met iedere leverancier opnieuw moet onderhandelen, is in Nederland het Privacyconvenant Onderwijs opgesteld. Dit artikel legt uit wat het convenant is en hoe je het als school praktisch gebruikt.
Een gezamenlijke standaard
Het Privacyconvenant Onderwijs is een afspraak tussen onderwijsorganisaties en leveranciers van digitale leermiddelen. Het bundelt de basisafspraken over de omgang met leerlinggegevens in een set standaarddocumenten, zodat scholen en leveranciers van dezelfde uitgangspunten vertrekken. Het convenant wordt onderhouden binnen de onderwijssector en is in de loop der jaren doorontwikkeld.
Wat zit erin?
Het convenant bestaat uit een aantal onderdelen die samen de privacy rond digitale leermiddelen regelen:
- Een model-verwerkersovereenkomst die leveranciers kunnen ondertekenen;
- Afspraken over welke gegevens voor welke doelen mogen worden gebruikt;
- Een beveiligingsbijlage met eisen aan de technische bescherming;
- Een certificeringsschema waarmee leveranciers hun naleving kunnen aantonen.
Doordat veel leveranciers het convenant hebben ondertekend, weet een school dat de basis op orde is zonder elke clausule zelf te hoeven uitonderhandelen. Dat scheelt tijd en verkleint de kans op gaten in de afspraken.
Het convenant ondertekenen is geen eenmalig vinkje. Een betrouwbare leverancier laat zien dat de afspraken ook in de praktijk worden nageleefd, bijvoorbeeld via een certificering of een actueel overzicht van subverwerkers.
Waar let je op als school?
Bij de keuze van een leverancier helpt het om een paar concrete vragen te stellen. Ze geven snel een beeld of een partij de privacy van je leerlingen serieus neemt:
- Heeft de leverancier de model-verwerkersovereenkomst van het convenant ondertekend?
- Worden de gegevens binnen de Europese Economische Ruimte verwerkt?
- Is duidelijk welke gegevens voor welke doelen worden gebruikt?
- Is er een actuele lijst van subverwerkers beschikbaar?
Wie beheert het convenant?
Het Privacyconvenant is geen statisch document, maar wordt onderhouden binnen de onderwijssector, met betrokkenheid van zowel onderwijsorganisaties als leveranciers. Daardoor beweegt het mee met nieuwe technologie en gewijzigde wetgeving. Voor scholen betekent dit dat ze terugvallen op afspraken die breed gedragen en actueel gehouden worden, in plaats van op een eenmalig dichtgetimmerd contract.
Certificering: het bewijs van naleving
Naast de afspraken op papier kent het onderwijs ook een manier om naleving aantoonbaar te maken. Leveranciers kunnen via een certificeringsschema laten toetsen of hun beveiliging en privacyaanpak op orde zijn. Voor een school is zo een certificering een handig houvast: het vertaalt de vraag of een leverancier te vertrouwen is naar iets controleerbaars, in plaats van naar een gevoel.
Het convenant en de AVG
Het Privacyconvenant vervangt de AVG niet, maar maakt het naleven ervan makkelijker. De wettelijke verplichtingen blijven gelden; het convenant vertaalt ze naar werkbare afspraken voor het onderwijs. Een school die met convenant-leveranciers werkt en haar eigen zaken op orde heeft, voldoet daarmee een stuk eenvoudiger aan de wet.
Hoe TestWisely hierop aansluit
TestWisely sluit aan op de afspraken die binnen het onderwijs gelden over de omgang met leerlinggegevens, met een verwerkersovereenkomst op basis van de onderwijsstandaard en verwerking binnen de EER. Zo kan een school met een gerust hart digitaal toetsen.
